RGPD: ¿qué es el “procesamiento a gran escala”?

El Reglamento General de Protección de Datos (RGPD) de la Unión Europea establece criterios para definir qué constituye un "procesamiento a gran escala" de datos personales. Esta salvedad reviste especial importancia en el contexto del cumplimiento del RGPD por parte de las empresas. Analicemos este concepto y lo que implica.

¿Por qué llamar a un tratamiento “tratamiento a gran escala”?

Designar un tratamiento como a gran escala tiene varias implicaciones:

Obligación de designar un Delegado de Protección de Datos (DPO) por parte del responsable del tratamiento.
Posibilidad de tener que realizar una evaluación de impacto en la protección de datos (DPIA).

Los criterios que definen el "tratamiento a gran escala"

Según el RGPD, el tratamiento a gran escala afecta a un volumen significativo de datos personales a escala regional, nacional o supranacional, afectando a un número significativo de personas y creando potencialmente altos riesgos para sus derechos y libertades. El texto también menciona que el uso de nuevas tecnologías a gran escala puede constituir dicho tratamiento.

Directrices para calificar el tratamiento a gran escala

El G29, el grupo de autoridades de protección de datos de la UE, ofrece directrices para ayudar a calificar el procesamiento como a gran escala. Recomienda tener en cuenta:

El número de personas afectadas.
Las categorías de datos tratados.
La duración y extensión geográfica del tratamiento.

Ejemplos de tratamientos a gran escala

Procesamiento de datos de pacientes por parte de un hospital.
Tratamiento de datos de viajes de pasajeros por medio de transporte público.
Tratamiento de datos de clientes por parte de una compañía de seguros o un banco.
Tratamiento de datos por parte de un motor de búsqueda con fines publicitarios.

Qué textos europeos no especifican

Los textos europeos ofrecen orientación general sobre lo que constituye un procesamiento a gran escala, pero no proporcionan criterios precisos, dejando esta evaluación a la discreción del responsable del tratamiento. La CNIL podrá pronunciarse sobre casos concretos en el marco de sus misiones de control.

En conclusión, calificar un tratamiento como "tratamiento a gran escala" se basa en una evaluación de los criterios generales definidos por el RGPD y las directrices del G29, teniendo en cuenta la especificidad de cada caso. Este es un paso importante en el cumplimiento del RGPD y en la protección de los datos personales de las personas.