Avaluacions d’Impacte: què son i quan haig de realitzar-ne una?

AVALUACIONS D’IMPACTE: QUÈ SON I QUAN HAIG DE REALITZAR-NE UNA?

Arran de l’actualització en la normativa europea de protecció de dades neix l’obligació de realitzar Avaluacions d’Impacte de Protecció de Dades (AIPD o DPIA d’ara endavant). https://www.datax.es/ca/serveis/dpia-2

Aquest procediment, en auge en aquests moments, és una eina que serveix per a identificar els riscos d’un maneig de dades (sigui un sistema, producte o servei) i gestionar-los abans que es materialitzin. Així doncs, es quantifica el risc i es busca mitigar la probabilitat de la seva realització.

Cal tenir en compte que la legislació exigeix que l’avaluació es realitzi abans d’iniciar el maneig de dades, per a aconseguir garantir una sortida al mercat amb garanties de seguretat establertes amb antel·lació.

Per a realitzar una AIPD s’han de considerar, de forma molt esquemàtica, els següents punts:

–      Finalitat i ús de les dades utilitzades.

–      Identificació i avaluació dels riscos potencials.

–      Elaboració d’un pla d’acció que inclogui mesures de control de riscos.

Però, quan cal realitzar una AIPD?

El RGPD estableix que els Responsables hauran de realitzar una AIPD, de manera genèrica, quan hi hagi un ús de noves tecnologies que comporti un alt risc per als drets i llibertats de les persones físiques i, en particular quan:

–      Existeixi una avaluació sistemàtica i exhaustiva d’aspectes personals a través de l’ús automatitzat de dades.

–      Les operacions que comportin el maneig de dades especials o penals, més sensibles de cara a l’opinió popular, a gran escala.

–      Es realitzi una observació sistemàtica a gran escala de zones d’accés públic.

Aquesta llista, pel fet d’estar redactada amb conceptes molt oberts i difícils de delimitar, ha estat objecte de desenvolupament i concreció per part de l’Agència Espanyola de Protecció de Dades, que va publicar un catàleg d’altres operacions que requereixen d’una avaluació d’impacte.

Aquest llistat es pot consultar a través del següent link:

https://www.aepd.es/sites/default/files/2019-09/listas-dpia-es-35-4.pdf

Finalment, és interessant contemplar que, malgrat que la normativa parla de situacions obligatòries de realització d’una AIPD, existeix la possibilitat de realitzar-les de manera voluntària com a estratègia de posicionament en el mercat o com a mesura de control addicional a nivell intern.

A DATAX som especialistes en l’adequació i implementació de la normativa vigent en Protecció de Dades i Seguretat de la Informació, sent capaces de detectar quan i coneixent el com realitzar una AIPD. Amb una llarga trajectòria professional que ens acredita, els nostres clients reben l’assessorament necessari per a continuar amb la seva activitat professional, amb la garantia de presentar al públic productes adequats a la normativa vigent en protecció de dades, privacitat i seguretat de la informació. D’aquesta manera, actuen amb confiança i professionalitat en el mercat, eliminant els riscos de sanció o reclamacions potencials de tercers, així com optimitzant els seus beneficis i recursos. https://www.datax.es/ca

Carla Santos Sánchez

Advocada i Consultora Tècnica en Protecció de Dades i Seguretat de la Informació