Un tratamiento que pueda entrañar un alto riesgo para las personas exige una evaluación de impacto relativa a la protección de datos (artículo 35 del RGPD). En MyZapp se lleva en Protección de datos › Evaluaciones de impacto, vinculada a las actividades del registro de tratamientos que cubre.
Crear la evaluación
Elige la entidad jurídica, indica un título y pulsa Nueva evaluación. En su ficha, marca las actividades del registro cubiertas. Los tres eventos temidos del artículo 35 ya están puestos: acceso ilegítimo, modificación no deseada, desaparición de los datos.
El cuestionario de necesidad
La ficha muestra los 9 criterios de las directrices del Comité Europeo de Protección de Datos: evaluación o puntuación, decisión automatizada, observación sistemática, datos sensibles, gran escala, combinación de datos, personas vulnerables, uso innovador, tratamiento que impide ejercer un derecho. La evaluación se exige en cuanto se cumplen 2 criterios.
Si la autoridad de tu país ha publicado sus listas (tipos de operaciones que exigen la evaluación o que están exentos) y se han importado, aparecen en Lista de la autoridad y prevalecen sobre el recuento.
Una evaluación no exigida, o una decisión distinta de la del cuestionario, siempre se justifica. El resultado se traslada a las actividades del registro.
El contenido de la evaluación
- Descripción del tratamiento: naturaleza, alcance, contexto, fines, datos, flujos.
- Necesidad y proporcionalidad: base jurídica, minimización, plazos, información y derechos de las personas.
- Riesgos: para cada evento temido, valora la gravedad y la probabilidad de 1 (insignificante) a 4 (máxima), antes y después de las medidas. Un riesgo es alto cuando ambas valoraciones llegan a 3. El riesgo residual de la evaluación es el más alto tras las medidas.
Guarda: mientras la evaluación está en redacción, todo puede modificarse.
Las medidas y el plan de acción
Añade las medidas existentes y las previstas. Una medida prevista tiene un vencimiento y, si es posible, un responsable (la dirección de su cuenta): recibe un recordatorio 7 días antes del vencimiento y la marca como Hecha.
Dictamen, validación, consulta a la autoridad
- Enviar al delegado: el cuestionario, las actividades, la descripción, la necesidad y los riesgos deben estar completos.
- El delegado emite su dictamen, favorable o no.
- El responsable valida la evaluación. Antes debe haberse recabado la opinión de los interesados o de sus representantes, o anotado por qué no se hizo.
- Si el riesgo residual sigue siendo alto, la validación se rechaza: primero Consultar a la autoridad (artículo 36). El plazo de respuesta (8 semanas, ampliable en 6) se sigue y se recuerda. Con la respuesta, el tratamiento puede validarse con las condiciones de la autoridad, o abandonarse.
Versiones, revisión y PDF
Cada paso crea una versión. Para modificar una evaluación ya enviada o validada, reábrela: el dictamen y la validación decaen y siguen visibles en las versiones. Una evaluación validada se revisa periódicamente; el delegado recibe un recordatorio al vencimiento. El botón PDF genera el documento completo de la evaluación.
No hace falta inteligencia artificial: toda la evaluación se realiza a mano.