RGPD
Evaluación de impacto de protección de datos (EIPD)
Determina si tu tratamiento entra en los supuestos del art. 35 RGPD y las listas de la AEPD y, si procede, una EIPD documentada que sostenga el proyecto.
Qué recibes
- 01
Informe de análisis previo de criterios del art. 35 aplicado al tratamiento.
- 02
Evaluación de impacto completa conforme al art. 35.7 RGPD.
- 03
Registro de medidas de mitigación y de su estado de implantación.
- 04
Documentación de la consulta al DPO y de la participación de interesados cuando proceda.
- 05
Revisión y actualización de la EIPD en cada cambio relevante del tratamiento.
No incluye: No incluye el desarrollo técnico de las medidas de mitigación en sistemas.; No incluye la tramitación de consulta previa a la autoridad de control, que se gestionaría como servicio específico si la EIPD la hiciera necesaria.; No sustituye el análisis de licitud del proyecto de negocio en otras normativas sectoriales..
Cómo funciona
- 01
Analizamos
Screening del tratamiento frente a los criterios del art. 35 RGPD y a las listas de tratamientos con y sin EIPD de la AEPD.
- 02
Documentamos la decisión
Si no procede EIPD, dejamos constancia razonada del análisis; si procede, definimos alcance y calendario.
- 03
Describimos
Descripción sistemática del tratamiento: flujos de datos, finalidades, bases jurídicas, necesidad y proporcionalidad.
- 04
Evaluamos
Valoración de riesgos para los interesados y definición de medidas de mitigación, con consulta al DPO cuando exista.
- 05
Mantenemos
Revisión de la EIPD cuando cambie el tratamiento, el contexto de riesgo o los criterios de la AEPD.
Si te aplica
Están obligados a realizar EIPD los responsables cuyo tratamiento probablemente entrañe un alto riesgo (art. 35.1 RGPD), y en particular los tres supuestos del art. 35.3: (a) evaluación sistemática y exhaustiva de aspectos personales basada en tratamiento automatizado —incluida la elaboración de perfiles— de la que se deriven decisiones con efectos jurídicos o significativos; (b) tratamiento a gran escala de categorías especiales de datos o de datos de condenas e infracciones penales; (c) observación sistemática a gran escala de una zona de acceso público. Además, la AEPD, en ejercicio del art. 35.4, ha publicado la lista de tratamientos que requieren EIPD en España, y conforme al art. 35.5 la de los que no la requieren. Un tratamiento fuera de las listas puede seguir requiriendo EIPD si concurren dos o más criterios de riesgo: el análisis previo es imprescindible.
Qué necesitamos de tu organización
- Descripción del proyecto o tratamiento: finalidad, datos, herramientas y proveedores.
- Acceso a las personas responsables del proyecto (negocio y sistemas).
- Documentación técnica disponible: flujos, catálogos de datos, medidas de seguridad.
- Información sobre decisiones automatizadas y efectos sobre las personas.
Preguntas frecuentes
Lo que suele preguntarse
- La AEPD, en ejercicio del art. 35.4 RGPD, ha publicado la lista de tratamientos que requieren evaluación de impacto en España, y conforme al art. 35.5 la lista de los que no la requieren. Las listas se aplican junto con los supuestos del art. 35.3 —perfilado con efectos significativos, categorías especiales a gran escala, observación sistemática de zonas públicas— y con los criterios de riesgo del propio art. 35. La consulta de ambas listas es el primer paso del análisis.
Fuentes: Reglamento (UE) 2016/679 · AEPD — EIPD · BOE-A-2018-16673
Empecemos por tu caso.
Confirmamos el alcance y el precio antes de formalizar el encargo.