Evaluación de impacto relativa a la protección de datos

Evaluación prevista por el RGPD cuando un tratamiento puede entrañar un alto riesgo para los derechos y libertades de las personas. Puede coexistir con una FRIA y no debe confundirse con ella. En una organización, «Evaluación de impacto relativa a la protección de datos» debe entenderse como una pieza del sistema de gobierno, no como una etiqueta aislada. Su utilidad práctica está en delimitar qué objeto se gobierna, qué responsabilidades existen, qué controles son necesarios y qué evidencias permiten demostrar que las decisiones se han tomado y revisado con criterio. Cuando el término tiene significado normativo, la definición operativa interna debe conservar la terminología de la norma aplicable y documentar cualquier interpretación utilizada en el procedimiento de la organización.

En la práctica, evaluación de impacto relativa a la protección de datos se documenta dentro del inventario o sistema de gobernanza y se vincula con responsables, controles, evidencias y fechas de revisión. Debe quedar claro qué decisión depende de este concepto y qué documento o registro permite comprobarla.

Importa cuando una organización necesita decidir si un uso de IA puede implantarse, mantenerse o modificarse y debe poder justificar esa decisión. Es especialmente relevante cuando cambian la finalidad, el proveedor, los datos, el alcance, la clasificación o los riesgos asociados a evaluación de impacto relativa a la protección de datos.

No debe utilizarse como sinónimo de «Evaluación de impacto sobre los derechos fundamentales». Este último se refiere a evaluación prevista por el AI Act para determinados responsables del despliegue de sistemas de IA de alto riesgo, orientada a identificar y mitigar riesgos específicos para los derechos fundamentales en el contexto real de uso. «Evaluación de impacto relativa a la protección de datos» tiene un alcance distinto y debe conservarse como concepto propio para evitar decisiones o búsquedas ambiguas.

Un tratamiento de datos personales con alto riesgo para derechos y libertades exige analizar necesidad, proporcionalidad, riesgos y medidas mediante una EIPD/DPIA.

Art. 35 del Reglamento (UE) 2016/679 (RGPD).