{"id":2694,"date":"2019-09-17T15:21:51","date_gmt":"2019-09-17T13:21:51","guid":{"rendered":"https:\/\/escueladpo.com\/?p=2694"},"modified":"2021-11-18T01:53:18","modified_gmt":"2021-11-18T00:53:18","slug":"evaluacion-de-impacto-exclusion-por-la-aepd-de-autonomos-y-profesionales-de-la-obligacion-eipd-del-rgpd","status":"publish","type":"post","link":"https:\/\/escueladpo.com\/?p=2694","title":{"rendered":"EVALUACI\u00d3N DE IMPACTO:\u00a0EXCLUSI\u00d3N POR LA AEPD DE AUT\u00d3NOMOS Y PROFESIONALES DE LA OBLIGACI\u00d3N EIPD DEL\u00a0RGPD.\u00a0"},"content":{"rendered":"

\"\"<\/p>\n

El Reglamento General de Protecci\u00f3n de Datos (RGPD) recoge en su\u00a0<\/span>A<\/span>rt\u00edculo 35.1<\/span>,<\/span>\u00a0<\/span>la obligaci\u00f3n de<\/span>\u00a0realizar\u00a0<\/span>por parte de<\/span>\u00a0las organizaciones que traten datos<\/span>\u00a0personales,<\/span>\u00a0una Evaluaci\u00f3n de Impacto relativa a la Protecci\u00f3n de Datos (EIPD) antes de efectuar dichos tratamientos cuando sea probable que, en funci\u00f3n de su naturaleza, alcance, contexto o fines, entra\u00f1en un alto riesgo para los derechos y libertades de las personas.<\/span>\u00a0<\/span><\/p>\n

La Agencia Espa\u00f1ola de Protecci\u00f3n de Datos (AEPD) ha\u00a0<\/span>emitido una<\/span>\u00a0<\/span>relaci\u00f3n<\/span>\u00a0de tratamientos de datos personales en los que no es obligatoria la realizaci\u00f3n de una EIPD, con el objetivo de facilitar a los responsables la identificaci\u00f3n de este tipo de tratamientos.\u00a0<\/span>\u00a0<\/span><\/p>\n

La AEPD excluye a los\u00a0<\/span>aut\u00f3nomos y profesionales\u00a0<\/span>de<\/span>\u00a0la obligaci\u00f3n del RGPD<\/span>\u00a0de la obligaci\u00f3n de realizar una evaluaci\u00f3n de impacto<\/span>\u00a0<\/span>EIPD<\/span>,<\/span>\u00a0elabora<\/span>n<\/span>do\u00a0<\/span>dicha\u00a0<\/span>relaci\u00f3n<\/span>\u00a0de tratamientos<\/span>\u00a0<\/span>para ayudar a los responsables a identificar los tratamientos en los que no es obligatorio realizar una\u00a0<\/span>EIPD<\/span>.<\/span>\u00a0<\/span><\/p>\n

La relaci\u00f3n completa<\/span>, en\u00a0<\/span>la<\/span>\u00a0que se incluye a los\u00a0<\/span>aut\u00f3nomos y profesionales<\/span>\u00a0que ejerzan de forma individual, de estos tratamientos puede consultarse\u00a0<\/span>en\u00a0<\/span>https:\/\/www.aepd.es\/media\/guias\/ListasDPIA-35.5l.pdf<\/span><\/a>.<\/span>\u00a0<\/span><\/p>\n

Dentro de los tratamientos que forman parte\u00a0<\/span>de la relaci\u00f3n<\/span>\u00a0se encuentran, entre otros, aquellos que lleven a cabo los trabajadores aut\u00f3nomos que ejerzan\u00a0<\/span>su actividad laboral\u00a0<\/span>de manera individual, en particular abogados, m\u00e9dicos o profesionales de la salud, sin perjuicio de que pueda requerirse cuando dichos tratamientos cumplan con dos o m\u00e1s criterios establecidos en la lista de tipos de tratamientos de datos que requieren EIPD; as\u00ed como los obligatorios por ley y realizados con relaci\u00f3n a la gesti\u00f3n interna del personal de las\u00a0<\/span>PYMES<\/span>\u00a0con finalidad de contabilidad, gesti\u00f3n de recursos humanos y n\u00f3minas, seguridad social y salud laboral, pero nunc<\/span>a relativos a los datos de los C<\/span>lientes.<\/span>\u00a0<\/span><\/p>\n

Por otra parte, el apartado 5 del\u00a0<\/span>mencionado A<\/span>rt\u00edculo\u00a0<\/span>35,\u00a0<\/span>establece que las autoridades de control podr\u00e1n publicar la lista de los tipos de tratamiento que no requieren una evaluaci\u00f3n de impacto. Asimismo, y como contempla el RGPD, la\u00a0<\/span>AEPD<\/span>\u00a0ha comunicado al Comit\u00e9 Europeo de Protecci\u00f3n de Datos (CEPD) el listado, que tambi\u00e9n se encuentra disponible en ingl\u00e9s.\u00a0<\/span>\u00a0<\/span><\/p>\n

Esta lista, que no exime de cumplir el resto de obligaciones establecidas en la normativa de protecci\u00f3n de datos, complementa a la publicada con anterioridad por la\u00a0<\/span>AEPD<\/span>\u00a0donde figuran aquellos tratamientos en los que s\u00ed es obligatorio llevar a cabo una EIPD<\/span>, considerando que el A<\/span>rt\u00edculo 35.3<\/span>,\u00a0<\/span>establece que la EIPD se requerir\u00e1 en particular en el caso de:<\/span>\u00a0<\/span><\/p>\n

    \n
  1. evaluaci\u00f3n sistem\u00e1tica y exhaustiva de aspectos personales de personas f\u00edsicas que se base<\/span>\u00a0<\/span>en un tratamiento automatizado, como la elaboraci\u00f3n de perfiles, y sobre cuya base se<\/span>\u00a0<\/span>tomen decisiones que produzcan efectos jur\u00eddicos para las personas f\u00edsicas o que les<\/span>\u00a0<\/span>afecten significativamente de modo similar;<\/span>\u00a0<\/span><\/li>\n<\/ol>\n
      \n
    1. tratamiento a gran escala de las categor\u00edas especiales de datos a que se refiere el art\u00edculo 9,<\/span>\u00a0<\/span>apartado 1, o de los datos personales relativos a condenas e infracciones penales a que se<\/span>\u00a0<\/span>refiere el art\u00edculo 10, o la<\/span>
      \n<\/span><\/li>\n<\/ol>\n
        \n
      1. observaci\u00f3n sistem\u00e1tica a gran escala de una zona de acceso p\u00fablico.<\/span>
        \n<\/span><\/li>\n<\/ol>\n

        Seg\u00fan la AEPD los\u00a0<\/span>tratamientos en los que s\u00ed es obligatorio llevar a cabo una EIPD<\/span>\u00a0<\/span>est\u00e1n<\/span>\u00a0disponible para consulta en<\/span>\u00a0el siguiente enlace:<\/span>\u00a0<\/span><\/p>\n

        https:\/\/www.aepd.es\/media\/criterios\/listas-dpia-es-35-4.pdf<\/span><\/a>\u00a0<\/span><\/p>\n

        La\u00a0<\/span>AEPD<\/span>\u00a0ha definido que no ser\u00e1 necesario realizar una EIPD cuando se realicen tratamientos bajo directrices contenidas en circulares o decisiones emitidas previamente por las Autoridades de Control, en particular<\/span>\u00a0de<\/span>\u00a0la\u00a0<\/span>propia\u00a0<\/span>AEPD, siempre y cuando el tratamiento no se haya modificado desde que fue autorizado.<\/span>\u00a0<\/span><\/p>\n

        Tampoco se requiere si el tratamiento se realiza cumpliendo con c\u00f3digos de conducta aprobados por la Comisi\u00f3n Europea o las Autoridades de Control, siempre que ya se hubiera llevado a cabo una EIPD para validar dicho c\u00f3digo de conducta e incluyera las salvaguardas definidas en la Evaluaci\u00f3n de Impacto.<\/span>\u00a0<\/span><\/p>\n

        El\u00a0<\/span>RGPD<\/span>\u00a0establece que en aquellos casos en los que sea probable que los tratamientos entra\u00f1en un alto riesgo para los derechos y libertades de las personas f\u00edsicas incumbe al responsable del tratamiento\u00a0<\/span>el llevar a cabo<\/span>\u00a0una evaluaci\u00f3n de impacto relativa a la protecci\u00f3n de datos<\/span>\u00a0y<\/span>\u00a0que eval\u00fae, en particular, el origen, la naturaleza, la particularidad y la gravedad del riesgo.<\/span>\u00a0<\/span><\/p>\n

        La AEPD ha publicado con anterioridad distintos recursos para facilitar el cumplimiento de esta obligaci\u00f3n,\u00a0<\/span>tales como:<\/span>\u00a0<\/span><\/p>\n