Análisis de impacto (AIPD/DPIA): cuándo es obligatorio y cómo lo acompaña el DPO
·
Actualizado el ·
Por 
Bertrand Bucelle · 7 min de lectura
En resumen
- El análisis de impacto relativo a la protección de datos (EIPD, o DPIA en inglés) es obligatorio para los tratamientos susceptibles de generar un riesgo elevado para los derechos y libertades de las personas (artículo 35 del RGPD): datos sensibles a gran escala, vigilancia sistemática, elaboración de perfiles. El DPO asesora sobre su necesidad y acompaña su realización.
¿Qué es una EIPD?
La EIPD es un estudio que evalúa los riesgos que un tratamiento supone para los derechos y libertades de las personas, y las medidas para reducirlos. Está prevista en el artículo 35 del RGPD y es obligatoria cuando el tratamiento es susceptible de generar un riesgo elevado.
¿Cuándo es obligatoria?
La CNIL ha publicado una lista de tratamientos para los cuales se requiere una EIPD. Se contemplan especialmente: el tratamiento a gran escala de datos sensibles, la vigilancia sistemática a gran escala, la elaboración de perfiles con efectos jurídicos, o el cruce de datos. En caso de duda, el DPO decide.
Las etapas de una EIPD
- Describir el tratamiento y su contexto
- Evaluar la necesidad y la proporcionalidad
- Identificar los riesgos para las personas afectadas
- Definir las medidas para reducir estos riesgos
- Documentar y hacer validar el análisis
El papel del DPO
El DPO asesora sobre la necesidad de realizar una EIPD, acompaña su realización y emite un dictamen. Si los riesgos residuales siguen siendo elevados a pesar de las medidas, hay que consultar a la CNIL antes de implementar el tratamiento. El DPO dirige esta etapa.
EIPD e inteligencia artificial
Los tratamientos que integran IA, a menudo innovadores y a gran escala, requieren frecuentemente una EIPD. Con la entrada en aplicación del AI Act, estos análisis se convierten en un punto de convergencia entre el RGPD y la regulación de la IA, que el DPO debe saber articular.
Pase a la acción
¿Sus tratamientos requieren una EIPD? Haga balance con un experto de Data Comply One.
Descubrir el DPO externalizado →Probar mi cumplimiento gratuitamente