P.I.A.: evaluación del impacto en la privacidad

1) Propósito y ámbito de aplicación

Objetivo: Identificar y reducir de forma sistémica los riesgos para los derechos y libertades de los interesados en los cambios en el producto/infraestructura de iGaming.
Cobertura: fiches nuevos/sustancialmente modificados, modelos antifraude y RG, implementación de proveedores SDK/PSP/KYC, migración de datos, pruebas de personalización A/B, transferencias transfronterizas, perfiles.

2) Cuando se requiere P.I.A./DPIA

• Perfil/observación a gran escala (análisis de comportamiento, puntuación de riesgo, disparadores RG).
• Tratamiento de categorías especiales (biometría liveness, salud/vulnerabilidad RG).
• Combinación de conjuntos de datos que crea nuevos riesgos (fusión de datos de marketing y de pago).
• Monitoreo sistemático de la zona de acceso público (por ejemplo, chats de streaming).
• Transferencias transfronterizas fuera del EEE/Reino Unido (en conjunción con el DTIA).
• Cambios sustanciales en los objetivos/bases o la aparición de nuevos vendedores/subprocesadores.
• Si el riesgo es bajo, basta con la detección de PIA y una breve entrada en RoPA.

3) Funciones y responsabilidad

DPO - propietario de la metodología, evaluación independiente, alineación del riesgo residual, contacto con la supervisión.
Product/Engineering: el iniciador, describe los objetivos/hilos, implementa las medidas.
Seguridad/SRE - TOMs: cifrado, accesos, registro, DLP, pruebas.
Data/BI/ML - minimización, anonimización/seudonimización, gestión de modelos.
Legal/Compliance - fundamentos legales, DPA/SCCs/IDTA, cumplimiento de las regulaciones locales.
Marketing/CRM/RG/Payments son propietarios de dominio de datos y procesos.

4) Proceso P.I.A./DPIA (transversal)

1. Iniciación y cribado (en AMB/Change): el cuestionario corto "¿necesita DPIA? ».
2. Mapa de datos (Data Map): fuentes → campos → objetivos → bases → destinatarios → períodos de almacenamiento → geografías → subprocesadores.
3. Evaluación de Legalidad y Necesidad: Selección de Base Lawful (Contract/Legal Obligation/LI/Consent), Prueba de LIA (Equilibrio de Intereses) bajo Interests Legitimate.
4. Identificación de riesgos: amenazas a la privacidad, integridad, accesibilidad, derechos de los sujetos (decisiones automatizadas, discriminación, uso secundario).
5. Puntuación de riesgo: probabilidad (L 1-5) × impacto (I 1-5) → R (1-25); zonas de color (zel/amarillo/naranja/rojo).
6. Plan de medidas (TOMs): preventivo/detective/correctivo - con propietarios y plazos.
7. Riesgo residual: reevaluación después de las medidas; la decisión go/conditioned go/no-go; con alto riesgo residual - consulta con supervisión.
8. Confirmación y lanzamiento: Informe DPIA, actualizaciones de RoPA/Políticas/Cookies/CMP, documentos contractuales.
9. Monitoreo: KRIs/KPIs, rugido de DPIA en cambios o incidentes.

5) Matriz de riesgos de privacidad (ejemplo)

Probabilidad (L): 1 - rara; 3 - periódico; 5 - frecuente/permanente.
Impacto (I): tiene en cuenta el volumen de IIE, sensibilidad, geografías, vulnerabilidad de los sujetos, reversibilidad del daño, efectos regulatorios.

6) Conjunto de medidas técnicas y organizativas (TOMs)

Minimización y integralidad: recoger sólo los campos deseados; separar los identificadores y los eventos; data vault/zona de RAW→CURATED.
Seudonimización/anonimización: seudo-ID estable, tokenización, informes de k-anonimato dla.
Seguridad: encriptación en tránsito, KMS y rotación de claves, SSO/MFA, RBAC/ABAC, registros WORM, DLP, EDR, administrador secreto.
Control de vendedores: DPA, registro de subprocesadores, auditoría, prueba de incidentes, prohibición de uso secundario.
Derechos de los sujetos: procedimientos DSAR, mecanismos de objeción, «no seguimiento» cuando sea posible, revisión humana para decisiones críticas.
Transparencia: Actualización de políticas, banner de cookies, centro de preferencias, versión de listas de proveedores.
Calidad y equidad de los modelos: pruebas bias, explainabilidad, recalibración periódica.

7) Comunicación con LIA y DTIA

LIA (Evaluación de Interestados Legitimados): se lleva a cabo si la base es LI; incluye una prueba de propósito, necesidad y equilibrio (daño/beneficio, expectativas de los usuarios, medidas atenuantes).
DTIA (Data Transfer Impact Assessment): obligatorio en SCCs/IDTA para países sin adecuación; fija el entorno legal, el acceso de las autoridades, las medidas técnicas (E2EE/llaves del cliente), el territorio de las llaves.

8) Plantilla de informe DPIA (estructura)

1. Contexto: iniciador, descripción del proceso, objetivos, audiencia, plazos.
2. Fundamento jurídico: Contrato/LO/LI/Consent; LIA-currículum.
3. Mapa de datos: categorías, fuentes, destinatarios, subprocesadores, geografía, períodos de retención, perfilado/automatización.
4. Evaluación de riesgos: lista de amenazas, L/I/R, derechos afectados, posibles daños.
5. Medidas: TOMs, propietarios, plazos, criterios de rendimiento (KPI).
6. Riesgo residual y solución (go/condicional/no-go); Si es un plan de consulta con supervisión.
7. Plan de monitoreo: KRIs, eventos a revisar, relación con el proceso de incidente.
8. Firmas y concordancias: Producto, Seguridad, Legal, DPO (obligatorio).

9) Integración con lanzamientos y AMB

Gate DPIA: para los cambios de riesgo es un artefacto obligatorio en el CAF.
Feature-flags/canarios: habilitación de fich con audiencia limitada, recogida de señales de privacidad.
Cambiar registro de privacidad: versión de la Política, lista de vendedores/SDK, actualizaciones de CMP, fecha de entrada.
Plan de reversión: desactivación de SDK/ficheros, eliminación/archivado de datos, revocación de claves/accesos.

10) Métricas de eficacia P.I.A./DPIA

Coverage:% de los lanzamientos examinados por PIA ≥ 95%;% de los cambios de riesgo con DPIA ≥ 95%.
Tiempo-a-DPIA: tiempo medio desde la iniciación hasta la solución de ≤ X días.
Calidad: proporción de DPIA con medidas medibles de KPI ≥ 90%.
DSAR SLA: confirmación ≤ 7 días, ejecución ≤ 30; Comunicación con DPIA para nuevos fich.
Incidents: porcentaje de fugas/quejas relacionadas con zonas sin DPIA → 0; porcentaje de notificaciones en 72 h - 100%.
Vendor readiness:% de vendedores de riesgo con DPA/SCCs/DTIA - 100%.

11) Casos de dominio (iGaming)

A) Nuevo proveedor de KYC con biometría

Riesgos: categorías especiales, licibilidad, uso secundario de instantáneas.
Medidas: almacenamiento en el proveedor, DPA estrictos (prohibición de capacitación de datos), cifrado, eliminación por SLA, proveedor de fallback, canal DSAR.

B) Modelo antifraude de puntuación conductual

Riesgos: decisiones automatizadas, discriminación, explicabilidad.
Medidas: revisión humana para soluciones de alto impacto, explainabilidad, auditorías bias, registro de causas, minimización de fichas.

C) Marketing-SDK/retargeting

Riesgos: seguimiento sin consentimiento, transmisión oculta de identificadores.
Medidas: CMP (consent granular), server-side tagging, modo anon-IP, prohibición contractual de objetivos secundarios, transparencia en la Política.

D) Responsible Gaming (RG) alertas

Riesgos: sensibilidad de los datos, banderas incorrectas → daño al usuario.
Medidas: intervenciones blandas, derecho de apelación, acceso restringido, registro de decisiones, formación en sapport.

E) Migración de datos a la nube/nueva región

Riesgos: Transfronterez, nuevo subprocesador.
Medidas: SCCs/IDTA + DTIA, claves en la UE, segmentación de entornos, prueba de incidentes, actualización del registro de subprocesadores.

12) Hojas de cheques

12. 1 Detección PIA (rápida)

• ¿Existen soluciones de perfilado/automatización?
• ¿Se procesan los datos especiales/de los niños?
• ¿Nuevos vendedores/subprocesadores/países?
• ¿Cambian los objetivos/bases del tratamiento?
• ¿Están involucrados grandes volúmenes/grupos vulnerables?

→ Si «sí» ≥1 -2 puntos - ejecutamos DPIA.

12. 2 Preparación del informe DPIA

• Mapa de datos y RoPA actualizados
• LIA/DTIA (si corresponde) completado
• Las medidas (TOMs) están asignadas y son medibles
• Riesgo residual evaluado y acordado por DPO
• Política/cookies/CMR actualizada
• Se han guardado la huella y las versiones

13) Plantillas (fragmentos)

13. 1 Formulación del objetivo (ejemplo):

«Garantizar la prevención del fraude en las retiradas de fondos utilizando la puntuación conductual en el interés legítimo, con la minimización de los datos y la revisión humana para las soluciones que limitan el acceso a los fondos».

13. 2 medidas KPI (ejemplo):

Reducción del modelo FNR en P95 sin crecimiento de FPR> 2 p.p.
El tiempo de respuesta de DSAR a los nuevos fiches ≤ 20 días.
Eliminación de la biometría 24 h después de la verificación, registro de confirmación - 100%.

13. 3 Campo en RoPA (suplemento):

14) Almacenamiento de artefactos y auditoría

DPIA/LIA/DTIA, soluciones, versiones de Política/Banner, DPA/SCCs/registro de subprocesadores, logs de consentimiento CMP - almacenar centralmente (WORM/versioning).
Auditoría una vez al año: muestra de DPIA, verificación de medidas implementadas, control de métricas, prueba DSAR.

15) Hoja de ruta para la implementación

Semanas 1-2: Implementar el cribado PIA en el CAF, aprobar la plantilla DPIA, capacitar a los propietarios.
Semanas 3-4: iniciar Data Map/RoPA, SMR/banner, registros de vendedores, preparar DPA/SCCs/DTIA.
Mes 2: realizar los primeros DPIA por hilos de alto riesgo (CUS/antifraude/marketing), enlazar KPIs.
Mes 3 +: revuelo trimestral DPIA, auditorías bias de modelos, simulacros de fugas, mejoras continuas.

TL; DR

PIA/DPIA = detección temprana + mapa de datos + legalidad (LIA/DTIA) + evaluación de riesgos y medidas (TOMs) + riesgo residual armonizado bajo control DPO + monitoreo métrico. Incrustamos en el CAF y los lanzamientos - y convertimos la privacidad en un proceso manejable, verificable, no en «trabajos contra incendios».