Evaluación de Impacto Protección de Datos (EIPD): Qué es, cómo realizarla y ejemplos

La evaluación de impacto en protección de datos es un análisis previo que identifica y mide los riesgos potenciales que un tratamiento de datos personales podría generar para los derechos y libertades de los interesados, que permite tomar medidas para proteger la privacidad de las personas antes de iniciar el tratamiento.

En las siguientes líneas encontraréis una guía detallada sobre qué es la evaluación de impacto en la protección de datos personales, cuándo es obligatorio hacerla y cómo se lleva a cabo.

¿Qué es una evaluación de impacto de la protección de datos?

Como decíamos en la introducción, una evaluación de impacto en protección de datos (EIPD) es un análisis previo de los riesgos potenciales que un determinado tratamiento de datos personales puede tener para los derechos y libertades fundamentales de los interesados (personas físicas titulares de los datos). Del resultado de la EIPD se obtendrá un informe que permitirá al responsable o encargado del tratamiento determinar qué medidas de seguridad es necesario adoptar para eliminar o minimizar los riesgos identificados y su impacto.

Una EIPD o evaluación de impacto de protección de datos es una evaluación de impacto relacionada con la privacidad y cuyo objetivo es identificar y analizar las consecuencias que determinadas acciones o actividades pueden tener para la privacidad.

En otras palabras, una EIPD consiste en identificar los riesgos para la protección de datos que pueden derivarse del uso de un determinado sistema de información, producto o servicio que implique el tratamiento de datos personales, para poder implementar medidas de seguridad que permitan gestionar dichos riesgos, eliminándolos o minimizando tanto la probabilidad de que se materialicen como el impacto negativo que tendrían sobre los derechos y libertades de los interesados.

La evaluación de impacto en el RGPD está recogida en el artículo 35, que estable que cuando un tratamiento «entrañe un alto riesgo para los derechos y libertades de las personas físicas» será necesario llevar a cabo dicha evaluación antes de llevar a cabo el tratamiento.

Cuándo es obligatorio realizar una evaluación de impactos en la protección de datos personales?

El artículo 35.3 del RGPD establece en qué supuestos es obligatorio hacer una evaluación de impacto en protección de datos:

• Alto riesgo: Cuando el tratamiento vaya a entrañar un alto riesgo para los derechos y libertades de las personas físicas. Por ejemplo, en el empleo de nuevas tecnologías, o si atendemos a su naturaleza, contexto y alcance.
• Evaluación sistemática: En el momento que, sistemáticamente, se evalúe aspectos personales de personas físicas basadas en un tratamiento automatizado. Por ejemplo, es el caso de la elaboración de perfiles.
• Tratamiento a gran escala de datos especialmente protegidos: Si se efectúa un tratamiento a gran escala de las categorías especiales de datos del artículo 9, apartado 1 del RGPD, o de los datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10 del RGPD. Incluimos en este apartado también los datos personales relativos a menores (aquí puedes ver diferentes ejemplos de datos personales).
• Uso de tecnologías invasivas: Se van a utilizar tecnologías que se consideran especialmente invasivas con la privacidad.
  • Videovigilancia a gran escala
  • Aeronaves no tripuladas (drones)
  • Vigilancia electrónica
  • Minería de datos
  • Biometría
  • Técnicas genéticas
  • Geolocalización

Como parte de sus funciones, la AEPD también publicó una lista de tratamientos donde la evaluación de impacto es obligatoria (teniendo en cuenta que dicha lista es orientativa y susceptible de ampliación):

• Tratamientos que supongan la elaboración de perfiles y valoraciones de personas, incluida la recopilación de datos que se refieran a hábitos o aspectos de la personalidad de la persona.
• Tratamientos que conlleven la toma de decisiones automatizadas, incluida la elaboración de perfiles.
• Monitoreo, observación, supervisión o geolocalización de personas o se lleve a cabo cualquier tipo de control de forma sistemática.
• Cuando se tratan datos especialmente protegidos, datos referidos a infracciones penales o datos de solvencia patrimonial o referidos a la situación financiera de las personas.
• Uso de datos biométricos para la identificación unívoca de las personas.
• Tratamientos de datos a gran escala.
• Cuando se combinen o asocien registros de bases de datos de dos o más tratamientos por diferentes responsables y con fines diferentes.
• Si se tratan datos de colectivos vulnerables o en riesgo de exclusión social, incluidos los datos de menores de 14 años, discapacitados, víctimas de violencia de género, personas que accedan a servicios sociales y sus descendientes o personas que estén bajo custodia.
• Cuando se empleen nuevas tecnologías o tecnologías existentes, pero de manera innovadora, y la recopilación y tratamiento de esos datos suponga un riesgo para los derechos y libertades de los afectados.

Como podemos ver, la obligación de realizar una evaluación de impacto no depende del tipo de empresa o su actividad, sino de determinados tratamientos de datos y los riesgos que pueden entrañar para los derechos y libertades de los interesados. Así, algunas empresas o entidades que deberían realizar, a modo de ejemplos, análisis de evaluación de impacto serían:

• Farmacéuticas
• Hospitales y clínicas
• Seguridad privada, vigilancia y control
• Comercializadoras de energía
• Empresas que realicen e-commerce
• Colegios

Más allá de estos supuestos, cabe señalar, que según el RGPD, corresponde a responsables y encargados del tratamiento valorar y determinar si es necesario hacer una evaluación de impacto de un tratamiento de datos concretos, para lo que pueden consultar a su Delegado de Protección de Datos (si se cuenta con él).

¿Quién debe realizar la Evaluación de Impacto de la Protección de Datos?

La evaluación de impacto de la protección de datos debe realizarla el responsable del tratamiento, asesorado por el Delegado de Protección de Datos (DPO), si la empresa tiene designado uno, pudiendo contar con el apoyo del encargado del tratamiento (si lo hubiese) y otro personal de los departamentos de tecnología o jurídico, por ejemplo, un abogado experto en protección de datos, o de otros departamentos que puedan estar implicados en el tratamiento.

Aunque el responsable del tratamiento es quien tiene la obligación de hacer la EIPD RGPD, la normativa permite que esta pueda llevarse a cabo por un servicio externo especializado en protección de datos, dada la complejidad que puede llegar a suponer su realización.

Respecto al papel del Delegado de Protección de Datos en las EIPD, como hemos dicho, debe asesorar al responsable de protección de datos, teniendo una intervención activa en el diseño y ejecución de la evaluación, con funciones de coordinación o de interlocución principal con los evaluadores, o bien de colaboración con el evaluador, si resulte que no tiene que asumir el papel principal en la EIPD.

En este último caso queda como persona de contacto relevante dentro de la organización y tiene que atender las consultas y dar el apoyo que el responsable del tratamiento determine en cada caso.

 

¿Cómo realizar una evaluación de impacto de protección de datos? Paso a paso

El artículo 35.7 del RGPD concreta cuál de ser el contenido mínimo de la evaluación de impacto, en concreto, cualquier EIPD debe incluir:

• Una descripción sistemática de las actividades de tratamiento previstas y sus fines, incluido, cuando proceda, el interés legítimo perseguido por el responsable del tratamiento.
• Una evaluación de la necesidad y la proporcionalidad de las actividades de tratamiento con respecto a su finalidad.
• Una evaluación de los riesgos para los derechos y libertades de los interesados.
• Las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad y mecanismo que garanticen la protección de datos personales.

En cuanto a su realización, debemos tener en cuenta que las evaluaciones de alto riesgo de protección de datos se componen de una serie de fases, cuyo objetivo es ofrecer una visión detallada de los riesgos para la seguridad de los datos personales que puedan derivarse de una actividad de tratamiento concreta.

Así mismo, también hay que tener en cuenta que implica la consideración de los siguientes factores:

• La definición de quién realizará la EIPD.
• Las tareas que se van a realizar y cómo se van a llevar a cabo.
• La documentación de todo el proceso.
• Debe ser un proceso objetivo y sistemático, que garantice la homogeneidad, repetitividad y comparabilidad en la realización de la EIPD.

A continuación, en esta pequeña guía de evaluación de impacto en la protección de datos, mostramos y detallamos cuáles son las fases por las que debe pasar la EIPD y cómo deben llevarse a cabo.

Te recordamos que con Atico34 puedes dejar todos estos procedimientos en nuestras manos, pero, aun así, siempre conviene estar informado.

Establecer la necesidad de una EIPD

Se debe establecer la necesidad de realizar una EIPD, para ello se describirá el tratamiento en detalle y se valorará si cumple con los supuestos contemplados en el RGPD y por la AEPD para llevar a cabo una evaluación de impacto. En caso de que la empresa o entidad cuente con un delegado de protección de datos, se debe considerar su opinión respecto a la necesidad de hacer la EIPD.

Definir los flujos de información

Se deberá llevar a cabo un análisis en profundidad del proyecto, obteniendo el detalle de las categorías de datos que se tratan, los usuarios de los mismos, los flujos de información y las tecnologías utilizadas.

En esta fase es importante describir el ciclo de vida de los datos, puesto que será necesario para identificar los riesgos potenciales en la siguiente fase. Esta descripción debe ser todo lo detallada que sea posible e incluir a todos los actores y elementos que intervienen durante las actividades de tratamiento desde su inicio hasta su fin.

Recordamos que el ciclo de vida de los datos se puede dividir en las siguientes etapas:

1. Captura de datos: Es el proceso de obtención de datos para su almacenamiento y posterior procesado. Puede hacerse diversas formas (formularios web, encuestas, fuentes externas, etc.).
2. Clasificación y almacenamiento: Se establecen categorías para asignar a los datos y clasificarlos para su almacenamiento en archivos o sistemas.
3. Uso y tratamiento: Es el conjunto de operaciones realizadas sobre los datos personales, sea de forma manual o automatizada.
4. Cesión de datos a terceros para su tratamiento: Comunicación o cesión de datos personales a un tercero para que lleve a cabo algún tipo de tratamiento.
5. Destrucción: Supresión o eliminación de los datos personales, sin que puedan ser recuperados con posterioridad.

En cada una de estas etapas, además, se deben identificar los elementos involucrados:

• Actividades u operaciones de tratamiento: Se deben describir en detalle para poder identificar los riesgos a los que pueden estar expuestos los datos.
• Datos: Describir cada categoría de datos que se van a tratar y su grado de importancia.
• Intervinientes: Identificar todas las personas físicas y jurídicas que estarán implicadas en las actividades de tratamiento y delimitar sus funciones y responsabilidades.
• Tecnologías empleadas: Identificar los elementos tecnológicos que intervendrán o se usarán en las actividades de tratamiento.

Así mismo, es recomendable realizar un juicio de proporcionalidad para comprobar si la operación de tratamiento supone una medida restrictiva de un derecho fundamental:

• Juicio de idoneidad: Que la medida pueda conseguir el objetivo propuesto.
• Juicio de necesidad: Si, además, es necesaria, en el sentido de que no existe otra más moderada para conseguir este propósito con la misma eficacia.
• Juicio de proporcionalidad en sentido estricto: Si la medida es ponderada o equilibrada, porque se derivan más beneficios o ventajas para el interés general que no perjuicios sobre otros bienes o valores en conflicto.

Por lo tanto, la proporcionalidad tiene que ver con evaluar si la finalidad que se persigue se puede conseguir por otros medios.

Identificar los problemas de cumplimiento y evaluar los riesgos

Se debe realizar un análisis de riesgos RGPD que permita identificar los riesgos que pueden derivarse del tratamiento de datos y valorar la probabilidad y el impacto de materialización, para determinar el nivel de los riesgos y si estos son tolerables, se pueden minimizar o eliminar o son inaceptables.

Cabe señalar que los riegos pueden ser dos tipos:

• Riesgos que afectan a las personas cuyos datos son tratados y que se pueden concretar en:
  • Vulneraciones de sus derechos y libertades
  • Pérdida de información necesaria
  • Daño causado por la utilización ilícita o fraudulenta de los datos
• Riesgos que pueden afectar a la empresa u organización por no haber implementado una política de protección de datos adecuada y suficiente.

El nivel de impacto se determina en base a los posibles daños que se pueden producir a los interesados si la amenaza se materializa y se evalúa estableciendo una escala de cuatro valores posibles:

• Impacto despreciable: Cuando el daño causado no es relevante.
• Impacto limitado: Cuando se produce un daño menor al interesado.
• Impacto significativo: Cuando se produce un daño elevado al interesado.
• Impacto máximo: Cuando el daño causado al interesado se considera crítico.

Así mismo, los daños pueden ser físicos, materiales o morales.

A continuación dejamos unos ejemplos:

Para poder trasladar estos datos a una matriz o mapa de riesgos, habrá que asignarles valores a cada uno de los niveles de las escalas de probabilidad e impacto, así poder determinar el nivel de riesgo (bajo, medio, alto o muy alto).

Describir las acciones previstas para llevar a cabo el cumplimiento normativo

Una vez analizado los riesgos se deben establecer medidas para afrontarlos.

Es decir, se deben establecer garantías en función de los mismos mediante las cuales se garantice la protección de los datos personales, así como también que todos los procedimientos cumplen escrupulosamente con la normativa (RGPD), siempre sin perder de vista los derechos e intereses legítimos de los interesados y de otras personas afectadas.

Estas medidas deben tener como fin eliminar, mitigar o transferir los riesgos detectados. Generalmente, las evaluaciones de impacto también incluyen la aceptación de los riesgos detectados, pero en protección de datos y respecto a cómo pueden verse impactados los derechos y libertades de las personas, la aceptación podría suponer un incumplimiento de la normativa, por lo que las medidas siempre deben encaminarse a evitar o eliminar esos riesgos.

Así mismo, se describirán las acciones previstas para mitigar los riesgos detectados (esta información, de manera sintetizada, es la que se consignará en el apartado de medidas de seguridad del registro de actividades de tratamiento).

Cabe señalar que si un riesgo es muy alto y tras aplicar las medidas de seguridad sigue siéndolo, se determinará como inaceptable y el tratamiento no debe llevarse a cabo.

Documentar y registrar un Informe final

Una vez que se hayan identificado todos los riesgos derivados del tratamiento y se hayan estudiado las medidas idóneas, se realizará un informe final en el que se detallará la hoja de ruta a seguir. Este informe será la base para el cumplimiento de la normativa de protección de datos, y contendrá todos los riesgos y las medidas para evitar que pongan en peligro los derechos o libertades de clientes, empleados, proveedores, socios, etc.

Modelo de informe EIPD

La AEPD, para ayudar en el cumplimiento de la protección de datos en la empresa, publicó un modelo de Evaluación de Impacto en la Protección de Datos. La estructura de este modelo de informe final de una EIPD se divide en los siguientes puntos:

• Resumen ejecutivo
• Descripción del tratamiento
• Licitud del tratamiento
• Metodología de la EIPD
• Análisis del tratamiento
• Análisis de la obligación de realizar una EIPD
• Análisis de la necesidad del tratamiento
• Medidas para la reducción del riesgo
• Análisis de balance entre riesgo-beneficio
• Plan de acción
• Conclusiones y recomendaciones

A continuación os dejamos el citado modelo de informe de evaluación de impacto de la AEPD, que podéis utilizar para realizar las EIPD de los tratamientos que lo requieran (si bien recomendamos dejar en manos de expertos en la materia realizar las evaluaciones de impacto en protección de datos, puesto que suponen una labor compleja).

Revisión

El informe final de la evaluación de alto riesgo en protección de datos puede estar sujeto a posibles revisiones, para detectar fallos o aspectos a mejorar. Además, estas revisiones se han de realizar de forma periódica, para adaptar las líneas de actuación a posibles cambios en la normativa o en el propio desarrollo de las actividades de la empresa.

Ejemplo de evaluación de impacto de datos personales

De modo orientativo, vamos a ver un ejemplo de evaluación de impacto en protección datos.

Supongamos que una empresa quiere implementar un control de acceso a las instalaciones mediante huella dactilar, es decir, utilizando datos biométricos para la identificación de personas.

El primer paso es identificar los datos personales que se van a recopilar:

• Plantilla de la huella dactilar – dato de categoría especial
• Nombre y apellidos
• Cargo/Puesto en la empresa

El siguiente paso es realizar el análisis de riesgos:

• Acceso no autorizado a la base de datos en la que se almacenan las plantillas de las huellas dactilares
• Filtración de la base de datos
• Suplantación de identidad
• Determinar la probabilidad de materialización de estos riesgos y su impacto para los empleados

A continuación se evaluarán cuáles son las medidas que se pueden adoptar para mitigar los riesgos detectados:

• Cifrado de la base de datos
• Limitación de acceso autorizado a la base de datos

Aplicadas las medidas, se vuelven a evaluar los riesgos para determinar la eficacia de las medidas y si estas serán suficientes.

Finalmente, se emite el informe de la evaluación de impacto realizada.

Evidentemente, este ejemplo de EIPD es muy básico, pero sirve para que os hagáis una idea de cómo funciona de manera algo esquemática este tipo de análisis de riesgos (que en realidad lleva un trabajo más profundo y detallado, que requiere de tener experiencia y conocimientos en protección de datos).

Evaluación de impacto en el RGPD y su relación con el Reglamento de IA

Como el RGPD, el Reglamento de IA también exige la realización de una evaluación de impacto en materia de derechos fundamentales, si bien solo lo hace en determinados supuestos, en concreto, respecto a los sistemas de IA de alto riesgo contemplados en el artículo 6.2 del Reglamento.

Esta evaluación de impacto es similar a la EIPD y debe hacerse de forma previa al uso o despliegue de un sistema de IA de alto riesgo, para determinar cuál será su impacto en los derechos fundamentales de las personas. Aunque no se limita a los datos personales, estos sí que forman parte de ella, en tanto en cuanto los sistemas de IA de alto riesgo pueden tratar datos personales, incluidos los de categorías especiales (por ejemplo, el empleo del reconocimiento facial en videovigilancia, cuyo yo ya de por sí está muy limitado, requiere una evaluación de impacto).

La evaluación de impacto que recoge el Reglamento de IA consiste en:

• Una descripción de cómo se usará el sistema de IA de alto riesgo en los procesos del operador, según el propósito para el que fue diseñado.
• Detalles sobre cuánto tiempo y con qué frecuencia se espera utilizar cada sistema de IA de alto riesgo.
• Identificación de las categorías de personas y grupos que podrían verse afectados por el uso de este sistema en un contexto específico.
• Los riesgos específicos de daño que podrían afectar a las personas o grupos mencionados en el punto anterior, considerando la información proporcionada por el proveedor según el artículo 13 del Reglamento.
• Una descripción de cómo se aplicarán las medidas de supervisión humana, según las instrucciones de uso.
• Las acciones que deben tomarse si estos riesgos se materializan, incluyendo disposiciones sobre gobernanza interna y mecanismos para presentar quejas.

Si bien, cómo hemos dicho, la evaluación de impacto sobre derechos fundamentales se hace con carácter previo, también puede actualizarse si es necesario.

Los resultados de la evaluación de impacto se deben comunicar a la autoridad competente (salvo que estén exentos).

Cabe señalar que hacer esta evaluación de impacto, no exime de hacer la EIPD, si el sistema de IA implica el tratamiento de datos personales de categorías especiales, a gran escala o de forma sistemática.

Sanciones por no realizar la EIPD cuando hay obligación de hacerla

No realizar la EIPD cuando hay obligación de hacerlo está calificado como infracción grave en el artículo 73 de la LOPDGDD, por lo que las sanciones que se pueden imponer van de los 40.001 euros a los 300.000 euros.

¿Necesita tu empresa realizar una EIPD? Atico34 puede ayudarte

¿No te queda claro si debes realizar una evaluación de impacto en la protección de datos personales? ¿No sabes cómo llevarla a cabo? No te preocupes, puedes recurrir a los servicios de una consultoría de protección de datos, como Atico34, y contratar protección de datos con nosotros; tenemos más de 12 años de experiencia haciendo que empresas de todos los tamaños y sectores cumplan con la ley de protección de datos.

 

Nuestro equipo de expertos se encargará de analizar tu negocio y de determinar los riesgos derivados del tratamiento de datos personales.

No solo te decimos si es necesario que lleves a cabo la evaluación de impacto, sino que nos encargamos de todo el proceso para que no tengas que preocuparte de nada.

Ponte en contacto con nosotros y descubre cómo podemos ayudarte.