Evaluación de impacto relativa a la protección de datos (EIPD)

La Evaluación de Impacto en la Protección de Datos (EIPD) es un proceso estructurado exigido por el Artículo 35 del RGPD cuando un tipo de tratamiento, en particular si utiliza nuevas tecnologías, pueda entrañar un alto riesgo para los derechos y libertades de las personas físicas. Es una herramienta clave para poner en práctica los principios de protección de datos desde el diseño y de responsabilidad proactiva.

La EIPD es obligatoria al menos en tres supuestos: la evaluación sistemática y exhaustiva de aspectos personales basada en un tratamiento automatizado, incluida la elaboración de perfiles; el tratamiento a gran escala de categorías especiales de datos o de datos personales relativos a condenas e infracciones penales; y la observación sistemática a gran escala de una zona de acceso público. Las autoridades de control también publican listas de operaciones de tratamiento que requieren o no requieren una EIPD.

La EIPD debe contener como mínimo: una descripción sistemática de las operaciones de tratamiento previstas y sus fines (incluido, en su caso, el interés legítimo perseguido), una evaluación de la necesidad y proporcionalidad del tratamiento en relación con los fines, una evaluación de los riesgos para los derechos y libertades de los interesados, y las medidas previstas para afrontar dichos riesgos, incluidas garantías, medidas de seguridad y mecanismos para demostrar el cumplimiento.

La intersección de las EIPD con el Reglamento Europeo de IA es especialmente significativa. La evaluación de impacto en los derechos fundamentales (FRIA) que el Reglamento de IA exige a determinados responsables del despliegue de sistemas de IA de alto riesgo se construye sobre el concepto de EIPD. Cuando un sistema de IA de alto riesgo trata datos personales, la EIPD del RGPD y la FRIA del Reglamento de IA deben realizarse de manera coordinada para evitar duplicidades y garantizar una cobertura integral de riesgos. El Comité Europeo de Protección de Datos ha subrayado la necesidad de un enfoque holístico en las evaluaciones de impacto a través de ambos marcos regulatorios.

• RGPD
• EU AI Act