Uno de los escenarios más sensibles es el uso de datos biométricos destinados a identificar de manera única a una persona física. Los sistemas de reconocimiento facial, y control horario mediante huella dactilar, requieren un análisis riguroso.

Del mismo modo, los tratamientos basados en datos genéticos exigen garantías reforzadas, ya que permiten obtener información extremadamente sensible sobre la salud o características hereditarias de una persona.

También presentan un riesgo elevado los tratamientos que implican la combinación de bases de datos con finalidades distintas. Por ejemplo, cuando una organización cruza información comercial, geolocalización y hábitos digitales para elaborar perfiles detallados o compartir datos entre distintas sociedades del grupo empresarial.

IMPORTANTE

La evaluación de impacto permite anticipar riesgos y aplicar medidas jurídicas, técnicas y organizativas antes de iniciar tratamientos especialmente sensibles.

La entrada Datos biométricos, genéticos y tratamientos masivos: escenarios donde la EIPD resulta imprescindible (II) se publicó primero en Adaptación RGPD.

En este documento se concreta cuándo un tratamiento puede implicar un alto riesgo para los derechos y libertades de las personas, obligando al responsable a realizar un análisis previo.

La lista identifica supuestos en los que el riesgo se presume elevado. Entre ellos, los tratamientos que implican evaluaciones sistemáticas de aspectos personales, especialmente cuando incluyen perfiles o decisiones automatizadas. También se consideran de alto riesgo los tratamientos a gran escala de categorías especiales de datos, como los relativos a la salud o datos biométricos.

Asimismo, la AEPD incluye, entre otros, el uso de tecnologías nuevas o innovadoras, así como la observación sistemática de espacios públicos, como ocurre con determinados sistemas de videovigilancia.

Desde una perspectiva de cumplimiento, esta lista no es orientativa, sino vinculada a la obligación de evaluar riesgos antes de iniciar el tratamiento. El responsable debe analizar si su actividad encaja en estos supuestos y, en tal caso, realizar una EIPD que permita identificar, valorar y mitigar los riesgos, conforme al principio de responsabilidad proactiva del RGPD.

IMPORTANTE

Cuando un tratamiento cumple dos o más criterios de riesgo, se presume alto impacto y resulta obligatoria la realización de una EIPD.

La entrada Evaluación de impacto en Protección de datos: como identificar el alto riesgo según la AEPD se publicó primero en Adaptación RGPD.

En la era digital, la automatización y el uso de algoritmos para tomar decisiones que afectan a la vida de las personas es cada vez más común. Sin embargo, esta tendencia plantea importantes cuestiones éticas y legales, especialmente en lo que respecta a la protección de datos personales y los derechos individuales. La evaluación de la intervención humana en las decisiones automatizadas se ha convertido en un tema crucial para garantizar que la tecnología sirva al bienestar humano y no al revés.

El Reglamento General de Protección de Datos (RGPD) de la Unión Europea establece directrices claras sobre este asunto. Según el artículo 22 del RGPD, los individuos tienen el derecho a no ser sujetos de decisiones basadas únicamente en el procesamiento automatizado, incluida la elaboración de perfiles, que tengan efectos legales significativos. Esto implica que debe haber una participación humana significativa en el proceso de toma de decisiones, asegurando que las decisiones automatizadas sean justas, transparentes y responsables.

Para lograr un equilibrio entre la eficiencia de la automatización y la necesidad de supervisión humana, se recomienda evaluar varios aspectos de la participación humana en el proceso de decisión. Estos incluyen la autoridad y competencia de la persona involucrada, su capacidad para entender y potencialmente modificar la decisión automatizada, y su independencia del sistema automatizado.

Un ejemplo de participación humana significativa sería un proceso automatizado que genera una recomendación sobre un individuo, pero un humano revisa y considera otros factores antes de tomar la decisión final. Esto asegura que la decisión no esté “basada únicamente” en el tratamiento automatizado y que haya un verdadero elemento de juicio humano en juego.

La evaluación de impacto de protección de datos (EIPD) también juega un papel importante en este contexto. Requiere que las organizaciones identifiquen y documenten el grado de intervención humana en sus procesos de toma de decisiones automatizados y en qué punto ocurre esta intervención. Esto ayuda a garantizar que cualquier decisión automatizada involucre un grado adecuado de supervisión humana y no sea simplemente un gesto simbólico.

En conclusión, la evaluación de la intervención humana en las decisiones automatizadas es un paso esencial para proteger los derechos individuales y fomentar la confianza en los sistemas automatizados. A medida que avanzamos hacia un futuro cada vez más digitalizado, es imperativo que las organizaciones y reguladores trabajen juntos para encontrar el equilibrio adecuado entre la innovación tecnológica y la protección de los individuos.

Para obtener más información sobre este tema, se puede consultar el artículo reciente de la Agencia Española de Protección de Datos y el análisis proporcionado por Protección de Datos.

La entrada Intervención humana en decisiones automatizadas. se publicó primero en Adaptación RGPD.

Por otra parte, el apartado 5 del mismo artículo establece que las autoridades de control podrán publicar la lista de los tipos de tratamiento que no requieren una evaluación de impacto. Asimismo, y como contempla el RGPD, la Agencia ha comunicado al Comité Europeo de Protección de Datos (CEPD) el listado, que también se encuentra disponible en inglés. Esta lista, que no exime de cumplir el resto de obligaciones establecidas en la normativa de protección de datos, complementa a la publicada con anterioridad por la Agencia donde figuran aquellos tratamientos en los que sí es obligatorio llevar a cabo una EIPD.

La Agencia ha definido que no será necesario realizar una EIPD cuando se realicen tratamientos bajo directrices contenidas en circulares o decisiones emitidas previamente por las Autoridades de Control, en particular la AEPD, siempre y cuando el tratamiento no se haya modificado desde que fue autorizado.

Tampoco se requiere si el tratamiento se realiza cumpliendo con códigos de conducta aprobados por la Comisión Europea o las Autoridades de Control, siempre que ya se hubiera llevado a cabo una EIPD para validar dicho código de conducta e incluyera las salvaguardas definidas en la Evaluación de Impacto.

Dentro de los tratamientos que forman parte del listado también se encuentran, entre otros, aquellos que lleven a cabo los trabajadores autónomos que ejerzan de manera individual, en particular médicos, profesionales de la salud o abogados, sin perjuicio de que pueda requerirse cuando dichos tratamientos cumplan con dos o más criterios establecidos en la lista de tipos de tratamientos de datos que requieren EIPD; así como los obligatorios por ley y realizados con relación a la gestión interna del personal de las pymes con finalidad de contabilidad, gestión de recursos humanos y nóminas, seguridad social y salud laboral, pero nunca relativos a los datos de los clientes.

Puede ver más información en el siguiente enlace:

Listado completo de tratamientos

https://www.aepd.es/media/guias/ListasDPIA-35.5l.pdf

La entrada La AEPD publica el listado de tratamientos que no requieren de una EIPD se publicó primero en Adaptación RGPD.

En el RGPD no se define claramente el significado de habitual y sistemático, aunque si que encontramos alguna mención en sus considerandos cuando habla de observación del comportamiento de los interesados, como una forma de seguimiento y creación de perfiles en internet, pero no solamente tenemos que quedarnos en ese ámbito.

El Grupo de trabajo del art.29, el actual Comité Europeo, nos da unas pistas de lo que pueden significar dichos términos:

Habitual: continuado o que se produce a intervalos concretos durante un periodo concreto; recurrente o repetido en momentos prefijados.

Sistemática: que se produce de acuerdo a un sistema; preestablecido, organizado o metódico.

Algunas actividades que constituyen una observación habitual y sistemática, serían, por ejemplo, las aplicaciones móviles que realizan un seguimiento de la ubicación del usuario y los dispositivos ponibles que analizan nuestros datos de bienestar, estado físico y salud.

IMPORTANTE

Los desarrolladores de aplicaciones que realicen este tipo de actividades de seguimiento, tendrán que cumplir con todos los requisitos que exige la normativa en materia de protección de datos.

La entrada ¿Cuál es el significado en materia de protección de datos de observación habitual y sistemática? se publicó primero en Adaptación RGPD.

Las Evaluaciones de impacto

El Reglamento establece que en aquellos casos en los que sea probable que los tratamientos entrañen un alto riesgo para los derechos y libertades de las personas físicas incumbe al responsable del tratamiento realizar una evaluación de impacto relativa a la protección de datos, que evalúe, en particular, el origen, la naturaleza, la particularidad y la gravedad del riesgo.

Puede ver más información en el siguiente enlace:

listado de tratamientos de datos personales en los que es obligatoria la realización de una evaluación de impacto

https://www.aepd.es/media/criterios/listas-dpia-es-35-4.pdf

La entrada La AEPD publica el listado de tratamientos en los que es obligatorio realizar una evaluación de impacto se publicó primero en Adaptación RGPD.

La EIPD o Evaluación de Impacto es una herramienta “preventiva” para evaluar los riesgos “antes” de realizar un nuevo tratamiento en el que sea probable que exista un alto riesgo para los derechos y libertades de los interesados.

Tal y como indica en la “Guía práctica para las EIPD” que ha publicado la AEPD, “ el mandato del Reglamento no se extiende a las operaciones de tratamiento que ya estén en curso en el momento en que comienze a ser de aplicación” (es decir, que sobre tratamientos que ya existen, NO hay que realizar un análisis EIPD). Sin embargo sí se debe realizar el Análisis de Riesgos.

1. En el RGPD indica que la EIPD se requerirá en estos casos:
   • Elaboración de perfiles automatizada.
   • Tratamiento a GRAN ESCALA de categorías especiales de datos o condenas e infracciones penales.
   • Observación a GRAN ESCALA de una zona de acceso público (Videovigilancia masiva).
2. La autoridad de control debe publicar una lista de tratamientos adicionales que requerirá de EIPD. Actualmente, la AEPD no ha publicado aún la mencionada lista.

Conclusión: en términos generales, la EIPD no suele ser necesaria , pues los tratamientos que realizan las entidades son los que ya se realizaban con anterioridad, el análisis EIPD es para nuevos tratamientos que se efectuen, y en las condiciones indicadas anteriormente.

La entrada Evaluación de Impacto en la Protección de Datos Personales (EIPD) se publicó primero en Adaptación RGPD.

Para ello son útiles algunas herramientas nacidas a raíz  de la nueva legislación europea sobre Protección de Datos como las  “Evaluaciones de Impacto en la Privacidad” (EIPD).

Una EIPD consiste en:

• La realización de un análisis de los riesgos que un determinado sistema de información, un producto o servicio que va a salir al mercado, puede suponer para el derecho fundamental a la protección de datos
• Tras ese análisis, se ha de llevar a cabo una gestión eficaz de los riesgos que se hubieran identificado
• Una vez identificados, se deberán adoptar las medidas necesarias para eliminarlos o mitigarlos

Una EIPD se requerirá en caso de que las empresas lleven a cabo tratamientos de:

• Elaboración de perfiles y análisis automatizado de aspectos personales de individuos
• Categorías especiales de datos personales a gran escala
• Observación sistemática de zonas de acceso público a gran escala

IMPORTANTE

El informe final de la EIPD debe ser remitido a la alta dirección de la empresa para que tome las decisiones necesarias sobre las medidas sugeridas por el equipo

La entrada ¿Qué es una Evaluación de Riesgos? se publicó primero en Adaptación RGPD.