Source: https://skycorp.es/evaluacion-de-impacto/
Timestamp: 2019-06-18 21:28:21+00:00

Document:
Evaluación de impacto. Realice un correcto tratamiento de datos | Skycorp
La Agencia Española de Protección de datos (AEPD) ha emitido un comunicado con un listado en el que especifica las tipologías de tratamiento de datos en las cuales es obligatorio realizar una evaluación de impacto de los datos, en base a lo establecido por el Reglamento Europeo de Protección de Datos 2016/679, de 27 de Abril (RGPD).
A este respecto, el artículo 35.1 del RGPD establece, como norma general, la obligación de los responsables de realizar una EIPD, con carácter previo a la puesta en marcha del tratamiento, cuando sea probable que éste, por su naturaleza, alcance, contexto, o finalidad, entrañe un alto riesgo para los derechos y libertades de los titulares.
Por su parte, el artículo 35.3 del RGPD establece que la EIPD se requerirá en particular en el caso de:
Tratamiento a gran escala de las categorías especiales de datos a que se refiere el artículo 9, apartado 1, o de los datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10.
Para facilitar a los responsables la identificación de aquellos tratamientos que requieren una EIPD, el RGPD dispone que las autoridades de control deberán publicar una lista con los tratamientos que requieran su elaboración. Dicha lista deberá ser comunicada al Comité Europeo de Protección de Datos (CEPD).
Esta lista se basa, según el comunicado de la AEPD, en los criterios establecidos por el Grupo de Trabajo del Artículo 29 en la guía WP248 “Directrices sobre la evaluación de impacto relativa a la protección de datos (EIPD) y para determinar si el tratamiento entraña probablemente un alto riesgo a efectos del RGPD”, los complementa y debe entenderse como una lista no exhaustiva.
Las casuísticas son las siguientes:
La Agencia Española de Protección de datos advierte que, en el momento de analizar tratamientos de datos, será necesario realizar una evaluación en la mayoría de los casos en los que dicho tratamiento cumpla con dos o más criterios de la lista expuesta, salvo que el tratamiento se encuentre en la lista de tratamientos que no requieren EIPD a la que se refiere en artículo 35.5 del RGPD.
Del mismo modo, la autoridad española advierte de que cuantos más criterios reúna el tratamiento en cuestión, mayor será el riesgo que entrañe dicho tratamiento y mayor será la certeza de la necesidad de realizar una evaluación de impacto.

References: artículo 35
 artículo 35
 artículo 9
 artículo 10
 Artículo 29
 artículo 35