Informaba ayer la AEPD de la publicación de la lista de los tratamientos de datos que no requieren que se realice una evaluación de impacto.

Como señalábamos en previas entradas (véase “Evaluaciones de Impacto: Tratamientos que entrañan un alto riesgo para los derechos y libertades de las personas”), las evaluaciones de impacto de protección de datos o “EIPD” se configuran como un análisis previo de la adecuada gestión de los riesgos que presenta un determinado tratamiento, con el fin de asegurar que, con carácter preventivo, se implementen las medidas necesarias que permitan garantizar tanto el cumplimiento de los requisitos exigidos por el RGPD como los derechos y libertades de las personas físicas.

Cuando los riesgos que entraña un tratamiento son altos, se debe realizar una EIPD. En el resto de casos no resulta obligatorio. En esta lista la AEPD facilita un conjunto orientativo de tratamientos que no requieren cumplir con dicha obligación (sin perjuicio del cumplimiento del resto de obligaciones bajo el RGPD).

Si unimos los supuestos previstos en el RGPD, la lista de la AEPD sobre tratamientos que sí requieren una EIPD y la lista sobre aquellos que no lo requieren, tendremos:

Tratamientos que requieren una EIPD
(Bajo RGPD)
Tratamientos que requieren una EIPD
(según AEPD)
Tratamientos que NO requieren una EIPD
(según AEPD)

1.   Evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en un tratamiento automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas físicas o que les afecten significativamente de modo similar.

2.   Tratamiento a gran escala de las categorías especiales de datos o de los datos personales relativos a condenas e infracciones penales.

3.Observación sistemática a gran escala de una zona de acceso público.

1.   Tratamientos que impliquen perfilado o valoración de sujetos, incluida la recogida de datos del sujeto en múltiples ámbitos de su vida (desempeño en el trabajo, personalidad y comportamiento), que cubran varios aspectos de su personalidad o sobre sobre sus hábitos.

2.   Tratamientos que impliquen la toma de decisiones automatizadas o que contribuyan en gran medida a la toma de tales decisiones, incluyendo cualquier tipo de decisión que impida a un interesado el ejercicio de un derecho o el acceso a un bien o un servicio o formar parte de un contrato.

3.   Tratamientos que impliquen la observación, monitorización, supervisión, geolocalización o control del interesado de forma sistemática y exhaustiva, incluida la recogida de datos y metadatos a través de redes, aplicaciones o en zonas de acceso público, así como el procesamiento de identificadores únicos que permitan la identificación de usuarios de servicios de la sociedad de la información como pueden ser los servicios web, TV interactiva, aplicaciones móviles, etc.

4.   Tratamientos que impliquen el uso de categorías especiales de datos, datos relativos a condenas o infracciones penales o datos que permitan determinar la situación financiera o de solvencia patrimonial o deducir información sobre las personas relacionada con categorías especiales de datos.

5.   Tratamientos que impliquen el uso de datos biométricos con el propósito de identificar de manera única a una persona física.

6.   Tratamientos que impliquen el uso de datos genéticos para cualquier fin.

7.   Tratamientos que impliquen el uso de datos a gran escala.

8.   Tratamientos que impliquen la asociación, combinación o enlace de registros de bases de datos de dos o más tratamientos con finalidades diferentes o por responsables distintos.

9.   Tratamientos de datos de sujetos vulnerables o en riesgo de exclusión social, incluyendo datos de menores de 14 años, mayores con algún grado de discapacidad, discapacitados, personas que acceden a servicios sociales y víctimas de violencia de género, así como sus descendientes y personas que estén bajo su guardia y custodia.

10. Tratamientos que impliquen la utilización de nuevas tecnologías o un uso innovador de tecnologías consolidadas, incluyendo la utilización de tecnologías a una nueva escala, con un nuevo objetivo o combinadas con otras, de forma que suponga nuevas formas de recogida y utilización de datos con riesgo para los derechos y libertades de las personas.

11. Tratamientos de datos que impidan a los interesados ejercer sus derechos, utilizar un servicio o ejecutar un contrato, como por ejemplo tratamientos en los que los datos han sido recopilados por un responsable distinto al que los va a tratar y aplica alguna de las excepciones sobre la información que debe proporcionarse a los interesados según el artículo 14.5 (b,c,d) del RGPD.

1.   Tratamientos de datos no personales (se aconseja cautela en este punto).

2.   Tratamientos que se realizan estrictamente bajo las directrices establecidas o autorizadas con anterioridad mediante circulares o decisiones emitidas por las Autoridades de Control, en particular la AEPD, siempre y cuando el tratamiento no se haya modificado desde que fue autorizado.

3.   Tratamientos que se realizan estrictamente bajo las directrices de códigos de conducta aprobados por la Comisión Europea o las Autoridades de Control, en particular la AEPD, siempre y cuando una EIPD completa haya sido realizada para la validación del código de conducta y el tratamiento se implementa incluyendo las medidas y salvaguardas definidas en la EIPD.

4.   Tratamientos que sean necesarios para el cumplimiento de una obligación legal, cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, siempre que en el mismo mandato legal no se obligue a realizar una EIPD, y siempre y cuando ya se haya realizado una EIPD completa.

5.   Tratamientos realizados en el ejercicio de su labor profesional por trabajadores autónomos que ejerzan de forma individual, en particular médicos, profesionales de la salud o abogados, sin perjuicio de que pueda requerirse cuando el tratamiento que lleven a cabo cumpla, de forma significativa, con dos o más criterios establecidos en la lista de tipos de tratamientos de datos que requieren evaluación de impacto relativa a protección de datos publicada por la AEPD.

6.   Tratamientos obligatorios por ley y realizados con relación a la gestión interna del personal de las PYMES con finalidad de contabilidad, gestión de recursos humanos y nóminas, seguridad social y salud laboral, pero nunca relativos a los datos de los clientes.

7.   Tratamientos realizados por comunidades y subcomunidades de propietarios tal como se definen en el artículo 2 (a, b y d) de la Ley 49/1960 de Propiedad Horizontal.

12. Tratamientos realizados por colegios profesionales y asociaciones sin ánimo de lucro para la gestión de los datos personales de sus propios asociados y donantes, y en el ejercicio de su labor, siempre que no incluyan en el tratamiento de datos sensibles tales como los que se establecen en el artículo 9.1 del RGPD y no sea de aplicación el artículo 9.2(d) de dicho Reglamento.

 

Asimismo, como bien recordaba la AEPD en su nota de prensa de ayer, no hay que olvidar la gran cantidad de información, herramientas y guías publicadas por la AEPD (y otras autoridades como el INCIBE). Toda esta información, de forma resumida, se puede encontrar en la sección que la AEPD dedica a este respecto en su página web: https://www.aepd.es/reglamento/cumplimiento/evaluaciones-de-impacto.html.