La Evaluación de Impacto en la Protección de Datos Personales (EIPD) es una herramienta que permite evaluar de manera anticipada cuáles son los potenciales riesgos a los que están expuestos los datos personales en función de las actividades de tratamiento que se llevan a cabo con los mismos.
La EIPD es una obligación específica del responsable del tratamiento, tal y como se establece en el artículo 35.1 del RGPD. Esto supone que es éste quien asume las responsabilidades que se derivan de su ejecución y de los resultados que arroje.
¿Es obligatorio realizar una EIPD?
La AEPD hizo pública la “Lista orientativa de tipos de tratamientos que no requieren una evaluación de impacto relativa a la protección de datos según el artículo 35.5 RGPD”. Si los tipos de tratamientos de datos que pretende realizar su Organización se encuentran dentro de esta lista, no necesitará realizar Evaluaciones de Impacto para llevar a cabo el tratamiento.
Las empresas u Organizaciones deben tener en cuenta, para los tratamientos de datos que realicen como responsables del tratamiento, que:
- El RGPD establece en su artículo 35.1 que se debe realizar una EIPD cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas.
- El artículo 35.3 del RGPD establece tres supuestos en los que es necesario realizarla.
- Es necesario atender al documento publicado por la AEPD “Listas de tipos de tratamientos de datos que requieren evaluación de impacto relativa a protección de datos (art. 35.4)”.
Aún con toda esta información, no siempre es sencillo determinar cuándo es “obligatorio” realizar una EIPD, ya que el RGPD emplea conceptos como “cuando sea probable…” o “cuando se realice un tratamiento a gran escala…” que pueden resultar confusos o ambiguos si usted no es un Delegado de Protección de Datos. Nosotros le asesoraremos sobre la necesidad o no de realizar una EIPD.
¿En qué momento se realiza una EIPD?
Siempre antes de iniciar el tratamiento de datos. Antes de iniciar un tratamiento de datos personales nuevo, es necesario plantearse si será necesario realizar una EIPD previa. El carácter “a priori” de la EIPD es fundamental, ya que lo que se pretende con esta evaluación es determinar si el tratamiento se puede llevar a cabo con todas las garantías legales y respetando el derecho a la protección de datos personales de los interesados. Por tanto, carece de sentido realizar esta evaluación cuando el tratamiento de datos ya se ha iniciado.
Nuestro servicio
¡Cuéntenos el nuevo proyecto o tratamiento de datos que pretende realizar y nosotros le ayudamos!
- Evaluaremos la necesidad o no de realizar una Evaluación de Impacto en la Protección de Datos Personales (EIPD).
- Participaremos en la realización de la EIPD aportando nuestro asesoramiento y documentando el proceso.
- Realizaremos la consulta previa, descrita en el artículo 36 del RGPD, ante la autoridad de control, cuando sea necesario.
- Mantendremos la EIPD actualizada mientras dure el tratamiento de datos personales.