La Evaluación de Impacto en Protección de Datos en Andorra
La Evaluación de Impacto en Protección de Datos (EIPD) es el instrumento que exige la Llei 29/2021 para identificar y mitigar riesgos antes de iniciar tratamientos de datos que puedan afectar gravemente a los derechos de las personas. Realizarla a tiempo evita problemas legales y operativos.
¿Cuándo es obligatoria la EIPD en Andorra?
La Llei 29/2021 obliga a realizar una EIPD en los siguientes supuestos:
- Elaboración de perfiles automatizada con efectos jurídicos o impacto significativo sobre las personas.
- Tratamiento a gran escala de datos sensibles (salud, biométricos, ideología, origen étnico, condenas penales, etc.).
- Observación sistemática a gran escala de zonas de acceso público (videovigilancia masiva, seguimiento de movimientos, etc.).
Principio de precaución
La APDA puede establecer una lista de tipos de tratamientos que requieren EIPD obligatoria. Ante la duda, es preferible realizar la evaluación: hacerla cuando no es estrictamente obligatoria no tiene consecuencias negativas.
¿Qué debe contener una EIPD?
Descripción del tratamiento
Descripción sistemática de las operaciones de tratamiento, sus finalidades, bases jurídicas y datos afectados.
Evaluación de necesidad y proporcionalidad
Justificación de que el tratamiento es necesario para el fin previsto y que no existen alternativas menos intrusivas para los derechos de los interesados.
Análisis de riesgos
Identificación de los riesgos para los derechos y libertades de las personas: probabilidad, gravedad y origen de cada riesgo.
Medidas de mitigación
Medidas técnicas, organizativas y jurídicas previstas para reducir o eliminar los riesgos identificados.
Consulta al DPD (si existe)
Si la organización tiene DPD, debe consultarle durante la elaboración de la EIPD y recoger su dictamen en el documento.
¿Cuándo debe realizarse?
La EIPD debe realizarse antes de iniciar el tratamiento, no después. Para tratamientos ya en curso en los que se detecte un riesgo grave, debe realizarse tan pronto como sea posible. Además, la EIPD no es un documento estático: debe revisarse cuando cambien las circunstancias del tratamiento. Recuerda que la notificación de brechas de seguridad también tiene plazos estrictos que deben gestionarse de forma paralela.
Consulta previa a la APDA
Si tras la EIPD los riesgos residuales siguen siendo altos y no pueden mitigarse con medidas internas, el responsable debe realizar una consulta previa a la APDA antes de iniciar el tratamiento. Conoce más sobre las funciones de inspección y consulta de la APDA.
En Privand facilitamos toda la información oficial sobre la normativa andorrana y auditamos páginas web de forma gratuita. Si necesitas ayuda para realizar una Evaluación de Impacto en Protección de Datos (EIPD), contáctanos y te asesoramos sin compromiso.