Avaliación de Impacto en Protección de Datos (AIPD): que é e cando é obrigatoria

A Avaliación de Impacto en Protección de Datos (AIPD) é unha das ferramentas máis importantes e peor entendidas do RGPD. Non é burocracia: é a análise previa que obriga unha organización a parar a pensar, antes de lanzar un tratamento de risco, que pode saír mal para as persoas e como evitalo. Esta guía explica que é exactamente a AIPD, cando é obrigatoria, como se estrutura, quen a fai e que ocorre cando o risco segue sendo alto despois da análise.

Que é a Avaliación de Impacto en Protección de Datos?

A Avaliación de Impacto relativa á Protección de Datos —AIPD, ou DPIA polas súas siglas en inglés (Data Protection Impact Assessment)— é o proceso, previsto no art. 35 do RGPD, polo que o responsable analiza, antes de poñer en marcha un tratamento que probablemente entrañe un alto risco, como pode afectar ese tratamento aos dereitos e liberdades das persoas e que medidas o reducen a un nivel aceptable.

Non convén vela como un formulario que se enche, senón como unha ferramenta de decisión. A AIPD obriga a mirar o tratamento de fronte e responder a preguntas incómodas: de verdade necesitamos todos estes datos?, hai unha forma menos invasiva de conseguir o mesmo fin?, que pasa se esta base de datos se filtra ou se usa para algo distinto do previsto? É a materialización práctica de dous principios do RGPD: a protección de datos desde o deseño e por defecto (art. 25) e o enfoque baseado no risco que percorre todo o Regulamento.

O propio art. 35.7 fixa o contido mínimo da avaliación. Toda AIPD debe incluír, polo menos, catro elementos:

• Unha descrición sistemática das operacións de tratamento previstas e das súas finalidades.
• Unha avaliación da necesidade e a proporcionalidade das operacións respecto da súa finalidade.
• Unha avaliación dos riscos para os dereitos e liberdades dos interesados.
• As medidas previstas para afrontar eses riscos: garantías, medidas de seguridade e mecanismos que aseguren a protección dos datos.

É importante situar a AIPD no seu sitio. Non é unha base de lexitimación nin un permiso: non converte en lícito un tratamento que non o sería. É unha análise de risco. Un tratamento necesita sempre unha base xurídica válida do art. 6 (e do art. 9 se hai categorías especiais); a AIPD documenta como se xestiona o seu risco, non substitúe esa base. Confundir ambas as cousas —crer que "facer unha AIPD" lexitima por si só calquera tratamento intrusivo— é un dos erros máis frecuentes e máis perigosos.

Cando é obrigatoria unha AIPD?

A regra xeral do art. 35.1 RGPD é que a AIPD é obrigatoria cando un tipo de tratamento, en particular se utiliza novas tecnoloxías, probablemente entrañe un alto risco para os dereitos e liberdades das persoas físicas, tendo en conta a súa natureza, alcance, contexto e finalidades.

Sobre esa regra xeral, o art. 35.3 concreta tres supostos nos que a avaliación se require en particular. Non son unha lista pechada, senón os casos que o lexislador considerou de risco evidente:

A estes tres supostos legais engádese unha ferramenta práctica de referencia: o art. 35.4 encarga a cada autoridade de control publicar unha lista dos tipos de tratamento que requiren unha AIPD. En España, a AEPD publica esa lista, que recolle criterios e combinacións de factores de risco que, por si sós ou sumados, activan a obriga de avaliar. É unha referencia de consulta obrigada ao valorar un tratamento: a organización debe contrastar a súa actividade concreta con eses criterios, sen dar por feito que "non lle aplica" só porque non encaixe literalmente nun dos tres supostos do art. 35.3.

Na práctica, a pregunta operativa non é "estou na lista?", senón "o meu tratamento acumula factores de risco?". Cantos máis destes elementos concorran —perfilado, datos sensibles, gran volume, persoas vulnerables, tecnoloxía nova, combinación de fontes de datos, decisións automatizadas—, máis clara é a obriga de realizar a avaliación.

As fases dunha AIPD

O RGPD fixa o contido da avaliación (art. 35.7), pero non impón un formulario único. Na práctica, unha AIPD ben feita percorre de forma ordenada unha serie de fases que traducen ese contido mínimo nun traballo estruturado. Estas son as etapas habituais:

1. Descrición do tratamento

Documentar de forma sistemática que se vai facer: que datos se tratan, de que persoas, con que finalidade, con que base xurídica, quen accede, que encargados interveñen (art. 28), que fluxos e transferencias hai e durante canto tempo se conservan. Sen unha descrición precisa, o resto da análise apóiase no aire.

2. Análise de necesidade e proporcionalidade

Comprobar que o tratamento é necesario para a súa finalidade e proporcionado: que non hai unha alternativa menos invasiva, que se aplica a minimización de datos, que as conservacións son axustadas e que se garanten os dereitos dos interesados e o deber de información (art. 13). Aquí é onde moitos proxectos descobren que estaban pedindo máis datos dos que realmente necesitaban.

3. Identificación e avaliación dos riscos

Valorar que ameazas pesan sobre os dereitos e liberdades das persoas —accesos non autorizados, usos incompatibles coa finalidade, perda ou alteración de datos, decisións erróneas derivadas dun perfil— e estimar a súa probabilidade e impacto. O resultado é un mapa de riscos priorizado, non unha intuición.

4. Medidas de mitigación e decisión

Definir as garantías e medidas técnicas e organizativas que reducen cada risco a un nivel aceptable (seudonimización, cifrado, control de accesos por rol, minimización, revisión humana de decisións automatizadas, etc.) e valorar o risco residual que queda tras aplicalas. Con ese resultado o responsable decide: seguir adiante, redeseñar o tratamento ou, se o risco residual segue sendo alto, elevar unha consulta previa á AEPD.

A AIPD non é un documento que se asina e se arquiva. O art. 35.11 prevé a súa revisión cando cambie o risco do tratamento. Se se incorpora unha tecnoloxía nova, se amplía a finalidade ou cambia o volume de datos, a avaliación debe revisarse para que siga reflectindo a realidade.

Quen fai a AIPD: o responsable e o DPD

A titularidade da AIPD é inequívoca: a realiza o responsable do tratamento (art. 35.1 RGPD). É quen decide sobre o tratamento e, por tanto, quen debe avalialo e asumir as súas conclusións. Esta responsabilidade non se pode delegar: pódese pedir apoio técnico ou xurídico externo para elaborala, pero a decisión final e a rendición de contas seguen sendo do responsable.

Cando a organización ten Delegado de Protección de Datos, o responsable está obrigado a solicitar o seu asesoramento ao realizar a avaliación (art. 35.2 RGPD). E non é casual: entre as funcións do DPD, o art. 39.1 RGPD inclúe expresamente ofrecer asesoramento sobre a AIPD e supervisar a súa aplicación. O reparto de papeis é claro:

• O responsable decide o tratamento, realiza a avaliación, adopta as medidas e responde de todo iso.
• O DPD asesora sobre como facer a AIPD, sobre a metodoloxía e sobre as medidas, e supervisa que a avaliación se aplique correctamente. Asesora e vixía; non substitúe o responsable na decisión.

Cando o tratamento se apoia nun encargado (un software na nube, un provedor tecnolóxico), a AIPD tamén se nutre da información que ese encargado facilita sobre as súas medidas de seguridade. O encargado ten o deber de asistir o responsable no cumprimento das súas obrigas, incluída a avaliación de impacto, en virtude do art. 28.3.f RGPD.

Consulta previa á AEPD: cando o risco segue sendo alto

A AIPD pode terminar de dúas maneiras. O habitual é que, tras aplicar as medidas de mitigación, o risco residual quede nun nivel aceptable e o responsable poida iniciar o tratamento documentando a avaliación. Pero hai un segundo escenario, moito menos frecuente e regulado de forma específica.

Se a avaliación conclúe que, mesmo coas medidas previstas, o tratamento seguiría entrañando un alto risco residual, o responsable non pode simplemente asumilo e seguir adiante. O art. 36 RGPD obrígao a realizar unha consulta previa á autoridade de control —a AEPD en España— antes de iniciar o tratamento.

Nesa consulta, o responsable facilita á AEPD a información relevante sobre o tratamento e a propia avaliación de impacto. A autoridade pode pedir información adicional e, se considera que o tratamento infrinxiría o Regulamento, formular por escrito recomendacións ao responsable e mesmo exercer os seus poderes correctivos. A consecuencia práctica é directa: o tratamento non debe poñerse en marcha mentres a consulta estea pendente de resolución.

Convén entender a consulta previa como o que é: non un trámite burocrático máis, senón unha válvula de seguridade do sistema. Actívase só cando a propia organización, tras analizalo, non conseguiu reducir o risco a un nivel razoable. Se se chega a ese punto con frecuencia, normalmente o sinal non é que "haxa que consultar moito", senón que o deseño do tratamento debería reformularse.

Checklist antes de empezar

Antes de dar por pechada a fase de análise dun tratamento de risco, convén comprobar estes puntos:

• ✅ Contrastei o tratamento cos tres supostos do art. 35.3 e coa lista de tratamentos da AEPD?
• ✅ Describín o tratamento de forma sistemática: datos, finalidades, base xurídica, encargados, fluxos, prazos?
• ✅ Xustifiquei a necesidade e a proporcionalidade, aplicando de verdade a minimización de datos?
• ✅ Identifiquei os riscos para os dereitos das persoas e estimei a súa probabilidade e impacto?
• ✅ Definín medidas concretas de mitigación e valorei o risco residual que queda tras aplicalas?
• ✅ Solicitei o asesoramento do DPD (se a organización o ten) e deixei constancia diso?
• ✅ Verifiquei se procede consulta previa á AEPD (art. 36) por alto risco residual?
• ✅ Prevín a revisión da avaliación se o tratamento cambia (art. 35.11)?

Preguntas frecuentes

Que é unha AIPD e para que serve?

A Avaliación de Impacto relativa á Protección de Datos (AIPD, ou DPIA en inglés) é a análise previa que esixe o art. 35 RGPD cando un tratamento pode entrañar un alto risco para os dereitos e liberdades das persoas. Serve para describir o tratamento, valorar a súa necesidade e proporcionalidade, identificar os riscos e definir as medidas que os reducen antes de poñer en marcha a actividade. É un documento interno de análise e decisión do responsable, non un trámite que se presente ante ninguén.

Cando é obrigatorio facer unha Avaliación de Impacto?

O art. 35.3 RGPD esíxea, como mínimo, en tres supostos: avaliación sistemática e exhaustiva de aspectos persoais baseada en tratamento automatizado (incluída a elaboración de perfís) que sirva de base a decisións con efectos xurídicos ou similares; tratamento a gran escala de categorías especiais (art. 9) ou de datos penais (art. 10); e observación sistemática a gran escala dunha zona de acceso público. Ademais, a AEPD publica unha lista de tipos de tratamento que requiren AIPD, que hai que consultar caso por caso.

Quen debe facer a AIPD, o responsable ou o DPD?

A responsabilidade de realizar a AIPD é do responsable do tratamento (art. 35.1 RGPD). Cando a organización ten Delegado de Protección de Datos, o responsable está obrigado a solicitar o seu asesoramento (art. 35.2), e unha das funcións do DPD é precisamente asesorar sobre a avaliación e supervisar a súa aplicación (art. 39.1 RGPD). O DPD asesora e supervisa; a decisión e a titularidade do documento seguen sendo do responsable.

Que pasa se tras a AIPD o risco segue sendo alto?

Se a AIPD conclúe que, mesmo aplicando as medidas de mitigación previstas, o tratamento seguiría entrañando un alto risco residual, o responsable debe realizar unha consulta previa á autoridade de control (a AEPD en España) antes de iniciar o tratamento, conforme ao art. 36 RGPD. A AEPD pode requirir información adicional e formular recomendacións. O tratamento non debe poñerse en marcha ata resolver esa consulta.

Como Certix te acompaña na AIPD

A Avaliación de Impacto é un dos traballos onde máis se nota a diferenza entre encher unha plantilla e facer unha análise real. Unha AIPD copiada dun modelo xenérico non describe o teu tratamento, non identifica os teus riscos e non te protexe: só xera un documento que aparenta cumprimento. O valor da avaliación está precisamente na análise concreta do que a túa organización fai cos datos.

En Certix realizamos a Avaliación de Impacto partindo do teu tratamento real: describimos as operacións, analizamos a súa necesidade e proporcionalidade, mapeamos os riscos e definimos as medidas que os reducen, co asesoramento do Delegado de Protección de Datos cando existe esa figura. E valoramos, con criterio, se o caso esixe elevar unha consulta previa á AEPD antes de arrincar.

Se queres entender o marco xeral no que se insire a AIPD, podes empezar pola nosa guía completa do RGPD. E se a túa organización debe designar ou apoiarse nun DPD para estas avaliacións, revisa como funciona a figura do Delegado de Protección de Datos.

---

Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A aplicación da normativa a cada caso concreto require análise individualizada.