Guía de Evaluaciones de Impacto de Privacidad de Oklahoma City
Oklahoma City, Oklahoma requiere que los departamentos municipales y los proveedores evalúen los riesgos de privacidad antes de implementar tecnologías que recopilan o procesan datos personales. Esta guía explica cómo encajan las Evaluaciones de Impacto de Privacidad (EIP) en la gobernanza local, quién es responsable, qué documentar y pasos prácticos para proyectos de la ciudad que manejan información personal. Está dirigida a oficiales de adquisiciones, gestores de proyectos, asesoría legal y responsables de privacidad que trabajan con sistemas y proveedores de la ciudad.
Cuándo hacer una EIP
Realice una EIP para nuevas tecnologías o cambios materiales en sistemas que recopilan, almacenan, analizan o comparten datos personales, incluidos servicios en la nube, sistemas de vigilancia, plataformas de movilidad y portales públicos. Considere las EIP durante la planificación del proyecto, las adquisiciones y la incorporación de proveedores para informar contratos y controles técnicos.
Quién es responsable
La responsabilidad principal recae normalmente en el Departamento de Tecnologías de la Información de la Ciudad de Oklahoma City junto con el propietario del proyecto y el Fiscal de la Ciudad para la revisión legal. Los departamentos deben coordinarse con TI para evaluar controles técnicos y con el personal de contrataciones para las obligaciones del proveedor.[1]
Elementos básicos de la EIP
- Nombre del proyecto, alcance y propósito.
- Tipos de datos recopilados y base legal para el procesamiento.
- Flujos de datos, ubicaciones de almacenamiento, programas de retención y acceso de terceros.
- Evaluación de riesgos y mitigaciones propuestas.
- Rendición de cuentas: roles, gestor de datos y contacto para consultas de privacidad.
Sanciones y aplicación
Las multas civiles o sanciones penales específicas por no realizar una EIP o por el manejo indebido de datos personales no suelen detallarse en las páginas de orientación de la ciudad; cualquier sanción monetaria o medida de ejecución dependerá de la ordenanza aplicable, los términos del contrato y la ley estatal. Cuando el código municipal o el contrato establezcan sanciones, consulte esas disposiciones directamente.[2]
Los mecanismos y procesos de aplicación comunes incluyen órdenes administrativas, planes de acción correctiva, recursos contractuales (incluido el retiro de pagos o la rescisión) y remisión al Fiscal de la Ciudad o a la fiscalía para acciones civiles o penales. Las vías de apelación o revisión suelen seguir procedimientos administrativos gestionados por el departamento que hace cumplir la norma; los plazos para apelar se establecen en el instrumento de control cuando se publica o en el código municipal.
- Montos de multas: no especificado en la página citada.
- Escalamiento: primeras/reincidencias/ofensas continuas - no especificado en la página citada.
- Sanciones no monetarias: órdenes de remediación, rescisión de contratos, medidas cautelares y remisión para enjuiciamiento cuando corresponda.
- Autoridad aplicadora: Departamento de Tecnologías de la Información de la Ciudad y el Fiscal de la Ciudad; las quejas pueden dirigirse a través de las páginas de contacto oficiales del departamento.[1]
Solicitudes y formularios
No existe un formulario EIP universal publicado en las páginas del código municipal; los departamentos pueden usar plantillas internas o formularios de adquisiciones mantenidos por TI o los servicios de contratación. Para detalles, solicite la plantilla EIP del departamento o la lista de verificación de adquisiciones al Departamento de Tecnologías de la Información o al Secretario de la Ciudad.[1]
Implementación de EIP - Pasos prácticos
- Integre la EIP en el inicio del proyecto y en los cronogramas de adquisiciones.
- Exija a los proveedores que presenten descripciones del manejo de datos y evidencias de seguridad.
- Diseñe mitigaciones técnicas: cifrado, controles de acceso y registro de eventos.
- Registre los riesgos residuales y la aprobación de la gestión antes de la puesta en marcha.
Violaciones comunes
- Desplegar sensores o cámaras sin revisión de privacidad documentada.
- Acceso de proveedores a datos identificables sin límites contractuales.
- Retener datos personales más allá de los plazos aprobados de retención.
FAQ
- ¿Quién debe completar una EIP?
- Los propietarios de proyectos y los departamentos que implementan tecnología que procesa datos personales deben completar una EIP en coordinación con TI y legal cuando lo exija la política municipal o el contrato.
- ¿Cuánto tiempo tarda una EIP?
- La duración varía según la complejidad del proyecto; las EIP simples pueden tardar días y los programas complejos semanas con revisiones de las partes interesadas.
- ¿Dónde presento la EIP completada?
- Envíela al Departamento de Tecnologías de la Información de la Ciudad e inclúyala en los registros de adquisiciones; si no está seguro, comuníquese con TI sobre el proceso de presentación.[1]
How-To
- Identifique el alcance del proyecto y enumere todos los elementos de datos personales que manejará el sistema.
- Mapee los flujos de datos, el acceso de terceros y las ubicaciones de almacenamiento.
- Evalúe los riesgos y documente las mitigaciones técnicas y administrativas propuestas.
- Obtenga la firma de conformidad del jefe de departamento, seguridad de TI y el Fiscal de la Ciudad según se requiera.
- Incluya términos de la EIP en los contratos con proveedores y haga seguimiento a la implementación de las mitigaciones.
Puntos clave
- Las EIP reducen el riesgo de privacidad e informan decisiones de adquisición.
- Coordine las EIP con TI, legal y contrataciones desde el inicio.
Ayuda y Soporte / Recursos
- Departamento de Tecnologías de la Información de la Ciudad
- Código de Ordenanzas de Oklahoma City (Municode)
- Política de privacidad y del sitio web de la ciudad
- Secretaría de la Ciudad - registros y presentaciones públicas