Una DPIA, en su forma completa evaluación de impacto relativa a la protección de datos, es un análisis de riesgo que realiza de forma previa cuando el tratamiento de datos personales probablemente conlleve un riesgo alto para las personas cuyos datos se tratan. El RGPD no impone este análisis en todos los tratamientos, sino específicamente en aquellos que por su naturaleza, alcance, contexto u objetivo pueden tener un gran impacto — piense en la supervisión a gran escala, la elaboración de perfiles sistemática o el tratamiento de datos especiales como información de salud a gran escala.
El hecho de que su empresa deba realizar una DPIA depende de lo que haga exactamente con los datos, no del tamaño de su empresa. Un autónomo que instala cámaras a pequeña escala en una tienda generalmente está fuera de esta obligación; una pequeña o mediana empresa que utiliza software de inteligencia artificial a gran escala para analizar el comportamiento de los clientes o evalúa solicitantes, es más probable que incurra en la obligación de realizar una DPIA. La Autoridad de Protección de Datos publica una lista de tratamientos para los que este análisis siempre es necesario según ella; esa lista es un buen punto de partida para determinar si su situación está incluida.
Cuándo es relevante para las pequeñas y medianas empresas
La mayoría de las pequeñas y medianas empresas escapan a una DPIA formal, simplemente porque sus tratamientos no tienen la escala o el nivel de riesgo que el RGPD contempla. Sin embargo, hay situaciones en las que la cuestión de repente sí es relevante: la introducción de vigilancia por cámara con reconocimiento facial, el uso de una nueva herramienta de inteligencia artificial que toma decisiones automáticas sobre clientes o empleados, o una ampliación del software existente mediante el cual de repente recopila datos a una escala mucho mayor que antes.
Por lo tanto, no es tanto el sector lo que determina si se necesita una DPIA, sino el cambio en lo que hace. Un departamento de recursos humanos que cambia a una herramienta de selección con evaluación automática de currículum hace bien en preguntarse si ese cambio cumple los criterios. Lo mismo ocurre con un gerente de oficina que considera implementar una nueva herramienta SaaS que rastrea el comportamiento de los visitantes del sitio web y la combina con otras fuentes de datos.
Qué debe contener una DPIA
Una DPIA describe sistemáticamente qué ocurre: qué datos se tratan, con qué fin, sobre qué base legal, y quién puede acceder a los datos. A continuación, el análisis asigna los riesgos para los interesados — qué puede salir mal, y cuál es la probabilidad e impacto de ello. La última parte es la medida: qué pasos técnicos u organizativos se toman para reducir esos riesgos, y si después de esas medidas permanece algún riesgo que no se puede eliminar.
Este último punto es importante: si una DPIA muestra que existe un riesgo alto incluso después de aplicar medidas, el RGPD establece que debe presentarlo a la autoridad de control antes de iniciar el tratamiento. Esta es una excepción, no un paso estándar, pero es la razón por la que una DPIA no es algo que rellene después.
La relación con el registro de tratamiento
Una DPIA no está aislada del resto de su documentación sobre protección de datos. El tratamiento para el cual realiza el análisis, también debe figurar en la base de conocimiento donde se trabajan los riesgos por cada tratamiento, para que quede claro qué tratamientos necesitan atención adicional y cuáles no. Quien ya tiene el registro de tratamiento en orden, a menudo ve automáticamente qué tratamientos están más cerca del umbral de DPIA que otros en cuanto a escala o sensibilidad.
También es un buen momento para revisar los acuerdos de tratamiento de datos que corresponden a este tratamiento: una parte externa que procesa los datos para los que usted contempla una EIPD es a menudo también la parte donde surgen los mayores riesgos si algo sale mal. Al igual que en caso de una posible filtración de datos, es útil saber de antemano dónde se encuentra en lugar de tener que averiguar después exactamente qué se acordó.
¿Qué pasa si tiene dudas
La línea entre "probablemente no se necesita EIPD" y "mejor analizar primero" no siempre es clara, y el RGPD deja deliberadamente espacio para su propia evaluación. En caso de duda, se recomienda consultar las directrices de la Autoridad de Protección de Datos o pedir a un abogado que analice su situación específica. Esta página describe la línea general de la normativa; no es un sustituto de ese asesoramiento.
¿Desea primero hacerse una idea de cómo se comparan sus propios tratamientos con la evaluación de riesgos que utiliza el RGPD? Realice el análisis rápido gratuito u ojee las preguntas frecuentes sobre el registro y su seguimiento para ver qué paso es más apropiado para su empresa.