Cuando sea probable que un tratamiento, especialmente si se utilizan las nuevas tecnologías, por su naturaleza, alcance, contexto o finalidades, suponga un riesgo alto para los derechos y libertades de las personas físicas, el responsable debe hacer evaluaciones del impacto de las operaciones de tratamiento en la protección de datos personales antes de iniciar el tratamiento.
¿Cómo se determina la necesidad de realizar una evaluación de impacto y cuál debe ser su contenido?
El RGPD contiene una lista indicativa de tres supuestos en que se considera que los tratamientos conllevan un alto riesgo:
- Elaboración de perfiles sobre cuya base se tomen decisiones que produzcan efectos jurídicos sobre los interesados o que les afecten significativamente de modo similar
- Tratamiento a gran escala de datos sensibles
- Observación sistemática a gran escala de una zona de acceso público
Estos criterios incluyen la noción de “gran escala”. El RGPD no determina qué debe entenderse por “gran escala”. El Grupo del Artículo 29, en su dictamen sobre la designación de delegados de protección de datos (que posteriormente se menciona), considera que para valorar si el tratamiento se realiza a gran escala debe tenerse en cuenta:
- El número de interesados afectados, bien en términos absolutos, bien como proporción de una determinada población
- El volumen de datos y la variedad de datos tratados
- La duración o permanencia de la actividad de tratamiento
- La extensión geográfica de la actividad de tratamiento
Junto con estos tres supuestos, el RGPD obliga a las autoridades de protección de datos a que confeccionen listas adicionales de tratamientos que requerirán una evaluación de impacto.
También prevé el RGPD que las autoridades puedan elaborar listas de tratamientos en que no se precisa evaluación de impacto.
La existencia de estos listados no excluye el que los responsables deban realizar el correspondiente análisis de riesgo y, en caso de que concluyan que existe un alto riesgo para los derechos y libertades de los interesados, lleven a cabo una evaluación de impacto, aun cuando el tratamiento en cuestión no esté incluido en ninguna de las dos listas mencionadas.
El RGPD se basa en un principio de responsabilidad activa del responsable y es siempre en último extremo el responsable el que debe decidir qué medidas aplicar y cómo hacerlo.
La intervención de las autoridades de supervisión o las previsiones del propio RGPD aclaran sus disposiciones o las especifican, pero no sustituyen la responsabilidad de quienes tratan los datos.
Al margen de las listas expresamente previstas por el RGPD, la Agencia Española de Protección de Datos, la Autoridad Catalana de Protección de Datos y la Agencia Vasca de Protección de Datos publicarán recursos que ayuden a los responsables a determinar la necesidad de realizar evaluaciones de impacto.
El RGPD establece un contenido mínimo de las evaluaciones de impacto sobre la protección de datos, aunque no contempla ninguna metodología específica para su realización.
Debe tenerse en cuenta que es posible realizar una única evaluación de impacto para varios tratamientos similares que entrañen altos riesgos también similares.
Para la delimitación de la noción de alto riesgo a los efectos de la obligatoriedad de llevar a cabo una evaluación de impacto y sobre los criterios para llevarla a cabo, se recomienda consultar la Guía de evaluación de impacto en la protección de datos (DPIA) adoptada por el Grupo de Trabajo del Artículo 29 con fecha 4 de abril de 2017.
¿Qué sucede con los tratamientos iniciados antes del 25 de mayo de 2018 a los cuales sean exigibles en la evaluaciones de impacto sobre la protección de datos con la nueva normativa?
En la medida en que esos tratamientos se prolonguen más allá del 25 de mayo de 2018, y el análisis de riesgo que las organizaciones lleven a cabo sobre los tratamientos iniciados con anterioridad a la fecha de aplicación del RGPD indiquen que esos tratamientos presentan alto riesgo para los derechos o libertades de los interesados.
La Guía de evaluación de impacto en la protección de datos (DPIA) adoptada por el Grupo de Trabajo del Artículo 29 también recomienda que se llevé a cabo una DPIA “para los tratamientos de datos que hayan tenido lugar antes de mayo de 2018 y los cuales, por lo tanto, no estén sujetos a un DPIA, para asegurarse de que 3 años después de esta fecha o antes, dependiendo del contexto, los riesgos de los derechos y libertades están siendo mitigados.”.
Escríbenos por WhatsApp