¿cuándo estoy obligado a realizar una evaluación de impacto relativa a la protección de datos

Una DPIA es obligatoria en el tratamiento de alto riesgo

Una DPIA —una evaluación de impacto relativa a la protección de datos— es obligatoria cuando un tratamiento probablemente supone un alto riesgo para los derechos y libertades de las personas cuyos datos se tratan. No se trata de una lista fija de actividades que sea exactamente igual en todas partes, sino de una valoración que comienza por la naturaleza, el alcance, el contexto y la finalidad del tratamiento. El tratamiento a gran escala de datos sensibles, la vigilancia estructurada y sistemática de personas en un lugar de acceso público, y los tratamientos que conducen a decisiones automatizadas con consecuencias significativas, son ejemplos que a menudo se citan como situaciones en las que es probable que exista un alto riesgo.

Para un autónomo ordinario o una pequeña o mediana empresa que mantiene datos de clientes, datos de personal o un sistema de contabilidad, una DPIA obligatoria normalmente no es el caso —esos tratamientos por lo general no son lo suficientemente a gran escala o sistemáticos como para considerarse de alto riesgo. En cuanto se trabaja con, por ejemplo, datos de salud a mayor escala, vigilancia por cámara en espacios públicos, o elaboración de perfiles que tenga consecuencias para individuos, la situación cambia. Quien duda sobre si un tratamiento cae en esa categoría, puede fundamentar mejor esa valoración a partir del mismo resumen que también se el registro de tratamientos se construye: por cada tratamiento ya se habrá documentado cuál es la finalidad, el alcance y los datos implicados, y esa es precisamente la información que una valoración de riesgos necesita.

En qué se basa esto: artículo 6 RGPD y la autoridad de control

La obligación de llevar a cabo una DPIA se deriva del RGPD y está vinculada a la base legal del tratamiento conforme al artículo 6 del RGPD: solo si ya se ha establecido una base legal lícita para el tratamiento, es relevante la pregunta de seguimiento de si ese tratamiento también supone un alto riesgo. Las autoridades de control proporcionan orientación adicional sobre qué tratamientos se consideran en la práctica como alto riesgo; en los Países Bajos, la Autoridad de Protección de Datos lo hace con sus propias listas y aclaraciones, mientras que la autoridad de control en otro Estado miembro puede aplicar una lista ligeramente diferente —lo que sigue siendo igual en todas partes es la norma de la propia regulación; lo que varía es la aplicación nacional de qué tratamientos caen dentro de ella. Quien dude sobre si su empresa, por el alcance del tratamiento, necesita un responsable de protección de datos independiente, encontrará un punto de partida en la explicación sobre la obligación de responsable de protección de datos, porque esas dos preguntas —DPIA y responsable de protección de datos— a menudo están vinculadas con el mismo alcance e valoración de riesgos del tratamiento.