(Madrid, 4 de septiembre de 2019). La Agencia Española de Protección de Datos (AEPD) ha publicado el listado de tratamientos de datos personales en los que no es obligatoria la realización de una evaluación de impacto, con el objetivo de facilitar a los responsables la identificación de este tipo de tratamientos. El Reglamento General de Protección de Datos (RGPD) recoge en su artículo 35.1 que las organizaciones que traten datos están obligadas a realizar una Evaluación de Impacto relativa a la Protección de Datos (EIPD) antes de efectuar dichos tratamientos cuando sea probable que, en función de su naturaleza, alcance, contexto o fines, entrañen un alto riesgo para los derechos y libertades de las personas.

 Por otra parte, el apartado 5 del mismo artículo establece que las autoridades de control podrán publicar la lista de los tipos de tratamiento que no requieren una evaluación de impacto. Asimismo, y como contempla el RGPD, la Agencia ha comunicado al Comité Europeo de Protección de Datos (CEPD) el listado, que también se encuentra disponible en 

ingls

. Esta lista, que no exime de cumplir el resto de obligaciones establecidas en la normativa de protección de datos, complementa a la publicada con anterioridad por la Agencia donde figuran aquellos tratamientos en los que sí es obligatorio llevar a cabo una EIPD.

 La Agencia ha definido que no será necesario realizar una EIPD cuando se realicen tratamientos bajo directrices contenidas en circulares o decisiones emitidas previamente por las Autoridades de Control, en particular la AEPD, siempre y cuando el tratamiento no se haya modificado desde que fue autorizado.

 Tampoco se requiere si el tratamiento se realiza cumpliendo con códigos de conducta aprobados por la Comisión Europea o las Autoridades de Control, siempre que ya se hubiera llevado a cabo una EIPD para validar dicho código de conducta e incluyera las salvaguardas definidas en la Evaluación de Impacto.

 Dentro de los tratamientos que forman parte del listado también se encuentran, entre otros, aquellos que lleven a cabo los trabajadores autónomos que ejerzan de manera individual, en particular médicos, profesionales de la salud o abogados, sin perjuicio de que pueda requerirse cuando dichos tratamientos cumplan con dos o más criterios establecidos en la lista de tipos de tratamientos de datos que requieren EIPD; así como los obligatorios por ley y realizados con relación a la gestión interna del personal de las pymes con finalidad de contabilidad, gestión de recursos humanos y nóminas, seguridad social y salud laboral, pero nunca relativos a los datos de los clientes.

 Las Evaluaciones de impacto

El Reglamento establece que en aquellos casos en los que sea probable que los tratamientos entrañen un alto riesgo para los derechos y libertades de las personas físicas incumbe al responsable del tratamiento realizar una evaluación de impacto relativa a la protección de datos, que evalúe, en particular, el origen, la naturaleza, la particularidad y la gravedad del riesgo.

 La AEPD ha publicado con anterioridad distintos recursos para facilitar el cumplimiento de esta obligación, como la Guía para las evaluaciones de impacto en la protección de datos personales; la lista de tipos de tratamientos de datos que requieren EIPD; Gestiona, una herramienta para realizar análisis de riesgos y evoluciones de impacto, o el modelo de informe de EIPD para Administraciones Públicas.

(Madrid, 6 de septiembre de 2019). La directora de la Agencia Española de Protección de Datos, Mar España, y el presidente de la Asociación de Directivos de Relaciones Laborales, Antonio de la Fuente, han suscrito un Protocolo General de Actuación entre la AEPD y ADiReLab para fomentar el cumplimiento del Reglamento General de Protección de Datos y la Ley Orgánica 3/2018, así como para ofrecer a las empresas recursos que les faciliten las obligaciones derivadas de esta normativa.

El Reglamento y la Ley Orgánica 3/2018 han establecido un nuevo escenario regulatorio para las empresas y organizaciones que hacen tratamientos de datos personales. Una de las consecuencias con mayor repercusión es la introducción del principio de ‘responsabilidad activa’, por el que las empresas deben adoptar las medidas necesarias en función del tipo de tratamientos que realicen tanto para cumplir con la normativa como para estar en disposición de demostrar que cumplen.

La AEPD considera una prioridad el fomento de la concienciación entre las empresas, contribuyendo a que el sector empresarial consiga un elevado cumplimiento de sus obligaciones, fomentando una cultura de la protección de datos que suponga una clara mejora de la competitividad y contribuya al desarrollo de una economía más innovadora.

Por su parte ADiReLab tiene como misión promocionar y desarrollar la función directiva de las relaciones laborales como valor estratégico para empresas y organizaciones; fomentar el diálogo social y facilitar a sus miembros el conocimiento especializado de las normas laborales y los criterios de interpretación de la Administración y los Tribunales, así como anticipar las tendencias de futuro y transformación de las relaciones laborales a nivel global por el impacto de la tecnología, la demografía o la globalización.

En virtud de este Protocolo la AEPD pondrá a disposición de ADiReLab aquellas herramientas, guías y publicaciones que puedan ayudar a las empresas para que esta última las difunda entre sus socios. Esto incluye, entre otras, la herramienta Facilita_RGPD para aquellas que realicen tratamientos de datos de bajo riesgo o Gestiona_EIPD, para aquellas que prevean realizar tratamientos de datos de alto riesgo. Asimismo, la Agencia pone a disposición de ADiReLab la celebración de un taller formativo anual sobre el impacto de la LOPDGDD en las relaciones laborales y el análisis y la difusión de la doctrina administrativa de la AEPD en materia de protección de los datos personales de los empleados.

El Protocolo suscrito recoge igualmente que la AEPD valorará y analizará las propuestas recibidas de ADiReLab que contribuyan a fomentar la difusión y conocimiento del nuevo marco jurídico y ADiReLab, por su parte, prestará especial atención a las iniciativas que le traslade la AEPD y que puedan aportar mejoras en el conocimiento de la normativa por parte de sus socios/as, utilizando sus canales para garantizar la difusión de los contenidos que les traslade la Agencia, de forma que sean conocidos y accesibles para sus miembros.

(Madrid, 9 de julio de 2019). La Agencia Española de Protección de Datos (AEPD) ha publicado un 

 con el fin de facilitar la realización de estas evaluaciones y desarrollado a partir de la 

Guía práctica para las Evaluaciones de Impacto en la Protección de Datos

, publicada por la AEPD. El modelo ha sido elaborado en colaboración con el Ministerio de Trabajo, Migraciones y Seguridad Social a través de la Subsecretaría y el Centro de Seguridad de la Información de la Gerencia de Informática de la Seguridad Social.

 Entre las obligaciones que el Reglamento General de Protección de Datos (RGPD) impone a los responsables del tratamiento se encuentra la necesidad de evaluar el impacto de las actividades de tratamiento en la protección de datos cuando resulte probable que dicho tratamiento pueda entrañar un alto riesgo para los derechos y libertades de las personas.     

 El modelo recopila todos los aspectos que deben ser tenidos en cuenta para elaborar un informe de evaluación de impacto, entre los que se encuentra la descripción del tratamiento, la base jurídica que lo justifica, los análisis del tratamiento, de la obligación de realizar una EIPD o de cumplimiento, así como las medidas para la reducción del riesgo, un plan de acción y un apartado de conclusiones y recomendaciones.

 Si bien este modelo no va dirigido a responsables que efectúen tratamientos de datos de bajo riesgo, en aquellos casos en que no sea obligatorio hacer una evaluación de impacto puede valorarse la posibilidad de llevar a cabo este análisis con otros fines, como estudiar en profundidad un tratamiento; mejorar la gestión global de los procesos de una organización; generar conocimiento y cultura de protección de datos, o hacer un ejercicio de responsabilidad proactiva.