Artículo 35 del RGPD: evaluación de impacto relativa a la protección de datos

Las preguntas de Reglamento general de protección de datos (RGPD) que citan este artículo, resueltas y con su cita literal.

Estudiar la colección Leer la norma entera

Así son sus preguntas

Resueltas, y cada una con la cita literal que la justifica, para que compruebes la respuesta por tu cuenta.

Según el RGPD, ¿qué le corresponde a la autoridad de control con las listas de tipos de tratamiento que requieren y que no requieren una evaluación de impacto?

Puede publicar la de los que la requieren y debe publicar la de los que no
Debe publicar las dos listas, sin margen para no hacerlo
Puede publicar las dos, pero ninguna le resulta obligatoria
Debe publicar la de los que la requieren y puede publicar la de los que no

Las dos listas no pesan igual. La de los tipos de tratamiento que requieren evaluación de impacto la autoridad de control «establecerá y publicará» (art. 35.4): es obligatoria. La de los que no la requieren «podrá asimismo» establecerla y publicarla (art. 35.5): es potestativa. Las otras opciones invierten ese reparto o igualan las dos listas.

La autoridad de control establecerá y publicará una lista de los tipos de operaciones de tratamiento que requieran una evaluación de impacto relativa a la protección de datos de conformidad con el apartado 1. La autoridad de control comunicará esas listas al Comité a que se refiere el artículo 68. 5. La autoridad de control podrá asimismo establecer y publicar la lista de los tipos de tratamiento que no requieren evaluaciones de impacto relativas a la protección de datos.

Reglamento (UE) 2016/679, de 27 de abril

Según el RGPD, ¿cuándo está obligado el responsable a realizar una evaluación de impacto relativa a la protección de datos?

Antes del tratamiento, siempre que este utilice nuevas tecnologías
Antes del tratamiento, siempre que incluya categorías especiales de datos
Antes del tratamiento, si es probable que entrañe un alto riesgo
Tras el primer año de tratamiento, si ha sufrido una violación de la seguridad

Lo que hace obligatoria la evaluación es la probabilidad de un alto riesgo para los derechos y libertades de las personas, por la naturaleza, el alcance, el contexto o los fines del tratamiento, y se hace antes de empezar a tratar, no después. Las nuevas tecnologías son un indicio que el art. 35.1 destaca («en particular»), pero no la exigen por sí solas. Tampoco la exige cualquier tratamiento de categorías especiales: el reglamento la pide en particular cuando se tratan a gran escala.

Cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento realizará, antes del tratamiento, una evaluación del impacto

Reglamento (UE) 2016/679, de 27 de abril

Un gran centro comercial proyecta instalar cámaras que observarán de forma continuada todas sus galerías abiertas al público. Según el RGPD, ¿tiene que hacer antes una evaluación de impacto?

No, salvo que la autoridad de control incluya ese tratamiento en su lista
Sí: es observación sistemática a gran escala de una zona de acceso público
Sí, pero solo si las imágenes van a conservarse durante más de un mes
No, porque las imágenes de las cámaras no son categorías especiales de datos

El art. 35.3 enumera tres casos en los que la evaluación de impacto se requiere en particular, y uno es la observación sistemática a gran escala de una zona de acceso público, que es lo que describen unas cámaras sobre todas las galerías de un gran centro comercial. No depende de que la autoridad de control lo incluya en su lista: esa lista añade tipos de tratamiento, no condiciona los que el reglamento ya nombra. Tampoco hace falta que se traten categorías especiales, que son otro de los tres casos y no una condición de este, y el reglamento no ata la evaluación al tiempo que se conservan las imágenes.

La evaluación de impacto relativa a la protección de los datos a que se refiere el apartado 1 se requerirá en particular en caso de: a) evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en un tratamiento automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas físicas o que les afecten significativamente de modo similar; b) tratamiento a gran escala de las categorías especiales de datos a que se refiere el artículo 9, apartado 1, o de los datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10, o c) observación sistemática a gran escala de una zona de acceso público.

Reglamento (UE) 2016/679, de 27 de abril