Medidas de seguridad
Una vez analizados los riesgos, hay que tratarlos para modificarlos: a este objetivo se orientan las medidas de seguridad. Hasta ahora estas venían impuestas por la ley, se tenían que aplicar con independencia de su eficacia en un contexto concreto. Ahora se pueden determinar en cada organización o generando estándares sectoriales, siempre sujetos a un proceso de mejora continua: definirlas / evaluarlas / auditarlas / redefinirlas.
Las medidas de seguridad se tienen que formular partiendo de la privacidad desde el diseño (no se pueden pensar las medidas de seguridad una vez un tratamiento ya está implantado, más bien al contrario, la reflexión sobre protección de datos se tiene que incorporar a partir del primer momento en que se diseña una actividad que suponga tratar datos) y la privacidad por defecto (para conseguir una finalidad determinada, cuanto menos datos se traten y durante menos tiempo mejor).
En el punto en el que estamos, se tiene que empezar para mantener las medidas aplicadas hasta día de hoy y, cuando el análisis de riesgos lo aconseje, mejorarlas o substituirlas por otras más eficientes. Es un planteamiento erróneo pensar en eliminar medidas actualmente implantadas sin establecer otras que alcancen mejor el mismo objetivo.
