Inicio/Protección de datos/Evaluación de impacto
Evaluación de impacto en protección de datos
Cuando un tratamiento puede entrañar un alto riesgo para los derechos y libertades de las personas, el RGPD obliga a evaluarlo antes de ponerlo en marcha. No es un trámite formal: es el análisis que determina si el tratamiento puede realizarse y con qué medidas.
Cuándo es obligatoria
El RGPD la exige, en particular, en tres supuestos: evaluación sistemática y exhaustiva de aspectos personales basada en tratamiento automatizado, incluida la elaboración de perfiles, con efectos jurídicos o significativos; tratamiento a gran escala de categorías especiales de datos o de datos relativos a condenas e infracciones penales; y observación sistemática a gran escala de una zona de acceso público. Además, las autoridades de control publican listas de tratamientos que la requieren, que conviene consultar.
Videovigilancia extensa, control biométrico de acceso o presencia, geolocalización de vehículos o de personal, perfilado de clientes para decisiones automatizadas, tratamiento masivo de datos de salud y uso de sistemas de inteligencia artificial sobre personas.
Contenido de la evaluación
- Descripción sistemática de las operaciones de tratamiento y de sus fines, incluido el interés legítimo si se invoca.
- Necesidad y proporcionalidad respecto de la finalidad: si existe una alternativa menos invasiva, el tratamiento no es necesario.
- Evaluación de riesgos para los derechos y libertades de los interesados, no para la empresa.
- Medidas previstas para afrontar los riesgos: garantías, medidas de seguridad y mecanismos que demuestren el cumplimiento.
- Consulta al delegado de protección de datos y, cuando proceda, recabar la opinión de los interesados o sus representantes.
- Conclusión: riesgo residual asumible o consulta previa a la autoridad de control.
La consulta previa
Si tras la evaluación el riesgo residual sigue siendo alto y no se pueden adoptar medidas suficientes para mitigarlo, hay que consultar a la autoridad de control antes de iniciar el tratamiento. Es un supuesto poco frecuente, precisamente porque la evaluación bien hecha suele llevar a rediseñar el tratamiento para reducir el riesgo, que es su verdadera función.
Para descubrir, antes de invertir, que el sistema de control biométrico que se iba a implantar no supera el juicio de proporcionalidad y que existe una alternativa igualmente eficaz y mucho menos invasiva. Hacer la evaluación después de comprar el sistema convierte el análisis en una justificación.
Esta página describe el marco general vigente en España y no sustituye al análisis del caso concreto. La normativa mercantil, laboral, penal y de protección de datos se modifica con frecuencia, y existen especialidades sectoriales y autonómicas: antes de tomar decisiones conviene verificar la redacción vigente de las normas citadas. Consúltenos su caso.
Sobre la evaluación de impacto
¿Hay que hacer una por cada tratamiento?
Solo por los que puedan entrañar alto riesgo. Una única evaluación puede abordar varias operaciones de tratamiento similares que presenten riesgos parecidos, lo que resulta práctico, por ejemplo, para un sistema de videovigilancia con varias cámaras en distintos centros. Lo que sí conviene documentar es el análisis previo que concluye que un tratamiento no requiere evaluación, porque esa decisión también hay que poder justificarla.
¿Quién la firma?
La responsabilidad es del responsable del tratamiento, que debe recabar el asesoramiento del delegado de protección de datos si lo hay. En la práctica la elabora quien tiene el conocimiento jurídico y técnico, con la participación de las áreas implicadas, y la aprueba la dirección. Dejar constancia de esa aprobación es importante, porque acredita que la decisión de asumir el riesgo residual se tomó al nivel adecuado.
¿Sirve una plantilla?
Como estructura metodológica, sí; existen guías y modelos publicados por las autoridades que son un buen punto de partida. Como contenido, no: el análisis de necesidad y proporcionalidad depende por completo del caso concreto, de las alternativas disponibles y del contexto de la organización. Una evaluación rellenada sin ese análisis no cumple su función ni resiste una revisión.
¿Quién controla hoy las obligaciones legales de su empresa?
Si la respuesta es «cada uno un poco» o «el despacho, cuando le llamamos», hay riesgo acumulado que nadie está midiendo. Cuéntenos cómo está organizada su empresa y le devolvemos un diagnóstico con lo que falta, lo que está desactualizado, lo que puede sancionarse y en qué orden conviene resolverlo, con una propuesta de honorarios cerrada.