Modelo de evaluación de impacto en la protección de datos dirigido a las Administraciones Públicas

El modelo de informe de Evaluación de Impacto en la Protección de Datos (EIPD) ha sido diseñado por la Agencia Española de Protección de Datos (AEPD) y en colaboración con el Ministerio de Trabajo, Migraciones y Seguridad Social a través de la Subsecretaría y el Centro de Seguridad de la Información de la Gerencia de Informática de la Seguridad Social.

El Reglamento General de Protección de Datos (RGPD) establece una serie de obligaciones, y una de ellas es llevar a cabo una evaluación de impacto de las actividades de tratamiento en la protección de datos cuando el tratamiento suponga un riesgo significativo para las libertades y derechos de las personas. Las obligaciones de realizar una evaluación de impacto recae en el responsable de tratamiento.

Estructura del modelo de informe de EIPD:

• Descripción del tratamiento.

En la descripción del tratamiento deberá aparecer información básica tal como la fecha de realización de la EIPD, nombre y descripción del tratamiento, categoría de datos, identificación del Responsable, identificación de terceros implicados en el tratamiento, contexto interno del tratamiento en la organización y contexto externo de la organización y el tratamiento.

• Licitud del tratamiento.

En este capítulo se lleva a cabo el desarrollo de la base jurídica y, en su caso, normas y/ supuestos habilitantes.

• Metodología de la EIPD.

En este apartado se incluirá:

-Los implicados en la ejecución de la EIPD;

-Las guías, herramientas, metodologías, normas y dictámenes utilizados en la evaluación y;

-La extensión y límites de la EIPD.

• Análisis del tratamiento.

Este análisis supone estudiar el tratamiento dividiéndolo en etapas o fases desde el punto de vista del ciclo de vida de los datos.

• Análisis de la obligación de realizar una EIPD: Evaluación del riesgo.

Este apartado contendrá la inclusión del tratamiento en la lista de tratamientos exentos, un análisis de la inclusión del tratamiento en los casos de tratamientos obligados, evaluación del nivel de riesgo y motivación para realizar la EIPD.

• Análisis de la necesidad del tratamiento.

La finalidad de este capítulo es realizar:

-El Juicio de Idoneidad;

-El Juicio de Necesidad.

• Medidas para la reducción del riesgo.

Se deberá incluir la optimización del tratamiento de datos que se está realizando y diferentes medidas tales como las medidas de Privacidad por Defecto y desde el Diseño (PbDD), medidas de Accountability y medidas de seguridad.

• Análisis del Balance entre riesgo-beneficio.

La finalidad de este capítulo es realizar el Juicio de Proporcionalidad en sentido estricto: determinar si el tratamiento es ponderado o equilibrado, porque se derivan más beneficios o ventajas para el interés general que no perjuicios sobre otros bienes o valores en conflicto.

• Plan de acción.

Plan de implantación de las medidas y garantías para gestionar el riesgo y las acciones de seguimiento d ela efectividad de las mismas.

• Conclusiones y recomendaciones.

Incluye el resultado final del análisis de riesgos, las directrices generales para la implementación del tratamiento, y se define y determina el riesgo del tratamiento de datos personales, y si el mismo es bajo o, por el contrario, conlleva un riesgo significativo.

Plan B Group, como profesionales y con conocimientos en protección de datos, en aquellos casos en los que no sea obligatorio la realización de una EIPD por no contener un riesgo significativo el tratamiento de datos, recomienda valorar la posibilidad de llevar a cabo este análisis porque puede ayudar a estudiar la profundidad del tratamiento, mejorar la planificación y gestión de la organización o simplemente realizar un ejercicio de responsabilidad proactiva.