Evaluación de Impacto de Privacidad – RGPD

El instrumento para una evaluación de impacto sobre la privacidad (PIA) o evaluación de impacto en la protección de datos (DPIA) fue introducido con el Reglamento General de Protección de Datos (Art. 35 del RGPD). Esto se refiere a la obligación del responsable de realizar una evaluación de impacto y documentarla antes de comenzar el procesamiento de datos previsto. Se puede agrupar la evaluación para varios procedimientos de procesamiento.

Básicamente, debe realizarse siempre una evaluación de impacto de protección de datos cuando el procesamiento pudiera resultar en un alto riesgo para los derechos y libertades de las personas naturales. La evaluación debe llevarse a cabo especialmente si uno de los ejemplos de reglas establecidos en el Art. 35(3) del RGPD es relevante. Para especificar la redacción abierta de la ley con respecto a la obligación básica de realizar una evaluación de impacto de privacidad, las autoridades de supervisión están involucradas. En un primer borrador, el Grupo de Trabajo del Artículo 29 creó un catálogo de diez criterios que indican que el procesamiento conlleva un alto riesgo para los derechos y libertades de una persona natural. Estos son, por ejemplo, puntuación/perfilado, decisiones automáticas que conllevan consecuencias legales para los afectados, monitoreo sistemático, procesamiento de datos personales especiales, datos que se procesan a gran escala, la fusión o combinación de datos recolectados por varios procesos, datos sobre personas incapacitadas o con habilidad limitada para actuar, uso de tecnologías nuevas o procedimientos biométricos, transferencia de datos a países fuera de la UE/EAE y procesamiento de datos que dificulta a los involucrados ejercer sus derechos. Una evaluación de impacto de privacidad no es absolutamente necesaria si una operación de procesamiento solo cumple uno de estos criterios. Sin embargo, si se cumplen varios criterios, se espera que el riesgo para los interesados sea alto y siempre se requiere una evaluación de impacto de protección de datos. Si hay dudas y es difícil determinar un alto riesgo, no obstante, se debe realizar una DPIA. Este proceso debe repetirse al menos cada tres años.

Además, las autoridades de supervisión nacionales deben establecer y publicar una lista de operaciones de procesamiento que siempre requieren una evaluación de impacto relativa a la protección de datos en su jurisdicción (lista positiva). También son libres de publicar una lista de actividades de procesamiento que específicamente no requieren una evaluación de impacto relativa a la privacidad (lista negativa). Si una empresa ha designado un Oficial de Protección de Datos, su asesoramiento debe ser tomado en cuenta al realizar una DPIA. Cómo y bajo qué criterios se evalúan las consecuencias y riesgos para los interesados sigue siendo en gran medida sin respuesta. Los primeros modelos fueron guiados por los esquemas de inspección de las normas ISO o el Modelo Estándar de Protección de Datos.