Avaluació d'Impacte en Protecció de Dades (EIPD): què és i quan és obligatòria

L'Avaluació d'Impacte en Protecció de Dades (EIPD) és una de les eines més importants i pitjor enteses del RGPD. No és paperassa: és l'anàlisi prèvia que obliga una organització a aturar-se a pensar, abans de llançar un tractament de risc, què pot sortir malament per a les persones i com evitar-ho. Aquesta guia explica què és exactament l'EIPD, quan és obligatòria, com s'estructura, qui la fa i què passa quan el risc continua sent alt després de l'anàlisi.

Què és l'Avaluació d'Impacte en Protecció de Dades?

L'Avaluació d'Impacte relativa a la Protecció de Dades —EIPD, o DPIA per les seves sigles en anglès (Data Protection Impact Assessment)— és el procés, previst en l'art. 35 del RGPD, pel qual el responsable analitza, abans de posar en marxa un tractament que probablement comporti un alt risc, com pot afectar aquest tractament els drets i llibertats de les persones i quines mesures el redueixen a un nivell acceptable.

No convé veure-la com un formulari que s'omple, sinó com una eina de decisió. L'EIPD obliga a mirar el tractament de cara i respondre preguntes incòmodes: de veritat necessitem totes aquestes dades?, hi ha una manera menys invasiva d'aconseguir el mateix fi?, què passa si aquesta base de dades es filtra o s'utilitza per a alguna cosa diferent de la prevista? És la materialització pràctica de dos principis del RGPD: la protecció de dades des del disseny i per defecte (art. 25) i l'enfocament basat en el risc que recorre tot el Reglament.

El mateix art. 35.7 fixa el contingut mínim de l'avaluació. Tota EIPD ha d'incloure, com a mínim, quatre elements:

• Una descripció sistemàtica de les operacions de tractament previstes i dels seus fins.
• Una avaluació de la necessitat i la proporcionalitat de les operacions respecte de la seva finalitat.
• Una avaluació dels riscos per als drets i llibertats dels interessats.
• Les mesures previstes per afrontar aquests riscos: garanties, mesures de seguretat i mecanismes que assegurin la protecció de les dades.

És important situar l'EIPD al seu lloc. No és una base de legitimació ni un permís: no converteix en lícit un tractament que no ho seria. És una anàlisi de risc. Un tractament necessita sempre una base jurídica vàlida de l'art. 6 (i de l'art. 9 si hi ha categories especials); l'EIPD documenta com es gestiona el seu risc, no substitueix aquesta base. Confondre ambdues coses —creure que "fer una EIPD" legitima per si sol qualsevol tractament intrusiu— és un dels errors més freqüents i més perillosos.

Quan és obligatòria una EIPD?

La regla general de l'art. 35.1 RGPD és que l'EIPD és obligatòria quan un tipus de tractament, en particular si utilitza noves tecnologies, probablement comporti un alt risc per als drets i llibertats de les persones físiques, tenint en compte la seva naturalesa, abast, context i fins.

Sobre aquesta regla general, l'art. 35.3 concreta tres supòsits en què l'avaluació es requereix en particular. No són una llista tancada, sinó els casos que el legislador va considerar de risc evident:

A aquests tres supòsits legals s'afegeix una eina pràctica de referència: l'art. 35.4 encarrega a cada autoritat de control publicar una llista dels tipus de tractament que requereixen una EIPD. A Espanya, l'AEPD publica aquesta llista, que recull criteris i combinacions de factors de risc que, per si sols o sumats, activen l'obligació d'avaluar. És una referència de consulta obligada en valorar un tractament: l'organització ha de contrastar la seva activitat concreta amb aquests criteris, sense donar per fet que "no li aplica" només perquè no encaixi literalment en un dels tres supòsits de l'art. 35.3.

A la pràctica, la pregunta operativa no és "estic a la llista?", sinó "el meu tractament acumula factors de risc?". Com més d'aquests elements concorrin —perfilat, dades sensibles, gran volum, persones vulnerables, tecnologia nova, combinació de fonts de dades, decisions automatitzades—, més clara és l'obligació de realitzar l'avaluació.

Les fases d'una EIPD

El RGPD fixa el contingut de l'avaluació (art. 35.7), però no imposa un formulari únic. A la pràctica, una EIPD ben feta recorre de manera ordenada una sèrie de fases que tradueixen aquest contingut mínim en un treball estructurat. Aquestes són les etapes habituals:

1. Descripció del tractament

Documentar de manera sistemàtica què es farà: quines dades es tracten, de quines persones, amb quina finalitat, amb quina base jurídica, qui hi accedeix, quins encarregats hi intervenen (art. 28), quins fluxos i transferències hi ha i durant quant de temps es conserven. Sense una descripció precisa, la resta de l'anàlisi es recolza en l'aire.

2. Anàlisi de necessitat i proporcionalitat

Comprovar que el tractament és necessari per al seu fi i proporcionat: que no hi ha una alternativa menys invasiva, que s'aplica la minimització de dades, que les conservacions són ajustades i que es garanteixen els drets dels interessats i el deure d'informació (art. 13). Aquí és on molts projectes descobreixen que estaven demanant més dades de les que realment necessitaven.

3. Identificació i avaluació dels riscos

Valorar quines amenaces pesen sobre els drets i llibertats de les persones —accessos no autoritzats, usos incompatibles amb la finalitat, pèrdua o alteració de dades, decisions errònies derivades d'un perfil— i estimar-ne la probabilitat i l'impacte. El resultat és un mapa de riscos prioritzat, no una intuïció.

4. Mesures de mitigació i decisió

Definir les garanties i mesures tècniques i organitzatives que redueixen cada risc a un nivell acceptable (seudonimització, xifrat, control d'accessos per rol, minimització, revisió humana de decisions automatitzades, etc.) i valorar el risc residual que queda després d'aplicar-les. Amb aquest resultat el responsable decideix: seguir endavant, redissenyar el tractament o, si el risc residual continua sent alt, elevar una consulta prèvia a l'AEPD.

L'EIPD no és un document que se signa i s'arxiva. L'art. 35.11 preveu la seva revisió quan canviï el risc del tractament. Si s'incorpora una tecnologia nova, s'amplia la finalitat o canvia el volum de dades, l'avaluació s'ha de revisar perquè continuï reflectint la realitat.

Qui fa l'EIPD: el responsable i el DPD

La titularitat de l'EIPD és inequívoca: la realitza el responsable del tractament (art. 35.1 RGPD). És qui decideix sobre el tractament i, per tant, qui l'ha d'avaluar i assumir-ne les conclusions. Aquesta responsabilitat no es pot delegar: es pot demanar suport tècnic o jurídic extern per elaborar-la, però la decisió final i la rendició de comptes continuen sent del responsable.

Quan l'organització té Delegat de Protecció de Dades, el responsable està obligat a demanar-ne l'assessorament en realitzar l'avaluació (art. 35.2 RGPD). I no és casual: entre les funcions del DPD, l'art. 39.1 RGPD inclou expressament oferir assessorament sobre l'EIPD i supervisar-ne l'aplicació. El repartiment de papers és clar:

• El responsable decideix el tractament, realitza l'avaluació, adopta les mesures i en respon.
• El DPD assessora sobre com fer l'EIPD, sobre la metodologia i sobre les mesures, i supervisa que l'avaluació s'apliqui correctament. Assessora i vigila; no substitueix el responsable en la decisió.

Quan el tractament es recolza en un encarregat (un programari al núvol, un proveïdor tecnològic), l'EIPD també es nodreix de la informació que aquest encarregat facilita sobre les seves mesures de seguretat. L'encarregat té el deure d'assistir el responsable en el compliment de les seves obligacions, inclosa l'avaluació d'impacte, en virtut de l'art. 28.3.f RGPD.

Consulta prèvia a l'AEPD: quan el risc continua sent alt

L'EIPD pot acabar de dues maneres. L'habitual és que, després d'aplicar les mesures de mitigació, el risc residual quedi en un nivell acceptable i el responsable pugui iniciar el tractament documentant l'avaluació. Però hi ha un segon escenari, molt menys freqüent i regulat de manera específica.

Si l'avaluació conclou que, fins i tot amb les mesures previstes, el tractament continuaria comportant un alt risc residual, el responsable no pot senzillament assumir-lo i seguir endavant. L'art. 36 RGPD l'obliga a fer una consulta prèvia a l'autoritat de control —l'AEPD a Espanya— abans d'iniciar el tractament.

En aquesta consulta, el responsable facilita a l'AEPD la informació rellevant sobre el tractament i la mateixa avaluació d'impacte. L'autoritat pot demanar informació addicional i, si considera que el tractament infringiria el Reglament, formular per escrit recomanacions al responsable i fins i tot exercir els seus poders correctius. La conseqüència pràctica és directa: el tractament no s'ha de posar en marxa mentre la consulta estigui pendent de resolució.

Convé entendre la consulta prèvia com el que és: no un tràmit burocràtic més, sinó una vàlvula de seguretat del sistema. S'activa només quan la mateixa organització, després d'analitzar-ho, no ha aconseguit reduir el risc a un nivell raonable. Si s'arriba a aquest punt amb freqüència, normalment el senyal no és que "calgui consultar molt", sinó que el disseny del tractament s'hauria de replantejar.

Checklist abans de començar

Abans de donar per tancada la fase d'anàlisi d'un tractament de risc, convé comprovar aquests punts:

• ✅ He contrastat el tractament amb els tres supòsits de l'art. 35.3 i amb la llista de tractaments de l'AEPD?
• ✅ He descrit el tractament de manera sistemàtica: dades, finalitats, base jurídica, encarregats, fluxos, terminis?
• ✅ He justificat la necessitat i la proporcionalitat, aplicant de veritat la minimització de dades?
• ✅ He identificat els riscos per als drets de les persones i estimat la seva probabilitat i impacte?
• ✅ He definit mesures concretes de mitigació i valorat el risc residual que queda després d'aplicar-les?
• ✅ He demanat l'assessorament del DPD (si l'organització en té) i deixat constància d'això?
• ✅ He verificat si procedeix consulta prèvia a l'AEPD (art. 36) per alt risc residual?
• ✅ He previst la revisió de l'avaluació si el tractament canvia (art. 35.11)?

Preguntes freqüents

Què és una EIPD i per a què serveix?

L'Avaluació d'Impacte relativa a la Protecció de Dades (EIPD, o DPIA en anglès) és l'anàlisi prèvia que exigeix l'art. 35 RGPD quan un tractament pot comportar un alt risc per als drets i llibertats de les persones. Serveix per descriure el tractament, valorar-ne la necessitat i proporcionalitat, identificar els riscos i definir les mesures que els redueixen abans de posar en marxa l'activitat. És un document intern d'anàlisi i decisió del responsable, no un tràmit que es presenti davant ningú.

Quan és obligatori fer una Avaluació d'Impacte?

L'art. 35.3 RGPD la exigeix, com a mínim, en tres supòsits: avaluació sistemàtica i exhaustiva d'aspectes personals basada en tractament automatitzat (inclosa l'elaboració de perfils) que serveixi de base a decisions amb efectes jurídics o similars; tractament a gran escala de categories especials (art. 9) o de dades penals (art. 10); i observació sistemàtica a gran escala d'una zona d'accés públic. A més, l'AEPD publica una llista de tipus de tractament que requereixen EIPD, que cal consultar cas per cas.

Qui ha de fer l'EIPD, el responsable o el DPD?

La responsabilitat de realitzar l'EIPD és del responsable del tractament (art. 35.1 RGPD). Quan l'organització té Delegat de Protecció de Dades, el responsable està obligat a demanar-ne l'assessorament (art. 35.2), i una de les funcions del DPD és precisament assessorar sobre l'avaluació i supervisar-ne l'aplicació (art. 39.1 RGPD). El DPD assessora i supervisa; la decisió i la titularitat del document continuen sent del responsable.

Què passa si després de l'EIPD el risc continua sent alt?

Si l'EIPD conclou que, fins i tot aplicant les mesures de mitigació previstes, el tractament continuaria comportant un alt risc residual, el responsable ha de fer una consulta prèvia a l'autoritat de control (l'AEPD a Espanya) abans d'iniciar el tractament, conforme a l'art. 36 RGPD. L'AEPD pot requerir informació addicional i formular recomanacions. El tractament no s'ha de posar en marxa fins a resoldre aquesta consulta.

Com Certix t'acompanya en l'EIPD

L'Avaluació d'Impacte és un dels treballs on més es nota la diferència entre omplir una plantilla i fer una anàlisi real. Una EIPD copiada d'un model genèric no descriu el teu tractament, no identifica els teus riscos i no et protegeix: només genera un document que aparenta compliment. El valor de l'avaluació està precisament en l'anàlisi concreta del que la teva organització fa amb les dades.

A Certix realitzem l'Avaluació d'Impacte partint del teu tractament real: descrivim les operacions, analitzem la seva necessitat i proporcionalitat, mapem els riscos i definim les mesures que els redueixen, amb l'assessorament del Delegat de Protecció de Dades quan existeix aquesta figura. I valorem, amb criteri, si el cas exigeix elevar una consulta prèvia a l'AEPD abans d'arrencar.

Si vols entendre el marc general en què s'insereix l'EIPD, pots començar per la nostra guia completa del RGPD. I si la teva organització ha de designar o recolzar-se en un DPD per a aquestes avaluacions, revisa com funciona la figura del Delegat de Protecció de Dades.

---

Aquest contingut és merament orientatiu i divulgatiu; no constitueix en cap cas assessorament jurídic especialitzat. L'aplicació de la normativa a cada cas concret requereix anàlisi individualitzada.