¿Qué es una Evaluación de Impacto?
Es un proceso documentado para describir un tratamiento, valorar su necesidad y proporcionalidad, analizar los riesgos elevados y definir medidas para afrontarlos.
Debe realizarse antes de iniciar el tratamiento cuando sea probable que, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo.
El cumplimiento debe integrarse en la gestión diaria.
Documenta las decisiones y revisa el sistema cuando cambien la actividad, la tecnología o el nivel de riesgo.
¿Cuándo puede ser obligatoria?
El RGPD menciona, entre otros supuestos, la evaluación sistemática y exhaustiva basada en tratamiento automatizado con efectos significativos, el tratamiento a gran escala de categorías especiales o datos penales y la observación sistemática a gran escala de zonas de acceso público.
Además, deben considerarse las listas publicadas por las autoridades de control y la acumulación de factores de riesgo.
Criterios que pueden indicar alto riesgo
Pueden ser relevantes la elaboración de perfiles, decisiones automatizadas, observación sistemática, datos sensibles, gran escala, combinación de conjuntos de datos, colectivos vulnerables, uso innovador de tecnología e impedimentos para ejercer derechos.
La presencia de varios criterios aumenta la necesidad de estudiar una EIPD, aunque siempre debe analizarse el contexto.
Contenido mínimo de una EIPD
Debe incluir una descripción sistemática del tratamiento y sus fines, la evaluación de necesidad y proporcionalidad, la valoración de riesgos y las medidas previstas para afrontarlos.
También debe documentar responsabilidades, participación de las áreas implicadas, consultas y mecanismos de revisión.
El cumplimiento debe integrarse en la gestión diaria.
Documenta las decisiones y revisa el sistema cuando cambien la actividad, la tecnología o el nivel de riesgo.
Cómo realizarla paso a paso
Primero se define el tratamiento y sus flujos. Después se analiza la necesidad, la proporcionalidad y el cumplimiento de los principios.
A continuación se identifican riesgos, se estiman probabilidad e impacto, se eligen medidas y se valora el riesgo residual.
El DPD, cuando exista, debe asesorar y supervisar, y puede ser necesario recabar la opinión de los interesados o sus representantes.
¿Qué ocurre si persiste un alto riesgo?
Si las medidas previstas no reducen suficientemente el alto riesgo, el responsable debe consultar a la autoridad de control antes de iniciar el tratamiento.
La consulta previa no sustituye el trabajo de la EIPD; se apoya en la documentación ya elaborada.
Revisión de la EIPD
La evaluación debe revisarse cuando cambian el tratamiento, la tecnología, los riesgos o las medidas, y cuando existan indicios de que las conclusiones han dejado de ser válidas.
Debe mantenerse como un documento vivo vinculado al ciclo de vida del tratamiento.
Errores frecuentes
Entre los errores habituales están realizarla después de implantar el sistema, utilizar plantillas sin análisis real, centrarse solo en seguridad informática y no valorar la proporcionalidad.
También es un error tratar la EIPD como un documento aislado sin conexión con el RAT, los contratos, la seguridad y los procedimientos.
Conclusión
La protección de datos debe adaptarse a la realidad de cada organización. Un análisis ordenado, documentación coherente, medidas proporcionadas y revisiones periódicas permiten mantener el cumplimiento y reducir riesgos.
En LIRO Consultoras ayudamos a empresas y organizaciones a implantar y mantener actualizado su sistema de protección de datos. Consulta nuestro servicio de Protección de Datos.