DPIA — Evaluación de impacto relativa a la protección de datos
Artículo 35, apartado 1, primer inciso, del Reglamento (UE) 2016/679:
Cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento realizará, antes del tratamiento, una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales..
Evaluación del impacto de las operaciones de tratamiento en la protección de datos personales, que el responsable del tratamiento realiza antes del tratamiento cuando es probable que este entrañe un alto riesgo para los derechos y libertades de las personas físicas.
Es la evaluación que hace quien decide para qué se tratan datos personales, antes de empezar a tratarlos.
Qué obligaciones lleva asociadas
Obligación legal del responsable del tratamiento, aplicable desde el 25/05/2018, y condicional: nace cuando es probable que el tratamiento entrañe un alto riesgo para los derechos y libertades de las personas físicas. No la desencadena una lista: el Art.35(3) enumera tres supuestos «en particular» —evaluación sistemática y exhaustiva de aspectos personales basada en tratamiento automatizado, incluida la elaboración de perfiles, sobre cuya base se tomen decisiones con efectos jurídicos o que afecten significativamente de modo similar; tratamiento a gran escala de categorías especiales o de datos sobre condenas e infracciones penales; y observación sistemática a gran escala de una zona de acceso público— pero el criterio es el del apartado 1. La autoridad de control publica además su propia lista de tipos de tratamiento que la requieren (Art.35(4)) y puede publicar la de los que no (Art.35(5)). La FRIA del Art.27 del Reglamento (UE) 2024/1689, en cambio, es obligación del responsable del despliegue y aplicable desde el 02/12/2027.
Qué no es
No es la FRIA: la evaluación de impacto relativa a los derechos fundamentales del Art.27 del Reglamento (UE) 2024/1689 es un instrumento estructuralmente independiente, con distinto sujeto obligado, distinto objeto y distinto desencadenante. Que puedan concurrir sobre un mismo sistema no las convierte en una. No la desencadena usar IA: la desencadena la probabilidad de alto riesgo para derechos y libertades, con o sin IA de por medio. No es un trámite del delegado de protección de datos: el responsable del tratamiento recaba su asesoramiento si ha sido nombrado (Art.35(2)), pero la obligación es del responsable. Y tampoco se debe siempre: el Art.35(10) exceptúa un supuesto concreto, cuando el tratamiento se ampara en el Art.6, apartado 1, letras c) o e), su base jurídica está en el Derecho de la Unión o de un Estado miembro, ese Derecho regula la operación específica, y ya se realizó una evaluación de impacto como parte de la evaluación general al adoptar esa base jurídica.
El matiz que casi nadie recoge
El Art.35(1) permite que una única evaluación aborde una serie de operaciones de tratamiento similares que entrañen altos riesgos similares. Es la parte que más trabajo ahorra y la que casi nadie usa. Los cuatro contenidos mínimos del Art.35(7) son exigentes en un punto concreto: la letra d) no pide solo medidas, pide medidas y los mecanismos «a demostrar la conformidad con el presente Reglamento». Y hay dos elementos que la separan de la FRIA más que ninguna definición. El primero: el Art.35(9) obliga a recabar «cuando proceda» la opinión de los interesados o de sus representantes, sin perjuicio de la protección de intereses públicos o comerciales o de la seguridad de las operaciones. La FRIA no contiene ningún elemento equivalente: sus seis contenidos describen a los afectados, no los consultan. El segundo: el Art.35(11) impone reexaminar si el tratamiento sigue ajustándose a la evaluación, al menos cuando exista un cambio del riesgo. La FRIA se ancla al primer uso y permite apoyarse en evaluaciones previas o del proveedor. Uno vigila el cambio; el otro, el estreno.