Si estás realizando un tratamiento de alto riesgo y te piden una DPIA

¿Tienes razón?

Que te pidan una DPIA no es un capricho; la necesidad se determina por la naturaleza, alcance, contexto y finalidades del tratamiento. Tres factores concretos deciden si el tratamiento es de alto riesgo:

1) Tipo de datos. Tratamientos que usan categorías sensibles (salud, datos biométricos, orientación sexual) o grandes volúmenes de datos personales pueden elevar el riesgo.

2) Escala y alcance. Procesos que afectan a gran número de personas o que implican seguimiento sistemático aumentan la probabilidad de impacto.

3) Naturaleza de las operaciones. Procesos que involucran decisiones automatizadas con efectos relevantes, combinaciones masivas de fuentes o vigilancia sistemática son típicos candidatos.

Si tu tratamiento cumple alguno de estos criterios, la petición de DPIA es razonable. La ausencia de DPIA cuando corresponde te deja expuesto en una eventual inspección o reclamación.

Cómo se soluciona

1. Describir el tratamiento (tú y el equipo técnico). Redacta un documento que explique qué haces con los datos: categorías de datos, fuentes, destinatarios, flujo de tratamiento, finalidad y conservación. Añade un diagrama de flujo si puedes.

1. Identificar riesgos potenciales (tú y con asesoría técnica). Lista situaciones de daño: pérdida de privacidad, discriminación, reputación, fraude, acceso no autorizado. Asigna una valoración cualitativa a cada riesgo: qué probabilidad tiene y qué impacto podría tener.

1. Documentar medidas existentes (tú). Anota controles técnicos (encriptación, segregación, logging), organizativos (políticas, acceso por roles, capacitación) y medidas contractuales con proveedores. Adjunta screenshots, configuraciones y políticas internas como evidencia.

1. Proponer medidas adicionales y mitigación (necesitas soporte técnico y legal). Para cada riesgo, propone controles concretos: anonimización o seudonimización, limitación de accesos, pruebas de bias en modelos, encriptación en reposo y en tránsito, revisiones periódicas.

1. Evaluar residual risk y decidir si continuar (tú con consejo). Si tras aplicar mitigaciones el riesgo residual es aceptable, documenta la decisión y las razones. Si no lo es, plantea alternativas como restringir el alcance, cambiar la finalidad o suspender el tratamiento.

1. Registrar la DPIA y conservarla (imprescindible). Guarda la evaluación y sus anexos para responder a inspecciones o reclamaciones. Incluye responsables, fechas y versiones.

1. Revisiones periódicas (tú). La DPIA no es un papel que se firma una vez; actualízala cuando cambien procesos, tecnologías o volúmenes de datos.

Qué puede pasar

1) Se arregla con medidas técnicas y documentación. Muchas solicitudes de DPIA terminan con la entrega de un documento bien fundamentado y la implantación de controles adicionales. Esto suele acallar a la parte interesada y reduce el riesgo de sanciones.

2) Acuerdo o supervisión. En casos de inquietudes serias, puedes acordar con la autoridad o con partes interesadas un plan de mitigación y auditorías periódicas. Un plan aceptado suele evitar sanciones inmediatas y permite operar con condiciones.

3) Inspección o sanción. Si no cuentas con una DPIA cuando corresponde, una denuncia puede llevar a una investigación administrativa. La autoridad puede ordenar medidas correctivas, suspender el tratamiento o, en casos graves, imponer sanciones. Además, en un proceso civil, la falta de DPIA debidamente documentada complica tu defensa. Si ganas la disputa, recuerda que una decisión favorable no evita que debas cambiar procesos para seguir en regla.

Y si ganas, ¿cobras? Una resolución favorable puede protegerte frente a sanciones por ese tratamiento concreto, pero no garantiza que no tengas que invertir en medidas de cumplimiento.

Errores que arruinan el caso

• Hacer una DPIA superficial que solo describe, sin cuantificar riesgos ni evidenciar controles.
• No documentar pruebas de las medidas técnicas: decir "encriptamos" sin configuración ni logs no sirve en una inspección.
• No actualizar la DPIA cuando se cambian modelos o fuentes de datos.
• Confiar en respuestas genéricas de proveedores sin auditorías técnicas.
• Ignorar la opinión de técnicos y limitarse a conclusiones legales: la DPIA exige mezcla de law & tech.