Si estás realizando un tratamiento de alto riesgo y te piden una DPIA

¿Tienes razón?

Que te pidan una DPIA no es un veredicto sino un signo de que el tratamiento puede afectar de forma relevante a las personas. Lo que determina si la evaluación es obligatoria y su alcance son: 1) la naturaleza del tratamiento (por ejemplo, tratamiento a gran escala de categorías especiales de datos), 2) la extensión y el contexto (número de afectados, repetición en el tiempo), 3) la finalidad (si conlleva decisiones automatizadas o vigilancia) y 4) las consecuencias previstas (posible discriminación, pérdida de datos, efectos en derechos fundamentales). Si el tratamiento mezcla varios factores —por ejemplo, datos sensibles, perfiles y gran alcance— es más probable que una DPIA sea adecuada.

No es suficiente una descripción general: la autoridad y los auditores esperarán documentación que identifique riesgos específicos y medidas proporcionales. También cuenta si ya aplicas salvaguardas técnicas (cifrado, control de accesos), políticas internas y formación; eso puede reducir el contenido y las conclusiones de la DPIA.

Si el proyecto es novedoso o usa tecnologías emergentes que dificultan la explicación de decisiones, la DPIA debe profundizar en mitigación y transparencia.

Cómo se soluciona

1) Describe con precisión el tratamiento. Incluye flujo de datos, bases jurídicas, categorías de datos y destinatarios. Aporta diagramas si hace falta para que cualquiera entienda quién hace qué con los datos.

2) Identifica y analiza riesgos. Para cada etapa del tratamiento identifica riesgos concretos (pérdida de confidencialidad, usos no autorizados, discriminación por perfiles). Valora la probabilidad y el impacto en términos cualitativos y documenta por qué cada riesgo importa.

3) Registra las medidas existentes y las propuestas. Para cada riesgo escribe las medidas técnicas y organizativas que mitigarán la amenaza: minimización de datos, seudonimización, cifrado, revisión humana, controles de acceso, auditorías, políticas de retención y programas de formación.

4) Evalúa la residualidad del riesgo. Tras aplicar medidas, analiza si quedan riesgos residuales aceptables y por qué. Si quedan riesgos altos, detalla qué medidas adicionales tomarás.

5) Involucra a las partes implicadas. Consulta al delegado de protección de datos (si lo tienes), a responsables de seguridad y, cuando proceda, a representantes de los afectados. Sus observaciones deben constar.

6) Documenta y conserva la DPIA. La evaluación es prueba de diligencia; guárdala y enlázala con decisiones de diseño y contratos con terceros. Si la autoridad la solicita, llévala al expediente.

7) Si la DPIA muestra riesgos que no puedes mitigar, consulta a la autoridad de control antes de empezar el tratamiento.

Qué puedes hacer solo: preparar la descripción del tratamiento y una primera lista de riesgos y medidas. Cuándo necesitarás ayuda: para articular mitigaciones técnicas complejas, para negociar con proveedores y para gestionar la comunicación con la autoridad de control.

Qué puede pasar

1) Se corrige internamente: lo más habitual es que la DPIA revele medidas adicionales sencillas —mejor cifrado, reducción de campos, o revisión humana— y que el tratamiento continúe con ajustes.

2) Acuerdo con la autoridad o seguimiento: si la autoridad interviene, puede emitir recomendaciones o exigencias de medidas concretas que tendrás que implementar. Llegar a un acuerdo escrito sobre medidas y plazos evita sanciones futuras y demuestra cooperación.

3) Prohibición o medidas coercitivas: si no puedes mitigar riesgos significativos, la autoridad puede imponer restricciones o, en situaciones extremas, requerir la paralización de partes del tratamiento hasta que se reduzcan los riesgos. En vía judicial, una persona afectada podría reclamar medidas cautelares.

Y si ganas, ¿cobras? Si el procedimiento deriva en responsabilidad, una sentencia favorable puede imponer obligaciones de reparación, pero la ejecución depende de la capacidad del infractor para cumplirlas.

Errores que arruinan el caso

• Hacer una DPIA genérica y superficial: los documentos vagos no convencen a nadie.
• No involucrar a seguridad y al delegado desde el inicio: se pierden puntos clave de control.
• Tratar la DPIA como un trámite posterior al diseño: viene antes de la producción.
• No guardar evidencias de las consultas a terceros o de las pruebas de mitigación.
• Ignorar riesgos residuales altos y seguir adelante sin consulta a la autoridad cuando procede.