Evaluaciones de impacto
El RGPD incorpora una obligación para los responsables de tratamientos: evaluar el impacto de las operaciones de tratamiento en la protección de datos personales, cuando sea probable que el tratamiento comporte un riesgo significativo para los derechos y las libertades de las personas. Las evaluaciones de impacto deben basarse en metodologías o métodos sistemáticos para que resulten objetivas, repetibles y comparables, y queden documentadas.
Las evaluaciones de impacto hay que establecerlas por aquellos tratamientos con riesgo significativo para los derechos y libertades de las personas que se pongan en marcha y antes de esta puesta en marcha. Los tratamientos ya en funcionamiento en la entrada en vigor del RGPD tendrán que efectuarla si hay modificaciones significativas. De todas maneras, en ámbitos tan sensibles y críticos como los tratamientos de datos de salud o de datos sociales resulta aconsejable que el DPD planifique su realización.
Las Agencias de Protección de Datos han establecido guías con metodología de referencia para llevar a cabo las evaluaciones de impacto (enlace con la guía de la Autoridad Catalana de Protección de Datos).
