DPIA — Evaluación de Impacto en la Protección de Datos: ¿cuándo es obligatoria y cuándo no?

Una DPIA suena a algo reservado para grandes empresas. Para una pyme rara vez es necesaria, pero sí lo es en algunas situaciones concretas. Aquí tienes el árbol de decisión.

Una DPIA es un análisis de riesgos estructurado para tratamientos de datos con alto riesgo para la privacidad. La autoridad de protección de datos dispone de una lista de situaciones en las que una DPIA es obligatoria.

¿Cuándo es obligatoria?

• Tratamiento a gran escala de «categorías especiales» (datos médicos, origen étnico, religión).
• Observación sistemática de espacios de acceso público (videovigilancia en ubicaciones céntricas).
• Elaboración de perfiles con efectos jurídicos para los interesados (toma de decisiones automatizada).
• Biometría para identificación (desbloqueo por huella dactilar, reconocimiento facial).
• Seguimiento de ubicación a gran escala.
• Combinación de datos personales procedentes de distintas fuentes (data matching).

¿Cuándo probablemente no es necesaria?

• Administración de RRHH estándar.
• CRM de clientes estándar.
• Facturación.
• Newsletter con consentimiento explícito.

¿Cómo se realiza una DPIA?

1. Descripción del tratamiento: para qué, cómo y qué datos se usan.
2. Evaluación de la necesidad y proporcionalidad.
3. Identificación de riesgos para los interesados.
4. Medidas para reducir el riesgo.
5. Riesgo residual y valoración final.

¿Con quién debes consultarlo?

• El DPO, si lo hay.
• Los interesados (representación de los trabajadores en tratamientos de RRHH).
• La dirección da el visto bueno.

Consulta previa a la autoridad de protección de datos

Si tras la DPIA persiste un riesgo residual significativo, es obligatorio consultar a la autoridad de protección de datos ANTES de iniciar el tratamiento. El plazo habitual es de 6 a 10 semanas.

Véase también: pilar GDPR, gestión de riesgos.