Evaluación de impacto en protección de datos: cuándo es obligatoria y qué preparar
La nueva ley de protección de datos personales exige que el responsable haga una evaluación de impacto antes de empezar un tratamiento que probablemente implique un alto riesgo para las personas. En cuatro casos se exige siempre. Omitirla donde corresponde es de las infracciones más graves. Esta guía explica cuándo, qué incluirán las orientaciones de la Agencia y qué preparar.
En breve
- La evaluación se hace antes de empezar el tratamiento, no después de ponerlo en marcha.por validar
- Es obligatoria cuando es probable un alto riesgo, y siempre en cuatro casos que la ley enumera.por validar
- Las orientaciones mínimas que la Agencia debe fijar incluirán, a lo menos, la descripción del tratamiento, su finalidad, su necesidad y proporcionalidad, y los riesgos con sus medidas de mitigación.por validar
- Omitirla donde corresponde está en el nivel más grave de infracciones.por validar
- Quien decide el tratamiento es quien debe hacerla: reúne desde ya los insumos de tu operación y de tus proveedores.por validar
Cuándo es obligatoria
La ley exige una evaluación de impacto cuando es probable que un tipo de tratamiento, por su naturaleza, su alcance, su contexto, la tecnología empleada o sus fines, pueda producir un alto riesgo para los derechos de las personas cuyos datos se tratan.por validar
La obligación recae en el responsable, es decir, en quien decide los fines y los medios del tratamiento.por validar
Qué significa en tu operación
- Pregúntate, para cada tratamiento nuevo, si por su naturaleza, alcance, contexto, tecnología o fines puede suponer un alto riesgo para las personas.por validar
- Si dudas, trátalo como obligatoria y confirma con tu asesor legal antes de empezar.por validar
Los cuatro casos en que siempre se exige
Más allá de la regla general, la ley enumera cuatro casos en que la evaluación se exige siempre. El cuadro los resume en lenguaje claro.por validar
Qué significa en tu operación
- Marca cuáles de los cuatro casos se parecen a tu operación y deja constancia escrita de la conclusión, también cuando concluyas que no aplica.por validar
- Si tu operación combina varios recintos, trabajadores de varias empresas o muchos turnos, evalúa el alcance de forma conjunta.por validar
| Caso | Qué significapor validar | Pregunta para tu operaciónpor validar |
|---|---|---|
| Decisiones automatizadaspor validar | Evaluación sistemática de aspectos personales, con decisiones automatizadas que producen efectos jurídicos significativos. | ¿Alguna decisión sobre una persona la toma un sistema sin intervención humana y le afecta de forma importante? |
| Tratamiento masivopor validar | Tratamiento masivo de datos o a gran escala. | ¿Cuántas personas y cuántos datos abarca la operación en conjunto, y en cuántos recintos? |
| Observación de zonas públicaspor validar | Observación sistemática de una zona de acceso público. | ¿Algún equipo observa de forma continua un lugar al que entra cualquier persona? |
| Datos sensibles sin consentimientopor validar | Tratamiento de datos sensibles y especialmente protegidos en las hipótesis en que la ley permite tratarlos sin consentimiento. | ¿Tratas datos sensibles apoyándote en una de esas excepciones y no en el consentimiento de la persona? |
Se hace antes de empezar el tratamiento
La evaluación debe realizarse antes de iniciar las operaciones del tratamiento. No sirve completarla después de que el sistema ya esté funcionando.por validar
Si el resultado muestra un alto riesgo, el responsable puede consultar a la Agencia de Protección de Datos Personales, la autoridad que vela por la protección de los datos y fiscaliza la ley. La Agencia también publicará una lista orientativa de tratamientos y orientaciones mínimas para hacer la evaluación.por validar
Qué significa en tu operación
- Incluye la evaluación en el calendario del proyecto, antes de la fecha de puesta en marcha y de cualquier piloto con personas reales.por validar
- Si tu proveedor cambia el sistema de forma importante, revisa si la evaluación sigue describiendo lo que ocurre.por validar
Qué incluirán las orientaciones mínimas de la Agencia
Las orientaciones mínimas que la ley prevé para la evaluación piden cuatro contenidos: la descripción del tratamiento, su finalidad, su necesidad y proporcionalidad, y los riesgos con las medidas para mitigarlos.por validar
Qué significa en tu operación
- Redacta cada contenido en un apartado propio, para que la Agencia o tu asesor legal puedan revisarlo sin buscar.por validar
- En la parte de necesidad y proporcionalidad, incluye las alternativas menos invasivas que consideraste y por qué las descartaste.por validar
| Contenido | Qué respondepor validar |
|---|---|
| Descripciónpor validar | Cómo es el tratamiento: qué se hace con los datos y con qué tecnología. |
| Finalidadpor validar | Para qué se tratan. |
| Necesidad y proporcionalidadpor validar | Por qué hace falta ese tratamiento y si guarda proporción con su finalidad. |
| Riesgos y mitigaciónpor validar | Qué podría salir mal para las personas y qué medidas lo reducen. |
Qué debe preparar quien la hace
Como la evaluación describe el tratamiento y sus riesgos, su calidad depende de la información que tengas antes de empezar. Estos insumos son los que piden los cuatro contenidos mínimos.por validar
Qué significa en tu operación
- Un mapa de los datos: qué se recoge, en qué momento, dónde se guarda, quién accede y cuándo se elimina.por validar
- La descripción técnica del sistema que entrega cada proveedor, incluido qué métodos de identificación usan datos biométricos y cuáles no.por validar
- La lista de los proveedores que tratan datos por tu cuenta, con el contrato que fija su encargo.por validar
- Los riesgos que ves para las personas y las medidas que ya tienes: seguridad, acceso, plazos de conservación y una alternativa para quien no quiera usar su rostro.por validar
- La decisión escrita de quién en tu organización aprueba la evaluación y cada cuánto la revisa.por validar
Qué pasa si se omite
Incumplir la obligación de hacer la evaluación de impacto donde corresponde se clasifica en el nivel más grave de infracciones. Las cuantías las fija la ley y se confirman con el texto oficial.por validar
Para la escala completa de infracciones, los factores que atenúan o agravan y el efecto de un modelo de prevención, consulta la guía de sanciones.por validar
Qué significa en tu operación
- Trata la evaluación como un requisito previo a la puesta en marcha, no como un trámite posterior.por validar
- Guarda la evaluación firmada y sus actualizaciones: demuestran que la hiciste y cuándo.por validar
Qué puede aportar BiometryPass a tu evaluación
- De las cinco formas de identificar a un trabajador que BiometryPass ofrece, solo una trabaja con datos biométricos. Esa diferencia es un insumo para la descripción del tratamiento y para la sección de riesgos.por validar
- [por validar] Qué documentos entrega BiometryPass a un cliente como insumo de su evaluación: descripción del flujo de datos, riesgos y medidas de mitigación.por validar
- [por validar] Si existe una plantilla o un formato de descripción de la arquitectura que BiometryPass entregue al cliente.por validar
- [por validar] Quién en BiometryPass responde las consultas del cliente mientras prepara su evaluación.por validar
Tecnologías relacionadas
Preguntas frecuentes
¿Quién debe hacer la evaluación de impacto?por validar
El responsable del tratamiento, es decir, quien decide los fines y los medios. Un proveedor puede entregarle información para prepararla, pero la obligación es de quien decide el tratamiento. Si no tienes claro quién es el responsable en tu cadena de contratos, resuélvelo con tu asesor legal antes de empezar.
¿Cuándo hay que hacerla?por validar
Antes de iniciar el tratamiento. Si ya empezó sin evaluación y era obligatoria, conviene consultar a un abogado cuanto antes sobre cómo regularizarlo.
¿Toda operación con datos biométricos exige una evaluación de impacto?por validar
La ley la exige cuando es probable un alto riesgo y siempre en cuatro casos enumerados. La fuente consultada no dice que cada operación biométrica quede incluida por ese solo hecho: si la tuya lo está depende de su alcance, su contexto y su base legal, y es un punto para tu asesor legal.
¿Se puede consultar a la autoridad?por validar
Sí. Si el resultado de la evaluación muestra un alto riesgo, el responsable puede consultar a la Agencia de Protección de Datos Personales. La Agencia además publicará orientaciones mínimas sobre el contenido; confírmalas con su texto oficial.
¿Qué riesgo corre quien la omite?por validar
Una infracción del nivel más grave. Las cuantías las fija la ley y se confirman con el texto oficial.
¿BiometryPass hace la evaluación por el cliente?por validar
[por validar] Qué insumos entrega BiometryPass al cliente para su evaluación y si ofrece una plantilla. Mientras no se confirme, no se afirma que BiometryPass haga o reemplace la evaluación del cliente.
Fuentes
- Texto oficial de la nueva ley de protección de datos personales, que se publica en el Diario Oficial (fecha y enlace por confirmar). Se confirman antes de indexar esta página.por validar
- Las orientaciones y la lista de tratamientos que debe publicar la Agencia de Protección de Datos Personales no están en las fuentes consultadas: se confirman cuando se publiquen.por validar
Aviso
Este contenido es informativo: resume la nueva ley y describe cómo trabaja BiometryPass en lenguaje claro. No constituye asesoría legal, auditoría ni certificación, y no reemplaza la revisión de un abogado sobre tu caso.por validar