Quan és obligatori realitzar una avaluació d’impacte o AIPD?

El Reglament General de Protecció de Dades (RGPD) s’aplica des del 25 de maig de 2018. Una de les grans novetats introduïdes per aquesta normativa europea han estat les Avaluacions d’impacte relatives a la protecció de dades (AIPD).

QUÈ ÉS UNA AVALUACIÓ D’IMPACTE O EIPD?

Una Avaluació d’Impacte o Data Protection Impact Assessment (DPIA) és una eina per avaluar un tractament de dades personals amb la finalitat d’identificar les mesures de seguretat necessàries i eliminar els riscos associats.

Una EIPD és un instrument essencial per garantir la correcta adaptació de les empreses a les normatives de protecció de dades. A més, és un dels mecanismes per demostrar el correcte compliment davant possibles inspeccions.

L’incompliment de les obligacions establertes per l’RGPD sobre la realització d’una AIPD pot derivar en sancions de les autoritats de control.

Les següents accions estan consideres infraccions greus i són susceptibles de multes de fins a 10 milions d’euros o el 2% de la facturació anual:

• Tractament de dades personals sense realitzar prèviament una AIPD, quan sigui exigible.
• Dur a terme una Avaluació d’Impacte de forma incorrecta.
• No consultar a l’autoritat de control quan no sigui possible eliminar els riscos totalment.

QUAN ÉS OBLIGATORI DUR A TERME UNA EIPD?

La realització d’una Avaluació d’Impacte de la Protecció de Dades és obligatòria per a tractaments que comportin un alt risc per als drets i llibertats de les persones.

Davant la falta de concreció del Reglament Europeu, l’Agència de Protecció de Dades  ha publicat un llistat de criteris per ajudar a determinar quins tractaments requereixen una AIPD obligatòriament.

Les empreses que realitzin un tractament que compleixi amb dos o més criteris del següent llistat tindran que dur a terme una Avaluació d’impacte:

• Tractaments que impliquin perfilat o valoració de persones que cobreixin diversos aspectes de la seva personalitat o hàbits.
• Tractaments que impliquin la presa de decisions automatitzades.
• Tractaments que impliquin l’observació, monitorització, supervisió, geolocalització o control de les persones de forma sistemàtica i exhaustiva.
• Tractaments que impliquin l’ús de categories especials de dades, relatives a condemnes o infraccions, o que permetin determinar la situació financera.
• Tractaments que impliquin l’ús de dades biomètriques per tal d’identificar una persona.
• Tractaments que impliquin l’ús de dades genètiques.
• Tractaments que impliquin l’ús de dades a gran escala.
• Tractaments que impliquin l’associació o combinació de bases de dades de dos o més tractaments, amb finalitats o de responsables diferents.
• Tractaments de dades de persones vulnerables o en risc d’exclusió social.
• Tractaments que impliquin l’ús de noves tecnologies o un ús innovador de tecnologies consolidades.
• Tractaments de dades que impedeixin als interessats exercir els seus drets, utilitzar un servei o executar un contracte.

Consulta la llista completa en aquest enllaç.

Més informació sobre l’Avaluació d’Impacte en la protecció de dades aquí.