Evaluación sistemática y exhaustiva de aspectos personales basada en tratamiento automatizado, sobre cuya base se toman decisiones con efectos jurídicos o que afectan significativamente (art. 35.3.a).
Evaluación de impacto · Art. 35 RGPD
Evaluación de Impacto (EIPD): mide el riesgo antes de poner en marcha el tratamiento.
Cuando un tratamiento puede entrañar alto riesgo para los derechos de las personas, el RGPD obliga a evaluarlo antes de empezar. Analizamos si te aplica, la documentamos con el contenido que exige la ley y, si hace falta, preparamos la consulta previa a la AEPD.
Tratar datos sin haber hecho la evaluación de impacto cuando es exigible es infracción grave con letra propia en la ley española (art. 73.t) LOPDGDD), en el tramo de hasta 10 millones € o el 2 % del volumen de negocio anual global (art. 83.4 RGPD).
Antes del tratamiento
Criterio: alto riesgo
Contenido del art. 35.7
Consulta previa si procede
La regla
El criterio no es tu tamaño. Es el riesgo del tratamiento.
El art. 35.1 RGPD lo condiciona a que sea probable que el tratamiento, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas. Y exige hacerla antes del tratamiento, no después de haberlo lanzado.
Una sola evaluación puede cubrir varias operaciones de tratamiento similares que entrañen riesgos similares, así que no siempre hace falta una por cada proceso.
Tratamiento a gran escala de categorías especiales del art. 9.1 (salud, biometría, ideología) o de datos de condenas e infracciones penales del art. 10 (art. 35.3.b).
Observación sistemática a gran escala de una zona de acceso público (art. 35.3.c). La escala es aquí la palabra decisiva.
La lista de la AEPD
La regla real: dos o más criterios, no uno suelto.
La AEPD publica la lista de tipos de tratamiento que requieren evaluación de impacto, prevista en el art. 35.4 RGPD. Su propia regla de uso es clara: será necesaria una EIPD en la mayoría de los casos en que el tratamiento cumpla dos o más criterios de la lista, y cuantos más reúna, mayor será la certeza de que hace falta. Es una lista orientativa y no exhaustiva.
Valoración de personas en varios ámbitos de su vida, o decisiones automatizadas que impiden acceder a un bien, un servicio o un contrato.
Observación, supervisión, geolocalización o control del interesado de forma sistemática y exhaustiva, incluido el rastreo por aplicaciones o web.
Datos del art. 9.1, datos penales del art. 10, o datos que permitan determinar la situación financiera o de solvencia patrimonial.
Datos biométricos usados para identificar de manera única a una persona, y datos genéticos para cualquier fin.
Sujetos vulnerables o en riesgo de exclusión, incluidos datos de menores de 14 años, personas con discapacidad o víctimas de violencia de género.
Uso innovador de tecnologías, o asociación y enlace de registros de dos o más tratamientos con finalidades distintas o responsables distintos.
Dos avisos honestos. La videovigilancia no figura como supuesto en esa lista: entra por el art. 35.3.c) del RGPD solo si es observación a gran escala de zona pública, cosa que un comercio, un local o una comunidad normalmente no alcanzan. Y la ley española añade en el art. 28.2 LOPDGDD su propio catálogo de situaciones de mayor riesgo, que obliga a valorar si procede la EIPD, no a hacerla en todo caso.
No es lo mismo
Una auditoría puede detectar que hace falta una EIPD. Lo que no puede es sustituirla.
Son dos piezas distintas y se confunden a menudo. La auditoría RGPD hace una foto de cómo está la organización entera respecto de la normativa, sobre lo que ya se hace. La evaluación de impacto se centra en un tratamiento concreto que puede suponer alto riesgo, hay que hacerla antes de ponerlo en marcha y tiene un contenido tasado por el art. 35.7 RGPD.
Mira toda la organización y lo que ya está en marcha: registro de actividades, bases jurídicas, contratos con proveedores, cookies, brechas y derechos. Entrega un informe de estado y un plan priorizado. Ver Auditoría RGPD.
Mira un tratamiento concreto de alto riesgo, es previa a su puesta en marcha y entrega el documento de EIPD con los cuatro contenidos mínimos del art. 35.7, como prueba de diligencia.
Análisis de riesgo del tratamiento. Si sale alto riesgo, evaluación de impacto. Si tras las medidas sigue quedando riesgo alto, consulta previa a la AEPD.
Contenido mínimo
Lo que el art. 35.7 exige que esté dentro.
El RGPD no deja el formato al gusto de cada uno. Fija cuatro contenidos mínimos, y decir "mínimos" significa que se puede ampliar pero no recortar.
Descripción sistemática de las operaciones de tratamiento previstas y de sus fines, incluido el interés legítimo perseguido cuando proceda.
Evaluación de la necesidad y la proporcionalidad de las operaciones con respecto a su finalidad.
Evaluación de los riesgos para los derechos y libertades de los interesados.
Medidas previstas para afrontar los riesgos: garantías, medidas de seguridad y mecanismos que protejan los datos y demuestren la conformidad con el Reglamento.
Si has designado delegado de protección de datos, el art. 35.2 obliga a recabar su asesoramiento al realizar la evaluación. Y el art. 35.11 pide revisarla al menos cuando cambie el riesgo del tratamiento, sin fijar un plazo cerrado. Ver DPO externalizado.
Preguntas frecuentes
Dudas que aparecen siempre.
¿Cuándo es obligatoria una evaluación de impacto?
Cuando sea probable que el tratamiento entrañe un alto riesgo para los derechos y libertades de las personas, y debe hacerse antes del tratamiento (art. 35.1 RGPD). El art. 35.3 nombra en particular tres supuestos: perfiles con efectos significativos, tratamiento a gran escala de categorías especiales o datos penales, y observación sistemática a gran escala de zona de acceso público. La palabra "en particular" es importante: la lista no es cerrada.
¿Tener cámaras obliga a hacer una EIPD?
No de forma automática, y conviene desconfiar de quien lo afirme. La videovigilancia no figura como supuesto en la lista publicada por la AEPD. El art. 35.3.c) RGPD habla de observación sistemática a gran escala de una zona de acceso público, y la mayoría de comercios, locales y comunidades no alcanzan esa escala. Lo que procede es analizar el caso concreto.
¿Qué debe contener exactamente?
Los cuatro contenidos mínimos del art. 35.7 RGPD: descripción sistemática de las operaciones y sus fines, evaluación de la necesidad y la proporcionalidad, evaluación de los riesgos para los interesados, y las medidas previstas para afrontarlos, incluidas garantías y medidas de seguridad.
¿La auditoría RGPD sustituye a la evaluación de impacto?
No. La auditoría revisa la organización entera sobre lo que ya se hace; la EIPD analiza un tratamiento concreto de alto riesgo, es previa a ponerlo en marcha y tiene contenido tasado. Una auditoría puede detectar que hace falta una EIPD, pero no ocupa su lugar.
¿Qué pasa si no la hago cuando es exigible?
La LOPDGDD lo tipifica expresamente como infracción grave en su art. 73.t), que prescribe a los dos años. Se sitúa en el tramo del art. 83.4 RGPD: hasta 10 millones de euros o el 2 % del volumen de negocio total anual global del ejercicio anterior, la mayor de las dos cifras. No es el tramo de 20 millones, que corresponde a otras infracciones.
¿Cuándo hay que consultar antes a la AEPD?
Solo cuando la evaluación concluya que el tratamiento seguiría entrañando alto riesgo si no se toman medidas para mitigarlo (art. 36.1 RGPD). La consulta previa no se dispara por hacer una EIPD, sino por el riesgo alto que queda después de las medidas. La autoridad dispone de ocho semanas para asesorar, prorrogables seis más según la complejidad.
¿Sirve una EIPD para varios tratamientos?
Sí. El art. 35.1 permite que una única evaluación aborde una serie de operaciones de tratamiento similares que entrañen altos riesgos similares. Por eso el primer paso es delimitar bien el alcance, para no multiplicar documentos sin necesidad.
Evaluación de impacto
Antes de lanzar el tratamiento, sal de dudas.
Cuéntanos qué tratamiento tienes en mente o ya en marcha y valoramos si procede una evaluación de impacto, con qué alcance y qué haría falta documentar. Presupuesto a medida según el tratamiento.
Referencias normativas: Reglamento (UE) 2016/679 (RGPD), arts. 35, 36 y 83.4 , LOPDGDD, arts. 28 y 73.t) y AEPD sobre evaluaciones de impacto , con su lista de tratamientos del art. 35.4 . Contenido orientativo: la obligación depende del tratamiento concreto de cada organización.