Ley de evaluaciones de impacto de privacidad de la ciudad - Manhattan
En Manhattan, Nueva York, las agencias municipales y los contratistas que manejan datos personales deben seguir un proceso documentado de Evaluación de Impacto de Privacidad (EIP) antes de implementar nuevos sistemas informáticos o proyectos que procesen información sensible. Este artículo explica cuándo se requiere una EIP, quién la revisa, el marco de cumplimiento, las infracciones típicas y pasos prácticos para solicitar, apelar o denunciar incumplimientos. Está dirigido a gestores de TI, responsables de cumplimiento, equipos de contratación y oficiales de privacidad que trabajan con el gobierno de la ciudad de Nueva York o en proyectos financiados por la ciudad en Manhattan.
Ámbito y cuándo realizar una EIP
Por lo general, se requieren EIP para proyectos que recopilan, almacenan, comparten o analizan datos personales o que cambian los usos existentes de los datos. Desencadenantes comunes incluyen nuevas bases de datos, herramientas de decisión algorítmica, migraciones a la nube, acuerdos de intercambio de datos y la contratación de servicios de terceros que procesan información protegida.
- Nuevos proyectos informáticos que recopilan datos personales o sensibles.
- Contrataciones que implican servicios en la nube o procesadores de datos externos.
- Sistemas de decisión algorítmica y perfilado automatizado.
- Cambios importantes en acuerdos de intercambio de datos o publicaciones de datos públicos.
Sanciones y cumplimiento
Las responsabilidades de cumplimiento de las EIP y las prácticas de protección de datos para TI municipal en Manhattan recaen en la agencia correspondiente (a menudo la agencia que opera el sistema) y en el Department of Information Technology and Telecommunications (DoITT) para la revisión técnica y orientación. Cuando surgen cuestiones legales, el New York City Law Department puede asesorar sobre el cumplimiento y las medidas. Los importes específicos de multas y las escalas por día no están especificados en las páginas de los departamentos citadas en Recursos.
- Enforcement: oficial de privacidad de la agencia y DoITT para cumplimiento técnico.
- Escalada legal: Law Department o asesoría jurídica de la agencia pueden imponer órdenes correctivas.
- Multas: no especificadas en las páginas de los departamentos citadas en Recursos.
- Medidas no monetarias: órdenes de cumplimiento, suspensión de aprobaciones de proyectos, recursos contractuales o acciones judiciales.
- Apelaciones y revisión: las agencias suelen publicar rutas internas de revisión o apelación; los plazos exactos no están especificados en las páginas de los departamentos citadas en Recursos.
Solicitudes y formularios
Cuando están publicados, las agencias facilitan plantillas de EIP o documentos de orientación para las presentaciones; sin embargo, los nombres específicos de formularios, números, tasas y portales de envío en línea no se publican de forma coherente en todas las páginas de las agencias. Revise la orientación de la agencia operadora o los recursos de DoITT en Recursos para plantillas e instrucciones de envío.
How-To
- Identifique si el proyecto cumple los desencadenantes de EIP y clasifique los tipos de datos implicados.
- Complete la plantilla de EIP de la agencia o de DoITT, documentando propósito, flujos de datos, retención y base legal.
- Evalúe riesgos y liste mitigaciones: minimización, controles de acceso, cifrado y controles de proveedores.
- Envíe la EIP al oficial de privacidad de la agencia y a DoITT (si es necesario) para revisión y aprobación.
- Aborde los cambios requeridos, obtenga aprobaciones y documente la aprobación final antes del despliegue.
- Monitoree el cumplimiento tras el despliegue y actualice la EIP ante cambios materiales.
FAQ
- ¿Quién debe completar una EIP para proyectos informáticos de la ciudad en Manhattan?
- Las agencias municipales, contratistas y proveedores que ejecutan proyectos que recopilan, almacenan o procesan datos personales deberían completar una EIP; consulte la orientación de la agencia operadora para detalles.
- ¿Cuánto tiempo suele tardar la revisión de una EIP?
- Los tiempos de revisión varían según la agencia y la complejidad del proyecto; las agencias no publican un plazo de revisión uniforme en sus páginas públicas de orientación.
- ¿Son las EIP registros públicos?
- Partes de una EIP pueden ser públicas, pero es habitual la redacción de detalles sensibles; consulte la orientación de divulgación de la agencia y al Law Department para solicitudes concretas.
Puntos clave
- Comience las EIP en la planificación para evitar retrasos en contratación y despliegue.
- Documente riesgos y mitigaciones con claridad para acelerar la revisión de la agencia.
- Contacte pronto al oficial de privacidad de la agencia o a DoITT para orientación.
Ayuda y soporte / Recursos
- DoITT - Department of Information Technology and Telecommunications
- New York City Law Department
- Mayor's Office of New York City