Proceso de Evaluacion de Impacto de Privacidad - The Bronx
En The Bronx, Nueva York, las agencias municipales y los contratistas que diseñan u operan sistemas que manejan datos personales deben solicitar una Evaluación de Impacto de Privacidad (EIP) para documentar riesgos y protecciones. Comience con la guía del Department of Information Technology and Telecommunications (DoITT) y con el oficial de privacidad o de tecnología de su agencia para confirmar el alcance y la documentación requerida. Guía de EIP de DoITT[1]
Resumen
Una EIP evalúa los flujos de datos, la autoridad legal, la retención, los controles de acceso y las mitigaciones para sistemas municipales que recopilan, almacenan o comparten información personal. En The Bronx, las EIP siguen la política a nivel de ciudad y los procedimientos a nivel de agencia; las oficinas responsables suelen incluir al CIO de la agencia, al oficial de privacidad de la agencia y a DoITT para la revisión técnica.
Sanciones y Cumplimiento
Las páginas oficiales consultadas no especifican montos de multas civiles ni sanciones estatutarias vinculadas directamente a la falta de solicitud de una EIP; las sanciones monetarias están no especificadas en la página citada. El cumplimiento y la ejecución se manejan generalmente a nivel de la agencia y mediante la supervisión técnica de DoITT cuando se identifica incumplimiento contractual o técnico.
- Ejecutor: CIO de la agencia u oficial de privacidad, con revisión técnica y supervisión de DoITT.
- Inspecciones y quejas: envíelas a la oficina de cumplimiento de su agencia o al contacto de seguridad de DoITT; vea Ayuda y Recursos abajo.
- Multas: no especificadas en la página citada.
- Acciones judiciales o administrativas: no especificadas en la página citada.
Escalada y reincidencias
La guía citada no lista montos o rangos de escalada para infracciones iniciales frente a reincidentes; la escalada suele ser administrativa e implicar planes correctivos o recursos contractuales y revisión por la dirección de la agencia.
Recursos y revisiones
- Vías de apelación: no especificadas en la página citada; las agencias pueden ofrecer procedimientos de revisión interna o remitir consultas al Law Department para impugnaciones formales.
- Plazos para apelación/revisión: no especificados en la página citada.
Defensas y discreción
- Permisos, exenciones o autoridad legal documentada pueden afectar los requisitos de la EIP; consulte con el asesor legal de su agencia.
- Las mitigaciones razonables y los planes de remediación documentados suelen aceptarse como respuestas discrecionales a riesgos identificados.
Infracciones comunes
- No completar una EIP antes de desplegar un sistema que maneja datos personales.
- Inventarios de datos incompletos o controles de acceso faltantes.
- Políticas de retención o eliminación insuficientes para datos personales.
Solicitudes y formularios
La página de orientación de la ciudad no publica un formulario público estándar en PDF ni una tarifa; las agencias suelen requerir documentación, inventarios de datos y evaluaciones de amenazas presentados al oficial de privacidad de la agencia o a DoITT como parte de la revisión. Para formularios exactos o portales de envío, contacte directamente al oficial de privacidad o TI de su agencia.
Cómo preparar una solicitud de EIP
Antes de enviar, prepare un resumen del proyecto, inventario de datos, usos y divulgaciones previstas, calendario de retención, controles de acceso, acuerdos de intercambio de datos y mitigaciones propuestas para riesgos identificados.
- Documento requerido: resumen del proyecto e inventario de datos.
- Controles de seguridad: lista de salvaguardias técnicas y administrativas.
- Cronograma: hitos previstos de despliegue y revisión.
Preguntas frecuentes
- ¿Quién debe solicitar una EIP?
- Cualquier agencia municipal o contratista que proponga un sistema que recopile, almacene, procese o comparta información personal debe solicitar una EIP; consulte con el oficial de privacidad de su agencia para confirmar la aplicabilidad.
- ¿Cuánto tiempo tarda la revisión?
- La guía citada no proporciona un plazo estándar de revisión; el tiempo depende de la complejidad del proyecto y los procesos de la agencia.
- ¿Hay tarifas?
- No hay un calendario público de tarifas para EIP publicado en la página de orientación citada.
Cómo
- Identifique al propietario del proyecto y al oficial de privacidad de la agencia y confirme si se requiere una EIP.
- Prepare un inventario de datos, resumen del proyecto, calendario de retención y mitigaciones propuestas.
- Envíe los materiales a su oficial de privacidad de la agencia y solicite la revisión técnica de DoITT si es necesario.
- Responda a preguntas de seguimiento, implemente mitigaciones requeridas y documente la aprobación final o acciones correctivas.
- Si se deniega o disputa, solicite revisión interna de la agencia o contacte al Law Department para orientación formal.
Puntos clave
- Comience temprano: realice la EIP antes de la contratación o el despliegue.
- Documente claramente los flujos de datos y las mitigaciones para facilitar la revisión.
- Contacte al oficial de privacidad de su agencia y a DoITT para los pasos formales de envío.
Ayuda y Soporte / Recursos
- City of New York - DoITT (Department of Information Technology & Telecommunications)
- City of New York Law Department
- NYC Open Data