Datuen babesari buruzko Eraginaren Ebaluazioa (EIPD) RGPDren tresna garrantzitsuenetako bat da, eta gaizki ulertuenetako bat. Ez da paperlana: arrisku handiko tratamendu bat abian jarri aurretik, erakundeari geldiarazi eta pentsarazten dion aldez aurreko azterketa da —zer atera daiteke gaizki pertsonentzat eta nola saihestu. Gida honek azaltzen du zer den zehazki EIPDa, noiz den derrigorrezkoa, nola egituratzen den, nork egiten duen eta zer gertatzen den analisiaren ondoren arriskuak handia izaten jarraitzen duenean.
15 segundotan
- EIPDa 35. art. RGPD-k arrisku handiko tratamendu baten aurretik eskatzen duen aldez aurreko arrisku-azterketa da.
- Derrigorrezkoa da, gutxienez, 35.3 art.aren hiru kasuetan (erabakiekiko profilatzea, 9. art.aren datuen eskala handia, eremu publikoen behaketa).
- AEPDk zerrenda bat argitaratzen du EIPDa eskatzen duten tratamenduena; kasuz kasu kontsultatu behar da.
- Arduradunak egiten du, DBOaren aholkularitzarekin (35.2 eta 39. art.). Hondar-arriskuak handia izaten jarraitzen badu, AEPDri aurretiazko kontsulta dagokio (36. art.).
Zer da datuen babesari buruzko Eraginaren Ebaluazioa?
Datuen babesari buruzko Eraginaren Ebaluazioa —EIPD, edo DPIA ingelesezko siglaz (Data Protection Impact Assessment)— 35. art. RGPD-n aurreikusitako prozesua da, non arduradunak, arrisku handia ekar dezakeen tratamendu bat abian jarri aurretik, aztertzen duen nola eragin diezaiokeen tratamendu horrek pertsonen eskubide eta askatasunei eta zer neurrik murrizten duten maila onargarri batera.
Ez da komeni betetzen den formulario gisa ikustea, erabaki-tresna gisa baizik. EIPDak tratamenduari aurrez aurre begiratzera eta galdera deserosoei erantzutera behartzen du: benetan behar ditugu datu hauek guztiak?, badago helburu bera lortzeko modu ez hain inbaditzailerik?, zer gertatzen da datu-base hau filtratzen bada edo aurreikusitakoaz bestelako zerbaitetarako erabiltzen bada? RGPDren bi printzipioren gauzatze praktikoa da: diseinutik eta lehenetsita datuak babestea (25. art.) eta Erregelamendu osoa zeharkatzen duen arriskuan oinarritutako ikuspegia.
35.7 art.ak berak finkatzen du ebaluazioaren gutxieneko edukia. EIPD orok, gutxienez, lau elementu izan behar ditu:
- Aurreikusitako tratamendu-eragiketen eta haien helburuen deskribapen sistematikoa.
- Eragiketen beharraren eta proportzionaltasunaren ebaluazioa helburuari dagokionez.
- Interesatuen eskubide eta askatasunentzako arriskuen ebaluazioa.
- Arrisku horiei aurre egiteko aurreikusitako neurriak: bermeak, segurtasun-neurriak eta datuen babesa ziurtatzen duten mekanismoak.
Garrantzitsua da EIPDa bere lekuan kokatzea. Ez da legitimazio-oinarri bat ezta baimen bat ere: ez du legezko bihurtzen izango ez litzatekeen tratamendu bat. Arrisku-azterketa bat da. Tratamendu batek beti behar du 6. art.aren oinarri juridiko baliozko bat (eta 9. art.arena kategoria bereziak baldin badaude); EIPDak arrisku hori nola kudeatzen den dokumentatzen du, ez du oinarri hori ordezkatzen. Bi gauzak nahastea —"EIPD bat egiteak" berez edozein tratamendu inbaditzaile legitimatzen duela sinestea— akatsik ohikoenetako eta arriskutsuenetako bat da.
Noiz da derrigorrezkoa EIPD bat?
35.1 art. RGPD-ren arau orokorra da EIPDa derrigorrezkoa dela tratamendu mota batek, batez ere teknologia berriak erabiltzen baditu, pertsona fisikoen eskubide eta askatasunentzat ziurrenik arrisku handia ekartzen duenean, haren izaera, irismena, testuingurua eta helburuak kontuan hartuta.
Arau orokor horren gainean, 35.3 art.ak hiru kasu zehazten ditu, non ebaluazioa bereziki eskatzen den. Ez dira zerrenda itxi bat, legegileak arrisku begi-bistakotzat jo zituen kasuak baizik:
| Kasua (35.3 art.) | Zertan datzan |
|---|---|
| a) Erabakiekiko profilatzea | Alderdi pertsonalen ebaluazio sistematiko eta zehatza tratamendu automatizatuan oinarrituta, profilak egitea barne, eta horren gainean pertsonentzat ondorio juridikoak sortzen dituzten edo modu antzekoan nabarmen eragiten dieten erabakiak hartzen dira. |
| b) Datu sentikorren eskala handia | Datu-kategoria berezien (9. art.: osasuna, biometria, ideologia, sindikatu-afiliazioa, sexu-orientazioa, etab.) edo kondena eta arau-hauste penalei buruzko datuen (10. art.) tratamendua eskala handian. |
| c) Eremu publikoak | Sarbide publikoko eremu baten behaketa sistematikoa eskala handian (adibidez, espazio publikoen bideozaintza-sistema hedatuak). |
Hiru legezko kasu horiei erreferentziazko tresna praktiko bat gehitzen zaie: 35.4 art.ak kontrol-agintaritza bakoitzari agintzen dio EIPD bat eskatzen duten tratamendu moten zerrenda bat argitaratzeko. Espainian, AEPDk argitaratzen du zerrenda hori, eta beren kabuz edo baturik ebaluatzeko betebeharra aktibatzen duten arrisku-faktoreen irizpide eta konbinazioak jasotzen ditu. Tratamendu bat baloratzean nahitaez kontsultatu beharreko erreferentzia da: erakundeak bere jarduera konkretua irizpide horiekin alderatu behar du, "berari ez zaiola aplikatzen" jo gabe 35.3 art.aren hiru kasuetako batean hitzez hitz sartzen ez delako soilik.
Praktikan, galdera operatiboa ez da "zerrendan al nago?", "nire tratamenduak arrisku-faktoreak pilatzen ditu?" baizik. Zenbat eta elementu gehiago batu —profilatzea, datu sentikorrak, bolumen handia, pertsona ahulak, teknologia berritzailea, datu-iturrien konbinazioa, erabaki automatizatuak—, orduan eta argiagoa da ebaluazioa egiteko betebeharra.
Ohartarazpen bat biometriari buruz
Pertsona bat modu unibokoan identifikatzeko datu biometrikoak kategoria berezikoak dira (9. art.) eta haien tratamendua eskala handian EIPDaren betebeharra aktibatzen du. Komeni da argi izatea gaizki-ulertu zabaldu bat saihesteko: EIPDak ez du legitimatzen berez biometriaren erabilera. AEPDren irizpidea datu biometrikoen erabilerari buruz —adibidez, presentzia kontrolatzeko edo instalazioetara sartzeko— zorrotza da, eta eraginaren ebaluazio bat ez da beharraren eta proportzionaltasunaren azterketa gainditzen ez duena legezko bihurtzen duen bidezidor bat. EIPDak arriskua neurtzen du; ez du sortzen tratamenduak behar duen oinarri juridikoa.
EIPD baten faseak
RGPDak ebaluazioaren edukia finkatzen du (35.7 art.), baina ez du formulario bakar bat ezartzen. Praktikan, ondo eginiko EIPD batek modu ordenatuan hainbat fase igarotzen ditu, gutxieneko eduki hori lan egituratu batean itzultzen dutenak. Hauek dira ohiko etapak:
1. Tratamenduaren deskribapena
Modu sistematikoan dokumentatu zer egingo den: zer datu tratatzen diren, zer pertsonarenak, zer helbururekin, zer oinarri juridikorekin, nork sartzen den, zer enkargatzailek parte hartzen duten (28. art.), zer fluxu eta transferentzia dauden eta zenbat denboraz kontserbatzen diren. Deskribapen zehatzik gabe, gainerako analisia airean oinarritzen da.
2. Beharraren eta proportzionaltasunaren analisia
Egiaztatu tratamendua beharrezkoa dela bere helburuarentzat eta proportzionatua: ez dagoela alternatiba ez hain inbaditzailerik, datuen minimizazioa aplikatzen dela, kontserbazioak egokituak direla eta interesatuen eskubideak eta informatzeko betebeharra (13. art.) bermatzen direla. Hemen deskubritzen dute proiektu askok benetan behar zutena baino datu gehiago eskatzen ari zirela.
3. Arriskuen identifikazioa eta ebaluazioa
Baloratu zer mehatxuk astintzen dituzten pertsonen eskubide eta askatasunak —baimenik gabeko sarbideak, helburuarekin bateraezinak diren erabilerak, datuen galera edo aldaketa, profil batetik eratorritako erabaki okerrak— eta haien probabilitatea eta eragina estimatu. Emaitza lehenetsitako arrisku-mapa bat da, ez intuizio bat.
4. Arintze-neurriak eta erabakia
Definitu arrisku bakoitza maila onargarri batera murrizten duten berme eta neurri tekniko eta antolakuntzakoak (seudonimizazioa, zifratzea, rolaren araberako sarbide-kontrola, minimizazioa, erabaki automatizatuen giza berrikuspena, etab.) eta baloratu horiek aplikatu ondoren geratzen den hondar-arriskua. Emaitza horrekin arduradunak erabakitzen du: aurrera egin, tratamendua birdiseinatu edo, hondar-arriskuak handia izaten jarraitzen badu, AEPDri aurretiazko kontsulta bat egin.
EIPDa ez da sinatu eta artxibatzen den dokumentu bat. 35.11 art.ak haren berrikuspena aurreikusten du tratamenduaren arriskua aldatzen denean. Teknologia berri bat sartzen bada, helburua zabaltzen bada edo datu-bolumena aldatzen bada, ebaluazioa berrikusi behar da errealitatea islatzen jarrai dezan.
Nork egiten du EIPDa: arduraduna eta DBOa
EIPDaren titulartasuna zalantzarik gabekoa da: tratamenduaren arduradunak egiten du (35.1 art. RGPD). Bera da tratamenduaz erabakitzen duena eta, beraz, ebaluatu eta bere ondorioak bere gain hartu behar dituena. Erantzukizun hori ezin da eskuordetu: kanpoko laguntza teknikoa edo juridikoa eska daiteke prestatzeko, baina azken erabakia eta kontuak ematea arduradunarenak izaten jarraitzen dute.
Erakundeak Datuen Babeseko Ordezkaria duenean, arduraduna ebaluazioa egitean haren aholkularitza eskatzera behartuta dago (35.2 art. RGPD). Eta ez da kasualitatea: DBOaren eginkizunen artean, 39.1 art. RGPD-k berariaz jasotzen du EIPDari buruzko aholkularitza eskaintzea eta haren aplikazioa gainbegiratzea. Paperen banaketa argia da:
- Arduradunak tratamendua erabakitzen du, ebaluazioa egiten du, neurriak hartzen ditu eta horren guztiaren erantzukizuna hartzen du.
- DBOak aholkatzen du EIPDa nola egin, metodologiari buruz eta neurriei buruz, eta ebaluazioa behar bezala aplikatzen dela gainbegiratzen du. Aholkatu eta zaindu egiten du; ez du arduraduna ordezkatzen erabakian.
Tratamendua enkargatzaile batean oinarritzen denean (hodeiko software bat, hornitzaile teknologiko bat), EIPDa enkargatzaile horrek bere segurtasun-neurriei buruz ematen duen informazioaz ere elikatzen da. Enkargatzaileak arduradunari bere betebeharrak betetzen laguntzeko betebeharra du, eraginaren ebaluazioa barne, RGPDren 28.3.f art.aren arabera.
"Ondo eginiko EIPD batek kostatzen duena baino gehiago aurreztu ohi du: tratamendua abian jarri aurretik birdiseinatzera behartzen du, ez urraketa baten ondoren. Arazoa ez da egiten duena eta zerbait aldatu behar duela deskubritzen duena; ez egin eta arriskua konponbiderik gabe dagoenean deskubritzen duena baizik."
Mario P. Talamillo · Zuzendari bazkidea, Certix®
AEPDri aurretiazko kontsulta: arriskuak handia izaten jarraitzen duenean
EIPDa bi modutan amaitu daiteke. Ohikoena da, arintze-neurriak aplikatu ondoren, hondar-arriskua maila onargarri batean geratzea eta arduradunak tratamendua hasi ahal izatea ebaluazioa dokumentatuz. Baina bigarren agertoki bat dago, askoz ohiz kanpokoagoa eta modu espezifikoan araututakoa.
Ebaluazioak ondorioztatzen badu, aurreikusitako neurriekin ere, tratamenduak hondar-arrisku handia izaten jarraituko lukeela, arduradunak ezin du besterik gabe onartu eta aurrera jarraitu. 36. art. RGPD-k aurretiazko kontsulta bat egitera behartzen du kontrol-agintaritzari —Espainian AEPD— tratamendua hasi aurretik.
Kontsulta horretan, arduradunak AEPDri ematen dio tratamenduari buruzko informazio garrantzitsua eta eraginaren ebaluazioa bera. Agintaritzak informazio osagarria eska dezake eta, tratamenduak Erregelamendua urratuko lukeela irizten badu, arduradunari idatziz gomendioak egin eta bere zuzentze-ahalmenak baliatu ere bai. Ondorio praktikoa zuzena da: tratamendua ez da abian jarri behar kontsulta ebazteke dagoen bitartean.
Komeni da aurretiazko kontsulta den bezala ulertzea: ez izapide burokratiko bat gehiago, sistemaren segurtasun-balbula bat baizik. Erakundeak berak, aztertu ondoren, arriskua maila arrazoizko batera murriztea lortu ez duenean bakarrik aktibatzen da. Puntu horretara maiz iristen bada, seinalea normalean ez da "asko kontsultatu behar denik", tratamenduaren diseinua berrplanteatu beharko litzatekeela baizik.
Hasi aurretik egiaztatze-zerrenda
Arrisku handiko tratamendu baten analisi-fasea itxitzat eman aurretik, komeni da puntu hauek egiaztatzea:
- ✅ Tratamendua 35.3 art.aren hiru kasuekin eta AEPDren tratamendu-zerrendarekin alderatu al dut?
- ✅ Tratamendua modu sistematikoan deskribatu al dut: datuak, helburuak, oinarri juridikoa, enkargatzaileak, fluxuak, epeak?
- ✅ Beharra eta proportzionaltasuna justifikatu al ditut, datuen minimizazioa benetan aplikatuz?
- ✅ Pertsonen eskubideentzako arriskuak identifikatu al ditut eta haien probabilitatea eta eragina estimatu?
- ✅ Arintze-neurri konkretuak definitu al ditut eta horiek aplikatu ondoren geratzen den hondar-arriskua baloratu?
- ✅ DBOaren aholkularitza eskatu al dut (erakundeak baldin badu) eta horren berri utzi?
- ✅ Egiaztatu al dut AEPDri aurretiazko kontsulta dagokion (36. art.) hondar-arrisku handiagatik?
- ✅ Ebaluazioaren berrikuspena aurreikusi al dut tratamendua aldatzen bada (35.11 art.)?
Ohiko galderak
Zer da EIPD bat eta zertarako balio du?
Datuen babesari buruzko Eraginaren Ebaluazioa (EIPD, edo DPIA ingelesez) 35. art. RGPD-k eskatzen duen aldez aurreko azterketa da, tratamendu batek pertsonen eskubide eta askatasunentzat arrisku handia ekar dezakeenean. Tratamendua deskribatzeko, haren beharra eta proportzionaltasuna baloratzeko, arriskuak identifikatzeko eta jarduera abian jarri aurretik horiek murrizten dituzten neurriak zehazteko balio du. Arduradunaren analisi- eta erabaki-dokumentu bat da, ez inoren aurrean aurkezten den izapide bat.
Noiz da derrigorrezkoa Eraginaren Ebaluazio bat egitea?
35.3 art. RGPD-k, gutxienez, hiru kasutan eskatzen du: alderdi pertsonalen ebaluazio sistematiko eta zehatza tratamendu automatizatuan oinarrituta (profilak egitea barne), ondorio juridikoak edo antzekoak dituzten erabakien oinarri denean; datu-kategoria berezien (9. art.) edo datu penalen (10. art.) tratamendua eskala handian; eta sarbide publikoko eremu baten behaketa sistematikoa eskala handian. Horrez gain, AEPDk EIPDa eskatzen duten tratamendu moten zerrenda bat argitaratzen du, kasuz kasu kontsultatu beharrekoa.
Nork egin behar du EIPDa, arduradunak ala DBOak?
EIPDa egiteko erantzukizuna tratamenduaren arduradunarena da (35.1 art. RGPD). Erakundeak Datuen Babeseko Ordezkaria duenean, arduraduna haren aholkularitza eskatzera behartuta dago (35.2 art.), eta DBOaren eginkizunetako bat da, hain zuzen, ebaluazioari buruz aholkatzea eta haren aplikazioa gainbegiratzea (39.1 art. RGPD). DBOak aholkatu eta gainbegiratu egiten du; erabakia eta dokumentuaren titulartasuna arduradunarenak izaten jarraitzen dute.
Zer gertatzen da EIPDaren ondoren arriskuak handia izaten jarraitzen badu?
EIPDak ondorioztatzen badu, aurreikusitako arintze-neurriak aplikatuta ere, tratamenduak hondar-arrisku handia izaten jarraituko lukeela, arduradunak aurretiazko kontsulta egin behar dio kontrol-agintaritzari (AEPDri Espainian) tratamendua hasi aurretik, RGPDren 36. art.aren arabera. AEPDk informazio osagarria eska dezake eta gomendioak egin. Tratamendua ez da abian jarri behar kontsulta hori ebatzi arte.
Nola laguntzen dizu Certix-ek EIPDan
Eraginaren Ebaluazioa da txantiloi bat betetzearen eta benetako analisi bat egitearen arteko aldea gehien nabaritzen den lanetako bat. Eredu generiko batetik kopiatutako EIPD batek ez du zure tratamendua deskribatzen, ez ditu zure arriskuak identifikatzen eta ez zaitu babesten: betetzea itxuratzen duen dokumentu bat baino ez du sortzen. Ebaluazioaren balioa, hain zuzen, zure erakundeak datuekin egiten duenaren analisi konkretuan dago.
Certix-en Eraginaren Ebaluazioa zure benetako tratamendutik abiatuta egiten dugu: eragiketak deskribatzen ditugu, haien beharra eta proportzionaltasuna aztertzen, arriskuak mapeatzen eta horiek murrizten dituzten neurriak definitzen, Datuen Babeseko Ordezkariaren aholkularitzarekin figura hori dagoenean. Eta irizpidez baloratzen dugu kasuak AEPDri aurretiazko kontsulta bat egitea eskatzen duen abiatu aurretik.
EIPDa txertatzen den esparru orokorra ulertu nahi baduzu, gure RGPDaren gida osoa-tik has zaitezke. Eta zure erakundeak ebaluazio hauetarako DBO bat izendatu edo horretan oinarritu behar badu, ikusi nola funtzionatzen duen Datuen Babeseko Ordezkariaren figurak.
Eduki hau orientagarria eta dibulgatiboa baino ez da; ez du inola ere aholkularitza juridiko espezializatua osatzen. Araudia kasu konkretu bakoitzari aplikatzeak banakako azterketa eskatzen du.
Zure tratamenduak Eraginaren Ebaluazio bat behar al du?
Certix-en zure kasuak EIPD bat eskatzen duen aztertzen dugu eta zure benetako jardueratik abiatuta egiten dugu, ez txantiloi generiko batetik.
Aholkulari batekin hitz egin