Evaluación de impacto relativa a la protección de datos (EIPD)

Cuándo es obligatoria

El artículo 35.1 del RGPD exige la EIPD cuando sea probable que el tratamiento entrañe un alto riesgo. El artículo 35.3 cita tres supuestos en los que siempre se requiere:

• Evaluación sistemática y exhaustiva de aspectos personales basada en un tratamiento automatizado, incluida la elaboración de perfiles, que sirva de base a decisiones con efectos jurídicos o similares.
• Tratamiento a gran escala de categorías especiales de datos (artículo 9) o de datos sobre condenas e infracciones penales (artículo 10).
• Observación sistemática a gran escala de una zona de acceso público.

Fuera de esos casos, las directrices del antiguo Grupo del Artículo 29 (WP248 rev.01), asumidas por el Comité Europeo de Protección de Datos, proponen nueve criterios de riesgo —evaluación o puntuación, decisiones automatizadas, observación sistemática, datos sensibles, gran escala, combinación de conjuntos de datos, personas vulnerables, uso innovador de tecnología e impedimento del ejercicio de derechos— y consideran que, por regla general, un tratamiento que cumple dos o más requiere EIPD.

La lista de la AEPD y la LOPDGDD

En virtud del artículo 35.4 del RGPD, la AEPD publicó en 2019 una lista orientativa de tipos de tratamiento que requieren EIPD y, conforme al artículo 35.5, otra de tratamientos que no la requieren. Su criterio general coincide con el europeo: si concurren dos o más criterios de la lista, en la mayoría de los casos hará falta la evaluación.

Además, el artículo 28 de la LOPDGDD (Ley Orgánica 3/2018) obliga a valorar si procede la EIPD y enumera supuestos de mayor riesgo: tratamiento no incidental de categorías especiales, perfiles, personas vulnerables y menores, tratamientos masivos o riesgo de reversión no autorizada de la seudonimización, entre otros.

Qué debe contener

Debe recabarse el asesoramiento del delegado de protección de datos (artículo 35.2). Si, tras aplicar las medidas, el riesgo residual sigue siendo alto, el responsable ha de consultar a la AEPD antes de iniciar el tratamiento (artículo 36). No hacer la EIPD cuando es obligatoria puede sancionarse conforme al artículo 83.4 del RGPD.

Anonimización y seudonimización como medidas

Pocas medidas reducen tanto el riesgo como dejar de tratar datos identificativos. Si un análisis puede hacerse con datos realmente anónimos, esos datos quedan fuera del RGPD (considerando 26) y el riesgo para las personas cae drásticamente. Ojo: el propio proceso de anonimización es un tratamiento de datos personales y debe valorarse, incluido el riesgo de reidentificación.

Cuando hace falta conservar la relación entre registros, la seudonimización es la medida típica: el RGPD la cita expresamente en los artículos 25 y 32. Los datos siguen siendo personales, así que la EIPD debe explicar quién guarda la tabla de correspondencias y cómo se protege. Ampliamos el caso práctico en la EIPD de un proyecto de anonimización.

Dónde encaja Anonimatum

Anonimatum permite aplicar esas medidas a documentos: anonimiza de forma irreversible o seudonimiza con sustituciones coherentes y mapas guardados cifrados. Para la propia EIPD de la herramienta, son datos relevantes que la IA se ejecuta en servidores de la Unión Europea sin enviar el texto a APIs externas de modelos de lenguaje y que Politeia Soft tiene certificación ENS categoría MEDIA cuyo alcance incluye Anonimatum. Más detalles en la página de seguridad.