La evaluación de impacto relativa a la protección de datos es el documento RGPD que una empresa de software redacta en último lugar y debería redactar en primero: se debe antes de iniciar el tratamiento, es el lugar donde la función más arriesgada del producto se describe en los propios términos del Reglamento, y es lo que lee la autoridad de control cuando una reclamación nombra esa función. Este artículo lee el artículo 35 punto por punto para una empresa que construye software y le entrega la página que decide si es exigible y la redacta.

Cuándo es exigible: el artículo 35, apartado 1, y los tres casos nombrados

El artículo 35, apartado 1, exige una evaluación cuando un tipo de tratamiento, en particular si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe probablemente un alto riesgo para los derechos y libertades de las personas físicas. El artículo 35, apartado 3, nombra después tres casos en los que se exige en todo caso: (a) una evaluación sistemática y exhaustiva de aspectos personales basada en un tratamiento automatizado, como la elaboración de perfiles, sobre cuya base se toman decisiones con efectos jurídicos o similarmente significativos; (b) el tratamiento a gran escala de las categorías especiales del artículo 9, apartado 1, o de datos penales conforme al artículo 10; (c) la observación sistemática a gran escala de una zona de acceso público.

Para una empresa de software, el primer caso es el que atrapa las funciones del producto: una clasificación de candidatos, una puntuación de crédito o de fraude, una comprobación automatizada de elegibilidad, una decisión sobre un contenido o una cuenta tomada por un modelo. Es una evaluación sistemática y exhaustiva, la llame alguien elaboración de perfiles o no, y activa la evaluación. El segundo caso atrapa los datos de salud, biométricos y similares a gran escala, el tercero la analítica de vídeo y de sensores en espacios públicos.

Los nueve criterios detrás de «probable alto riesgo»

Fuera de los tres casos, «entrañe probablemente un alto riesgo» se lee con las directrices que el Grupo de Trabajo del Artículo 29 adoptó y el Comité Europeo de Protección de Datos hizo suyas, que dan nueve criterios: evaluación o puntuación; toma de decisiones automatizada con efecto jurídico o similar; observación sistemática; datos sensibles o de carácter muy personal; datos tratados a gran escala; cotejo o combinación de conjuntos de datos; datos de interesados vulnerables; uso innovador o aplicación de nuevas soluciones tecnológicas u organizativas; y tratamiento que impide a los interesados ejercer un derecho o utilizar un servicio o contrato. La regla práctica de las directrices es que un tratamiento que cumple dos de los criterios requerirá en la mayoría de los casos una evaluación, y que un solo criterio puede bastar.

El artículo 35, apartado 4, exige a cada autoridad de control publicar una lista de los tipos de tratamiento sujetos a la evaluación, y el artículo 35, apartado 5, le permite publicar una lista de tipos que no lo están; las listas difieren por Estado miembro, y la de su autoridad principal es la que hay que leer. La analítica de producto que combina datos de uso con datos de cuenta, una función de IA aplicada al contenido de los clientes y cualquier seguimiento de usuarios entre servicios puntúan en varios de los nueve, y una empresa que entrega esas funciones suele estar dentro de la evaluación antes de llegar a los casos nombrados.

Los cuatro elementos: el artículo 35, apartado 7

La evaluación incluye como mínimo: (a) una descripción sistemática de las operaciones de tratamiento previstas y de los fines del tratamiento, inclusive, cuando proceda, el interés legítimo perseguido por el responsable; (b) una evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento con respecto a su finalidad; (c) una evaluación de los riesgos para los derechos y libertades de los interesados; (d) las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad y mecanismos que garanticen la protección de datos personales y demuestren la conformidad, teniendo en cuenta los derechos e intereses legítimos de los interesados y de otras personas afectadas.

Dos apartados más dan forma al documento. El artículo 35, apartado 2, exige al responsable recabar el asesoramiento del delegado de protección de datos cuando se haya designado uno, y el artículo 35, apartado 9, exige que recabe, cuando proceda, la opinión de los interesados o de sus representantes sobre el tratamiento previsto. El artículo 35, apartado 8, permite tener en cuenta el cumplimiento de códigos de conducta aprobados en la evaluación. El elemento (d) es donde la evaluación se encuentra con el programa de seguridad: las medidas son los controles ISO 27001 y los controles de privacidad ISO 27701 que la empresa ya aplica, nombrados por riesgo y no en general, y la página que redacta la evaluación etiqueta cada elemento con el punto del artículo 35, apartado 7, al que responde.

Consulta previa: el artículo 36

Cuando la evaluación muestre que el tratamiento entrañaría un alto riesgo si el responsable no toma medidas para mitigarlo, el artículo 36, apartado 1, exige que el responsable consulte a la autoridad de control antes del tratamiento. El artículo 36, apartado 2, da a la autoridad ocho semanas para asesorar por escrito, prorrogables seis semanas en función de la complejidad del tratamiento, y le permite usar cualquiera de sus poderes del artículo 58. El artículo 36, apartado 3, enumera lo que aporta la consulta: las responsabilidades del responsable, los corresponsables y los encargados, los fines y medios, las medidas y garantías, los datos de contacto del delegado, la propia evaluación y cualquier otra información que pida la autoridad. En la práctica la consulta es rara, porque el elemento (d) se redacta para bajar el riesgo residual; la página hace la pregunta del riesgo residual en último lugar y escribe el párrafo del artículo 36 solo cuando la respuesta es que queda un alto riesgo.

La revisión, y la multa

El artículo 35, apartado 11, exige al responsable revisar la evaluación cuando sea necesario, al menos cuando cambie el riesgo que representan las operaciones de tratamiento; un modelo nuevo, una fuente de datos nueva o un fin nuevo es un cambio así. El artículo 83, apartado 4, letra a, fija el techo por una infracción de los artículos 35 y 36 en EUR 10 millones o el 2 % del volumen de negocio anual mundial, y las decisiones de las autoridades sobre la evaluación giran en torno a dos constataciones: si existía una antes de iniciar el tratamiento, y si su elemento (d) nombraba medidas que después se aplicaron de verdad.

Redactarla

La página de la evaluación de impacto hace las tres preguntas del artículo 35, apartado 3, con las propias palabras del Reglamento, después la pregunta del artículo 35, apartado 1, cuando no se da ninguna, escribe la lectura con la disposición detrás, y toma los cuatro elementos como entradas etiquetadas con el propio punto; la pregunta del riesgo residual decide si se añade el párrafo del artículo 36. El resultado es la evaluación como documento para copiar o descargar, una por actividad de tratamiento, guardada junto al registro de tratamientos que describe la actividad; la determinación de las obligaciones le pasa sus tres respuestas para que las preguntas se hagan una sola vez.