TL;DR
La EIPD es obligatoria antes de iniciar el tratamiento cuando es probable un riesgo alto. La lista de la autoridad polaca (M.P. 2019 pos. 666) enumera doce categorías de operaciones. Las WP248 dan nueve criterios: cumplir dos suele significar que la evaluación es debida. Si el riesgo sigue siendo alto, el art. 36 exige consultar a la autoridad antes de empezar.
El error más frecuente no es de contenido, es de momento
El art. 35.1 no deja margen: la evaluación se realiza ANTES del tratamiento. En la práctica la EIPD se redacta casi siempre cuando el sistema ya funciona y alguien —un cliente, un auditor, la autoridad— la pide. Un documento escrito después puede ser correcto en el fondo y aun así no cumplir la obligación, porque la evaluación sirve para decidir si proceder, no para justificar haber procedido. La diferencia se lee en la fecha del documento y ninguna reescritura posterior la arregla.
La lista de la autoridad y los criterios WP248 son dos herramientas distintas
La comunicación del Presidente de la autoridad polaca de 17 de junio de 2019, publicada en el Monitor Polski (M.P. 2019 pos. 666), contiene una lista de doce categorías de operaciones que requieren evaluación, con ejemplos. No es el único referente: junto a ella están las directrices del Grupo del Art. 29 (WP248 rev.01), asumidas por el CEPD, con nueve criterios —evaluación o puntuación, decisiones automatizadas con efecto jurídico, observación sistemática, categorías especiales de datos, tratamiento a gran escala, cruce o combinación de conjuntos de datos, interesados vulnerables, uso innovador de tecnologías e impedir el ejercicio de un derecho o el acceso a un servicio. Cumplir dos suele implicar que la EIPD es debida.
- La lista de la autoridad funciona en una sola dirección: si la operación está, la EIPD es obligatoria. Si no está, no significa que no lo sea.
- El art. 35.7 fija el contenido mínimo: descripción sistemática de las operaciones y los fines, evaluación de la necesidad y la proporcionalidad, evaluación de los riesgos para los derechos y libertades y medidas previstas para afrontarlos.
- El art. 35.9: el responsable recaba la opinión de los interesados o de sus representantes, salvo imposibilidad o perjuicio a los intereses comerciales. La ausencia de consulta se motiva, no se calla.
- El art. 36: si pese a las medidas el riesgo sigue siendo alto, hay que consultar a la autoridad antes de empezar. El plazo de respuesta es de ocho semanas, prorrogable seis.
Una plantilla es un punto de partida, no el documento final
Una plantilla de EIPD describe una estructura, no su tratamiento. Una evaluación que nadie ha adaptado a las categorías de datos, la escala y la tecnología concretas se reconoce a simple vista y es débil en cualquier controversia: no contiene nada que no se hubiera podido escribir sin conocer la organización. La plantilla ahorra una hora de maquetación, no el análisis.
También rige el art. 35.11: la evaluación debe revisarse cuando cambia el riesgo. Un cambio de proveedor, un módulo nuevo, una transferencia fuera del EEE pueden invalidar una EIPD de hace dos años. No es un documento de archivo: es el acta viva de una decisión.
¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
