La Evaluación de Impacto relativa a la Protección de Datos permite analizar de forma estructurada los tratamientos que pueden entrañar un alto riesgo para las personas. Estudiamos su necesidad y proporcionalidad, identificamos los riesgos, determinamos las medidas y garantías necesarias y documentamos el proceso conforme al RGPD.
Solicitar una EIPD
La Evaluación de Impacto relativa a la Protección de Datos, conocida habitualmente como EIPD, es uno de los instrumentos de responsabilidad proactiva más importantes del Reglamento General de Protección de Datos.
Su finalidad es anticiparse a los problemas.
Cuando una organización proyecta un tratamiento que, por su naturaleza, alcance, contexto o fines, puede entrañar un alto riesgo para los derechos y libertades de las personas, no debería esperar a que aparezca un incidente o una reclamación para analizar sus consecuencias.
Debe estudiar previamente el tratamiento, determinar si resulta necesario y proporcionado, identificar los riesgos que puede generar y establecer las medidas y garantías apropiadas.
Por ello, una EIPD no debe entenderse simplemente como un documento que se incorpora al expediente RGPD.
Es un proceso de análisis y toma de decisiones.
Una EIPD es una evaluación estructurada de las operaciones de tratamiento previstas y de sus posibles consecuencias para la protección de los datos personales.
Permite responder, entre otras, a preguntas como:
¿Qué tratamiento queremos realizar?
¿Para qué queremos realizarlo?
¿Es realmente necesario?
¿Existe una forma menos intrusiva de alcanzar el mismo objetivo?
¿Qué personas se verán afectadas?
¿Qué datos utilizaremos?
¿Qué tecnologías intervienen?
¿Quién tendrá acceso?
¿Con qué proveedores se compartirán datos?
¿Qué consecuencias podrían producirse para las personas?
¿Qué medidas pueden reducir esos riesgos?
¿El riesgo residual continúa siendo elevado después de aplicar las medidas?
La respuesta documentada a estas cuestiones permite tomar decisiones antes de iniciar el tratamiento.
El criterio general establecido por el RGPD es el alto riesgo.
Debe realizarse una EIPD cuando sea probable que un tipo de tratamiento, especialmente cuando utiliza nuevas tecnologías y teniendo en cuenta su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas.
Por tanto, no debemos convertir la obligación en una lista simplificada de tecnologías o sectores.
No podemos afirmar, por ejemplo:
“Si utilizas inteligencia artificial siempre necesitas una EIPD”.
“Si tratas datos de salud siempre necesitas una EIPD”.
“Si utilizas geolocalización siempre necesitas una EIPD”.
“Si tratas datos de menores siempre necesitas una EIPD”.
Estas circunstancias pueden incrementar significativamente el riesgo y formar parte de los criterios utilizados para determinar la necesidad de una EIPD, pero deben analizarse dentro del contexto real del tratamiento y de las reglas aplicables.
El RGPD identifica determinadas situaciones en las que se requiere particularmente una EIPD.
Puede resultar obligatoria cuando existe una evaluación sistemática y exhaustiva de aspectos personales basada en tratamientos automatizados, incluida la elaboración de perfiles, sobre cuya base se toman decisiones que producen efectos jurídicos sobre las personas o les afectan significativamente de forma similar.
Aquí resulta importante analizar tanto el tratamiento automatizado como las consecuencias reales de las decisiones.
El RGPD contempla expresamente los tratamientos a gran escala de categorías especiales de datos y de datos personales relativos a condenas e infracciones penales.
El concepto de gran escala no depende únicamente de un número fijo de personas.
Entre los elementos que pueden resultar relevantes se encuentran:
número de personas afectadas;
proporción de población afectada;
volumen y variedad de los datos;
duración del tratamiento;
y extensión geográfica.
La observación sistemática a gran escala de zonas accesibles al público constituye otro de los supuestos expresamente contemplados.
La videovigilancia puede entrar en este ámbito cuando reúne las características correspondientes, pero no debe concluirse que cualquier cámara instalada por una pequeña organización obliga automáticamente a realizar una EIPD.
El RGPD obliga a las autoridades de control a establecer listas de tipos de tratamientos que requieren una EIPD.
La AEPD dispone de una lista de tratamientos que requieren evaluación de impacto y de una lista orientativa de tratamientos que no la requieren.
Estas listas deben utilizarse junto con el análisis del tratamiento concreto.
No constituyen un mecanismo para sustituir el juicio del responsable.
Que un tratamiento no aparezca expresamente en una lista no significa automáticamente que nunca pueda requerir EIPD.
Si el análisis concluye que probablemente existe un alto riesgo para los derechos y libertades, deberá realizarse la evaluación correspondiente.
La AEPD utiliza diferentes criterios para ayudar a determinar cuándo un tratamiento puede requerir una EIPD.
Entre ellos pueden encontrarse situaciones relacionadas con:
evaluación o puntuación de personas;
decisiones automatizadas con efectos significativos;
observación sistemática;
categorías especiales de datos o datos altamente personales;
tratamientos a gran escala;
combinación o asociación de conjuntos de datos;
personas vulnerables;
utilización innovadora de tecnologías o soluciones organizativas;
situaciones que puedan impedir a las personas ejercer derechos o utilizar determinados servicios;
y otros criterios contemplados en las listas aplicables.
Con carácter general, la concurrencia de varios criterios incrementa la necesidad de realizar una EIPD.
La lista publicada por la AEPD señala que, en la mayoría de los casos, los tratamientos que cumplen dos o más de sus criterios requieren una evaluación de impacto.
Pero la decisión debe documentarse atendiendo a las características concretas del tratamiento.
Sí.
El tamaño de la empresa no constituye por sí mismo el criterio decisivo.
Una organización pequeña puede desarrollar un tratamiento cuyas características impliquen un alto riesgo.
Y una organización de mayor tamaño puede realizar otros tratamientos que no alcancen ese nivel.
Lo relevante es analizar el tratamiento.
Entre otros factores:
naturaleza;
alcance;
contexto;
finalidad;
tecnología;
volumen;
personas afectadas;
categorías de datos;
y posibles consecuencias.
Por ello, “somos una pequeña empresa” no debe utilizarse como único argumento para descartar una EIPD.
Los datos relativos a la salud pertenecen a las categorías especiales de datos.
Su tratamiento puede generar consecuencias especialmente relevantes para las personas.
Pero debemos evitar una simplificación:
“Datos de salud = EIPD automática”.
El RGPD contempla expresamente el tratamiento a gran escala de categorías especiales dentro de los supuestos que requieren particularmente una evaluación.
Además, otros criterios y circunstancias pueden hacer necesaria una EIPD aunque no estemos ante ese supuesto concreto.
La decisión debe basarse en el tratamiento real.
Los menores pueden considerarse personas especialmente vulnerables en determinados contextos.
Por ello, los tratamientos que les afectan pueden requerir una evaluación especialmente cuidadosa.
Sin embargo, no todo tratamiento de datos de menores implica automáticamente la obligación de realizar una EIPD.
Debe analizarse la finalidad, alcance, tecnologías utilizadas, datos tratados, decisiones adoptadas y demás factores de riesgo.
La utilización de inteligencia artificial puede introducir características relevantes desde la perspectiva de protección de datos.
Por ejemplo:
perfilado;
inferencias;
decisiones automatizadas;
utilización de grandes conjuntos de datos;
reutilización de información;
falta de transparencia;
nuevas tecnologías;
combinación de fuentes;
o efectos significativos sobre las personas.
Esto puede incrementar la probabilidad de que resulte necesaria una EIPD.
Pero no debe afirmarse que cualquier uso de inteligencia artificial obliga automáticamente a realizarla.
Hay que estudiar qué hace realmente el sistema y cómo utiliza datos personales.
El RGPD contempla expresamente la observación sistemática a gran escala de una zona de acceso público.
Por tanto, determinados sistemas de videovigilancia pueden requerir una EIPD.
La decisión dependerá de cuestiones como:
alcance;
número de cámaras;
zonas observadas;
personas potencialmente afectadas;
tecnologías utilizadas;
analítica;
reconocimiento;
seguimiento;
y finalidad.
Un sistema convencional y limitado no debe equipararse automáticamente a una infraestructura de observación sistemática a gran escala.
La geolocalización puede permitir conocer movimientos, hábitos, recorridos o comportamientos de las personas.
Su utilización continuada o intensiva puede incrementar los riesgos para la privacidad.
Para determinar si necesita una EIPD habrá que analizar, entre otras cuestiones:
frecuencia;
precisión;
duración;
finalidad;
personas afectadas;
combinación con otros datos;
consecuencias;
y posibilidades de seguimiento.
Por tanto, tampoco aquí debemos utilizar reglas automáticas.
Esta es una de las características esenciales de la Evaluación de Impacto.
Su función es preventiva.
Cuando resulte obligatoria, debe realizarse antes de poner en marcha el tratamiento correspondiente.
Esto permite modificar el diseño cuando todavía es posible hacerlo.
Por ejemplo, la evaluación puede revelar que:
se están solicitando demasiados datos;
la conservación prevista es excesiva;
determinados accesos no son necesarios;
existe una alternativa menos intrusiva;
las garantías son insuficientes;
un proveedor introduce riesgos adicionales;
o una determinada funcionalidad debería modificarse.
Realizar la EIPD después de haber implantado completamente el sistema reduce gran parte de su utilidad preventiva.
La EIPD está estrechamente relacionada con la protección de datos desde el diseño.
El objetivo es integrar la protección de datos en la concepción del tratamiento.
No añadirla al final.
Cuando se diseña una aplicación, servicio, sistema de videovigilancia, herramienta de inteligencia artificial, plataforma o proceso empresarial, las decisiones iniciales pueden determinar buena parte de los riesgos posteriores.
Por ello conviene analizar la privacidad desde las primeras fases.
La responsabilidad corresponde al responsable del tratamiento.
Esto debe quedar muy claro.
La obligación no se transfiere automáticamente:
al consultor;
al proveedor tecnológico;
al Delegado de Protección de Datos;
ni al encargado del tratamiento.
Estos profesionales y entidades pueden participar, proporcionar información, asesorar o colaborar.
Pero la responsabilidad de garantizar que la EIPD se realiza cuando corresponde pertenece al responsable del tratamiento.
Cuando la organización dispone de Delegado de Protección de Datos, el responsable debe recabar su asesoramiento al realizar la evaluación.
Además, entre las funciones del DPD se encuentra ofrecer asesoramiento sobre la EIPD y supervisar su aplicación.
Esto no significa que el DPD sea quien asume la responsabilidad de la evaluación.
La organización continúa siendo responsable.
Puedes ampliar las funciones de esta figura en Delegado de Protección de Datos (DPD/DPO) .
Sí.
Una EIPD puede necesitar conocimientos procedentes de diferentes áreas.
Dependiendo del tratamiento pueden intervenir:
responsables internos;
técnicos;
seguridad;
departamentos jurídicos;
proveedores;
encargados del tratamiento;
responsables del proyecto;
especialistas en privacidad;
y otras personas con conocimiento relevante.
El objetivo es comprender correctamente el tratamiento y sus riesgos.
Cuando proceda, el responsable debe valorar la posibilidad de recabar la opinión de los interesados o de sus representantes sobre el tratamiento previsto, sin perjuicio de la protección de intereses comerciales o públicos o de la seguridad de las operaciones.
No siempre será apropiado o posible.
Pero es uno de los elementos que debe considerarse dentro del proceso.
El artículo 35 establece un contenido mínimo que debemos respetar.
Debe documentarse qué se pretende hacer.
Esto puede incluir:
operaciones de tratamiento;
finalidades;
categorías de datos;
personas afectadas;
fuentes;
destinatarios;
proveedores;
tecnologías;
flujos de información;
conservación;
accesos;
ubicaciones;
y otros elementos necesarios para comprender el tratamiento.
Sin una descripción suficientemente precisa no puede evaluarse correctamente el riesgo.
La EIPD debe evaluar si las operaciones son necesarias y proporcionadas respecto de sus finalidades.
Esto obliga a ir más allá de la seguridad informática.
Hay que preguntarse:
¿Necesitamos realmente estos datos?
¿Son adecuados para la finalidad?
¿Estamos recopilando más información de la necesaria?
¿Existe una alternativa menos intrusiva?
¿La conservación es proporcionada?
¿Los accesos están justificados?
¿La información facilitada a las personas es adecuada?
¿La base jurídica ha sido correctamente analizada?
La seguridad es solamente una parte de la evaluación.
La evaluación debe identificar y valorar los riesgos que el tratamiento puede producir para las personas.
No únicamente los riesgos empresariales.
Por ejemplo, pueden existir consecuencias relacionadas con:
discriminación;
suplantación de identidad;
fraude;
pérdidas económicas;
daño reputacional;
pérdida de confidencialidad;
pérdida de control sobre los datos;
imposibilidad de ejercer derechos;
seguimiento indebido;
decisiones injustas;
exposición de información sensible;
y otros daños materiales o inmateriales.
La evaluación debe considerar la probabilidad y gravedad de las consecuencias.
Una vez identificados los riesgos deben establecerse medidas para afrontarlos.
Pueden incluir, según el tratamiento:
minimización;
seudonimización;
cifrado;
controles de acceso;
separación de funciones;
limitaciones de conservación;
procedimientos;
información;
mecanismos para el ejercicio de derechos;
medidas contractuales;
controles sobre proveedores;
formación;
supervisión;
registro;
recuperación;
y otras garantías.
La selección debe responder a los riesgos identificados.
Puedes ampliar este ámbito en Medidas Técnicas y Organizativas RGPD .
Este error es bastante frecuente.
Un análisis de seguridad puede estudiar cuestiones como:
vulnerabilidades;
malware;
accesos;
disponibilidad;
redes;
servidores;
copias;
cifrado;
o ataques.
Todos estos elementos pueden resultar relevantes.
Pero una EIPD debe analizar también aspectos como:
necesidad;
proporcionalidad;
licitud;
transparencia;
minimización;
finalidad;
derechos;
decisiones automatizadas;
consecuencias sociales;
y efectos sobre las personas.
Por tanto, una auditoría técnica de seguridad no sustituye por sí sola a una EIPD.
Ambos conceptos están relacionados, pero no deben confundirse.
El Análisis de Riesgos RGPD forma parte del enfoque general de gestión del riesgo aplicable a los tratamientos.
La EIPD constituye una evaluación reforzada para aquellos tratamientos en los que sea probable un alto riesgo y debe cumplir los requisitos específicos establecidos por el artículo 35.
Por ello, no debemos plantearla simplemente como:
“nivel 1: análisis de riesgos”
“nivel 2: EIPD”.
La relación es más precisa.
El análisis del riesgo permite, entre otras cosas, determinar si un tratamiento puede alcanzar un nivel que haga necesaria una EIPD.
Y la EIPD profundiza en ese tratamiento concreto y en las medidas necesarias para gestionar sus riesgos.
Las medidas propuestas durante la evaluación pueden reducir los riesgos inicialmente identificados.
Después de definirlas debemos volver a evaluar la situación.
El riesgo que permanece después de aplicar las medidas y garantías puede denominarse riesgo residual.
Esta fase es especialmente importante porque permite determinar si el tratamiento puede desarrollarse con las garantías previstas o si continúa existiendo un nivel de riesgo que requiere actuaciones adicionales.
Si la EIPD concluye que el tratamiento entrañaría un alto riesgo cuando el responsable no adopte medidas para mitigarlo suficientemente, debe analizarse la obligación de realizar una consulta previa a la autoridad de control antes de iniciar el tratamiento.
Este punto es fundamental.
La EIPD no consiste en elaborar un informe y continuar automáticamente con el proyecto independientemente de sus conclusiones.
Si el riesgo residual continúa siendo alto, puede resultar necesario acudir al procedimiento previsto por el artículo 36 del RGPD.
La consulta previa constituye un mecanismo diferente de la propia EIPD.
Primero se analiza el tratamiento.
Después se determinan los riesgos y medidas.
Si el responsable concluye que el tratamiento seguiría entrañando un alto riesgo en ausencia de medidas suficientes para mitigarlo, debe consultar a la autoridad antes de proceder.
Por tanto:
EIPD y consulta previa no son sinónimos.
Una EIPD no implica automáticamente que haya que consultar a la AEPD.
La consulta aparece cuando concurren las condiciones establecidas por el RGPD.
La evaluación debe acompañar al tratamiento durante su ciclo de vida.
Cuando cambian elementos relevantes puede cambiar también el riesgo.
Por ejemplo:
nueva finalidad;
nueva tecnología;
nuevas categorías de datos;
mayor escala;
nuevos proveedores;
nuevas fuentes;
nuevas funcionalidades;
nuevos destinatarios;
cambios importantes de arquitectura;
nuevas amenazas;
o nuevas consecuencias identificadas.
En estas situaciones debe revisarse la evaluación y determinar si continúa reflejando correctamente el tratamiento.
El RGPD no establece una regla universal según la cual todas las EIPD deban renovarse cada doce meses.
La revisión debe responder a la evolución del tratamiento y del riesgo.
Esto no impide que una organización establezca revisiones periódicas dentro de sus políticas internas.
Pero debemos diferenciar:
una periodicidad interna de control
de
una obligación legal universal.
Cuando existen cambios relevantes, la necesidad de revisión adquiere especial importancia.
No todos los cambios requieren rehacer desde cero toda la evaluación.
Si las modificaciones no generan nuevas amenazas o riesgos relevantes, puede resultar suficiente analizar y documentar su impacto y justificar que no son necesarias medidas adicionales.
Lo importante es que exista una decisión razonada y documentada.
El Registro de Actividades de Tratamiento (RAT) proporciona información esencial sobre los tratamientos de la organización.
Puede ayudar a identificar:
finalidades;
categorías de personas;
datos;
destinatarios;
transferencias;
conservación;
y medidas generales.
Sin embargo, RAT y EIPD son documentos y procesos diferentes.
El RAT inventaría y documenta tratamientos.
La EIPD analiza en profundidad determinados tratamientos que pueden entrañar alto riesgo.
La EIPD constituye una manifestación clara del principio de Responsabilidad Proactiva RGPD .
La organización no se limita a afirmar que cumple.
Debe poder demostrar que:
ha identificado el tratamiento;
ha analizado sus características;
ha valorado los riesgos;
ha estudiado su necesidad y proporcionalidad;
ha adoptado medidas;
y ha documentado sus decisiones.
Esto convierte la EIPD en una herramienta de gestión, no simplemente en un requisito documental.
Las medidas identificadas durante la evaluación deben trasladarse a la realidad.
No sirve de mucho que el informe diga:
“debe aplicarse autenticación multifactor”
“deben limitarse los accesos”
“debe reducirse la conservación”
si posteriormente esas decisiones no se implantan.
La EIPD debe conectarse con la gestión real de las Medidas Técnicas y Organizativas RGPD .
Muchos tratamientos de alto riesgo dependen de proveedores.
Por ejemplo:
cloud;
inteligencia artificial;
biometría;
analítica;
videovigilancia;
software sanitario;
plataformas educativas;
recursos humanos;
marketing;
o servicios especializados.
Para realizar una EIPD adecuada puede ser necesario obtener información del proveedor sobre el funcionamiento del sistema, medidas, flujos, almacenamiento y demás características relevantes.
Contratar un producto comercial no elimina la responsabilidad de analizar cómo se utiliza.
Cuando una organización incorpora una solución de IA no basta con conocer el nombre comercial de la herramienta.
Hay que determinar:
¿Qué datos recibe?
¿Para qué se utilizan?
¿Se conservan?
¿Se utilizan para entrenar modelos?
¿Se generan perfiles o inferencias?
¿Se toman decisiones?
¿Existe intervención humana?
¿Qué consecuencias tienen las decisiones?
¿Dónde se procesan los datos?
¿Qué proveedores intervienen?
¿Qué información reciben las personas?
La evaluación debe centrarse en el tratamiento real, no simplemente en la etiqueta “inteligencia artificial”.
El RGPD menciona expresamente la utilización de nuevas tecnologías como un factor especialmente relevante para valorar el posible alto riesgo.
Pero “nueva tecnología” tampoco significa automáticamente “EIPD obligatoria”.
Debe analizarse conjuntamente con:
naturaleza;
alcance;
contexto;
finalidad;
personas afectadas;
y posibles consecuencias.
La tecnología es un factor dentro del análisis.
Este es precisamente el momento adecuado para realizarla.
Aunque el sistema todavía no esté en producción, puede analizarse:
arquitectura prevista;
datos necesarios;
proveedores;
funcionalidades;
accesos;
finalidades;
conservación;
decisiones;
y medidas proyectadas.
De hecho, realizar la evaluación antes permite modificar el proyecto con menor coste y mayor eficacia.
Sí.
La evaluación no debería realizarse para justificar una decisión ya tomada.
Puede revelar que determinadas características necesitan modificarse.
Por ejemplo:
reducir datos;
limitar funcionalidades;
eliminar una fuente;
cambiar plazos;
introducir supervisión humana;
modificar accesos;
reforzar garantías;
cambiar proveedor;
o incluso replantear una parte del tratamiento.
Ese es precisamente uno de sus valores.
Sí.
Si los riesgos no pueden reducirse suficientemente mediante medidas razonables, el diseño previsto puede necesitar modificaciones sustanciales.
La finalidad de la evaluación no es producir siempre una conclusión favorable.
Es proporcionar información suficiente para adoptar una decisión responsable.
En RGPD Málaga podemos ayudar a las organizaciones a determinar si un tratamiento requiere una EIPD y a desarrollar el proceso de evaluación.
El servicio puede adaptarse a las características del proyecto.
Estudiamos:
tratamiento previsto;
finalidad;
personas afectadas;
datos;
escala;
tecnología;
criterios de riesgo;
listas aplicables;
y demás circunstancias relevantes.
El objetivo es determinar y documentar si resulta necesaria la evaluación.
Documentamos de forma estructurada cómo funcionará el tratamiento y sus principales flujos de información.
Analizamos si las operaciones previstas son adecuadas y proporcionadas respecto de sus finalidades.
Estudiamos las posibles consecuencias para los derechos y libertades de las personas.
Definimos las medidas necesarias para gestionar los riesgos identificados.
Analizamos la situación después de considerar las medidas propuestas.
El proceso y sus conclusiones quedan documentados de manera estructurada.
El informe constituye evidencia del análisis realizado, pero no debe presentarse como una certificación oficial de cumplimiento emitida o validada por la AEPD.
Cuando sea necesario, podemos asesorar sobre la incorporación de las medidas identificadas.
La evaluación puede revisarse cuando evolucionan el tratamiento, la tecnología, los riesgos o las circunstancias relevantes.
Si las conclusiones muestran que persiste un alto riesgo en las condiciones previstas por el RGPD, analizamos la necesidad de acudir al procedimiento de consulta previa ante la autoridad de control.
Una buena Evaluación de Impacto no debería terminar siendo un documento que nadie vuelve a consultar.
Debe permitir saber:
qué queremos hacer;
por qué es necesario;
qué datos necesitamos;
qué personas pueden verse afectadas;
qué riesgos existen;
qué medidas debemos aplicar;
qué riesgo permanece;
y si el tratamiento puede ponerse en marcha en las condiciones previstas.
La EIPD convierte el análisis de privacidad en decisiones concretas antes de que los riesgos se materialicen.
Ese es su verdadero valor dentro de un sistema de protección de datos: anticipar, analizar, reducir riesgos y poder demostrar por qué se han adoptado determinadas decisiones.
Una EIPD es un proceso que permite analizar de forma estructurada un tratamiento de datos personales que puede entrañar un alto riesgo para los derechos y libertades de las personas. Incluye la descripción del tratamiento, el análisis de su necesidad y proporcionalidad, la evaluación de los riesgos y la determinación de las medidas y garantías necesarias para afrontarlos.
Debe realizarse cuando sea probable que un tipo de tratamiento, teniendo en cuenta su naturaleza, alcance, contexto y fines, entrañe un alto riesgo para los derechos y libertades de las personas. El RGPD establece determinados supuestos y las autoridades de control publican listas que ayudan a determinar qué tratamientos requieren una EIPD.
No automáticamente. Son circunstancias que pueden resultar especialmente relevantes para evaluar el riesgo, pero la necesidad de una EIPD debe determinarse analizando las características concretas del tratamiento y los criterios aplicables. En determinados supuestos previstos por el RGPD o incluidos en las listas de la autoridad de control, la evaluación será obligatoria.
Cuando resulte necesaria, debe realizarse antes de iniciar el tratamiento. Su finalidad es preventiva: permite detectar riesgos y modificar el diseño, las operaciones, las medidas o las garantías antes de poner en funcionamiento el tratamiento previsto.
La responsabilidad corresponde al responsable del tratamiento. Puede contar con consultores, especialistas, proveedores y otras personas que aporten la información necesaria. Si existe un Delegado de Protección de Datos, debe recabarse su asesoramiento y el DPD supervisará la aplicación de la evaluación dentro de las funciones que le atribuye el RGPD.
El análisis y la gestión del riesgo forman parte del enfoque general del RGPD y permiten valorar los riesgos asociados a los tratamientos. La EIPD es una evaluación reforzada y documentada exigida cuando sea probable que un tratamiento entrañe un alto riesgo, y debe cumplir los requisitos específicos establecidos en el artículo 35 del RGPD.
No existe una regla general que obligue a renovar todas las EIPD cada doce meses. La evaluación debe mantenerse relacionada con la realidad del tratamiento y revisarse cuando resulte necesario, especialmente cuando cambien sus características o los riesgos. La organización también puede establecer revisiones periódicas dentro de sus procedimientos internos.
Si la evaluación muestra que el tratamiento entrañaría un alto riesgo cuando el responsable no adopte medidas para mitigarlo suficientemente, debe analizarse la consulta previa a la autoridad de control antes de iniciar el tratamiento, conforme al artículo 36 del RGPD. La EIPD no debe utilizarse para justificar automáticamente la puesta en marcha de un tratamiento independientemente de sus conclusiones.
En RGPD Málaga analizamos las características del tratamiento para determinar si resulta necesaria una Evaluación de Impacto y, cuando corresponde, desarrollamos el proceso completo: descripción del tratamiento, necesidad y proporcionalidad, identificación y evaluación de riesgos, determinación de medidas y garantías y valoración del riesgo residual.
Solicitar una EIPD