Normativa y datos
Evaluación de impacto (EIPD)
La evaluación de impacto relativa a la protección de datos (EIPD) es el análisis que hace el responsable antes de empezar un tratamiento que probablemente entrañe un alto riesgo para los derechos de las personas: lo describe, valora su necesidad y sus riesgos y fija las medidas para reducirlos (art. 35 del RGPD).
También se le llamaevaluación de impacto relativa a la protección de datos · EIPD · DPIA
Cuándo hace falta
El art. 35.3 del RGPD la exige en tres casos: perfiles con decisiones automatizadas que afectan a las personas, tratamiento a gran escala de categorías especiales y observación sistemática a gran escala de una zona de acceso público. Para lo demás, la AEPD publica una lista orientativa (art. 35.4) y dice que hará falta en la mayoría de los casos en que se reúnan dos o más de sus criterios. Varios encajan en una residencia:
- Categorías especiales, como las alergias del comedor, que son datos de salud.
- Datos de menores de catorce años o de otras personas vulnerables.
- Datos a gran escala, o el cruce de bases de datos con finalidades distintas.
- Observación sistemática, como un control de accesos que registra cada entrada y salida.
- Nuevas tecnologías, o una ya conocida usada de forma nueva, como un asistente de IA que atiende a residentes.
Ojo con esto
Es del responsable, y se hace antes. La hace el centro, con el consejo de su delegado de protección de datos si lo tiene (art. 35.2), y el proveedor que trata los datos por su cuenta tiene que ayudarle (art. 28.3.f). Incluye como mínimo la descripción del tratamiento, su necesidad y proporcionalidad, los riesgos y las medidas (art. 35.7). Si el riesgo sigue siendo alto, hay que consultar a la AEPD antes de empezar (art. 36). La LOPDGDD añade los supuestos de mayor riesgo que todo responsable debe valorar (art. 28.2).
Fuentes
Términos relacionados
- RGPDEl RGPD es el Reglamento (UE) 2016/679, la norma de la Unión que regula el tratamiento de datos personales. Se aplica directamente desde el 25 de mayo de 2018 y en España lo completa la LOPDGDD. Obliga igual a un colegio mayor, a una residencia privada y a un coliving.
- Delegado de protección de datos (DPD)El delegado de protección de datos (DPD) es la persona, de la plantilla o contratada fuera, que informa y asesora al responsable y al encargado del tratamiento, supervisa que cumplan y atiende a la autoridad de control y a los interesados. Lo regulan los arts. 37 a 39 del RGPD y 34 a 37 de la LOPDGDD.