En este documento se concreta cuándo un tratamiento puede implicar un alto riesgo para los derechos y libertades de las personas, obligando al responsable a realizar un análisis previo.

La lista identifica supuestos en los que el riesgo se presume elevado. Entre ellos, los tratamientos que implican evaluaciones sistemáticas de aspectos personales, especialmente cuando incluyen perfiles o decisiones automatizadas. También se consideran de alto riesgo los tratamientos a gran escala de categorías especiales de datos, como los relativos a la salud o datos biométricos.

Asimismo, la AEPD incluye, entre otros, el uso de tecnologías nuevas o innovadoras, así como la observación sistemática de espacios públicos, como ocurre con determinados sistemas de videovigilancia.

Desde una perspectiva de cumplimiento, esta lista no es orientativa, sino vinculada a la obligación de evaluar riesgos antes de iniciar el tratamiento. El responsable debe analizar si su actividad encaja en estos supuestos y, en tal caso, realizar una EIPD que permita identificar, valorar y mitigar los riesgos, conforme al principio de responsabilidad proactiva del RGPD.

IMPORTANTE

Cuando un tratamiento cumple dos o más criterios de riesgo, se presume alto impacto y resulta obligatoria la realización de una EIPD.

La entrada Evaluación de impacto en Protección de datos: como identificar el alto riesgo según la AEPD se publicó primero en Adaptación RGPD.