Source: https://www.barrera-abogados.com/la-evaluacion-de-impacto-relativa-a-la-proteccion-de-datos-una-obligacion-para-los-abogados/
Timestamp: 2020-02-20 18:30:18
Document Index: 299843195

Matched Legal Cases: ['artículo 35', 'artículo 9', 'artículo 10', 'artículo 14', 'artículo 9', 'artículo 9']

LA EVALUACIÓN DE IMPACTO RELATIVA A LA PROTECCIÓN DE DATOS. ¿UNA OBLIGACION PARA LOS ABOGADOS? - Barrera Abogados
Publicado el 28 octubre 2019 28 octubre 2019 por barrera-abogados
LA EVALUACIÓN DE IMPACTO RELATIVA A LA PROTECCIÓN DE DATOS. ¿UNA OBLIGACION PARA LOS ABOGADOS?
¿UNA OBLIGACION PARA LOS ABOGADOS?
El artículo 35 del Reglamento General de Protección de Datos impone la obligación a los responsables del tratamiento de datos de carácter personal de realizar una evaluación de impacto relativa a la protección de datos cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas.
¿Qué es una Evaluación de impacto relativa a la protección de datos?
La Evaluación de impacto relativa a la protección de datos es un proceso de análisis y estudio que debe realizar el responsable del tratamiento, con carácter preventivo, para poder identificar, evaluar y gestionar los riesgos a los que están expuestos los datos personales en función de las actividades de tratamiento que se llevan a cabo con el objetivo de garantizar los derechos y libertades de las personas físicas.
La Evaluación de impacto relativa a la protección de datos permite conocer el nivel de riesgo que entraña un tratamiento, con el objetivo de fijar las medidas de control y seguridad más adecuadas para reducir los riesgos generados por el tratamiento hasta el mínimo posible.
La evaluación de impacto deberá incluir como mínimo:
c) una evaluación de los riesgos para los derechos y libertades de los interesados, y
¿Cuándo es obligatorio realizar la Evaluación de impacto relativa a la protección de datos?
La Evaluación de impacto relativa a la protección de datos no es exigible para todos los tratamientos ni para todos los responsables.
El Reglamento General de Protección de Datos establece que se requerirá la realización de la Evaluación de impacto relativa a la protección de datos cuando el tratamiento «entrañe probablemente un alto riesgo para los derechos y libertades de las personas físicas» y en particular en los casos de:
1.- Evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en un tratamiento automatizado, como la elaboración de perfiles, especialmente de aspectos relacionados con el rendimiento en el trabajo, la situación económica, la salud, las preferencias o intereses personales, la fiabilidad o el comportamiento, la situación o los movimientos del interesado y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas físicas o que les afecten significativamente de modo similar;
2.- Tratamiento a gran escala de las categorías especiales de datos que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física, o de los datos personales relativos a condenas e infracciones penales.
El Reglamento General de Protección de Datos no fija el concepto de “tratamiento a gran escala “, por lo que, para determinar si el tratamiento se realiza a gran escala, hay que tener en consideración:
3.- Observación sistemática a gran escala en espacios públicos, incluidos los datos recogidos a través de cámaras y redes en los que los datos personales pueden ser recogidos en circunstancias en las que los interesados pueden no ser conscientes de quién está recopilando sus datos y cómo se usarán, y en los que en ocasiones puede resultar imposible para los interesados evitar que sus datos personales sean objeto de tratamiento.
Listas de tratamientos que requieren una evaluación de impacto relativa a la protección de datos
El Reglamento General de Protección de Datos establece que las autoridades de control de los estados miembros de la Unión Europea publicarán una lista de los tipos de operaciones de tratamiento que requieran una evaluación de impacto relativa a la protección de datos.
Igualmente establece que las autoridades de control de los estados podrán establecer y publicar la lista de los tipos de tratamiento que no requieren evaluaciones de impacto relativas a la protección de datos.
Listas de tratamientos que requieren y que no requieren la realización de evaluación de impacto relativa a la protección de datos publicadas por la Agencia Española de Protección de Datos.
La Agencia Española de Protección de Datos ha publicado una lista de tipos de tratamientos de datos que requieren evaluación de impacto relativa a protección de datos en la que ha establecido que será necesario realizar una evaluación de impacto relativa a la protección de datos en la mayoría de los casos en los que dicho tratamiento cumpla con dos o más criterios de la lista expuesta a continuación, salvo que el tratamiento se encuentre en la lista de tratamientos que no requieren su realización. La opinión de la Agencia es que cuantos más criterios reúna el tratamiento mayor será el riesgo que entrañe y mayor será la certeza de la necesidad de realizar una evaluación de impacto relativa a la protección de datos
4. Tratamientos que impliquen el uso de categorías especiales de datos a las que se refiere el artículo 9.1 del Reglamento General de Protección de Datos (datos que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física), datos relativos a condenas o infracciones penales a los que se refiere el artículo 10 del Reglamento General de Protección de Datos o datos que permitan determinar la situación financiera o de solvencia patrimonial o deducir información sobre las personas relacionada con categorías especiales de datos.
11. Tratamientos de datos que impidan a los interesados ejercer sus derechos, utilizar un servicio o ejecutar un contrato, como por ejemplo tratamientos en los que los datos han sido recopilados por un responsable distinto al que los va a tratar y aplica alguna de las excepciones sobre la información que debe proporcionarse a los interesados según el artículo 14.5 del Reglamento General de Protección de Datos.
De igual forma la Agencia Española de Protección de Datos ha publicado la lista orientativa de tipos de tratamientos que no requieren una evaluación de impacto relativa a la protección de datos, que incluye los siguientes:
7. Tratamientos realizados por colegios profesionales y asociaciones sin ánimo de lucro para la gestión de los datos personales de sus propios asociados y donantes, y en el ejercicio de su labor, siempre que no incluyan en el tratamiento de datos sensibles tales como los que se establecen en el artículo 9.1 del Reglamento General de Protección de Datos y no sea de aplicación el artículo 9.2(d) de dicho Reglamento.
LA EVALUACIÓN DE IMPACTO RELATIVA A LA PROTECCIÓN DE DATOS Y LOS ABOGADOS
Conforme a lo expuesto puede concluirse que los abogados que ejerzan como profesionales por cuenta propia y de forma individual no están obligados a realizar una evaluación de impacto relativa a la protección de datos como norma general, salvo que en los tratamientos que realicen cumplan con dos o más de los criterios indicados en la lista de tratamientos que requieren la realización de la evaluación de impacto publicada por la Agencia Española de Protección de Datos.
En los casos de ejercicio colectivo o bajo formas societarias de cualquier tipo, la necesidad u obligación de realizar la evaluación de impacto ha de determinarse en cada caso analizando la concurrencia de los criterios fijados en la lista de tratamientos que precisan de la realización de evaluación de impacto, sin que se pueda considerarse que la norma general sea la exclusión de la obligación.
Antonio Luis Barrera Ortega. Abogado. Delegado de Protección de Datos
CategoríasProtección de Datos EtiquetasABOGADO, DPD, EIPD, evaluación de impacto, protección de datos
Entrada anterior:Anterior CIRCULACION DE BICICLETAS – SEÑALES
Siguiente entradaSiguiente LA DIRECCION GENERAL DE TRAFICO PUBLICA UNA NUEVA INSTRUCCION SOBRE LOS VEHICULOS DE MOVILIDAD PERSONAL