La evaluación de impacto relativa a la protección de datos la tiene que realizar el responsable del tratamiento, teniendo obligación de recabar el asesoramiento del DPD, cuando haya sido designado. Se entiende que puede ser tanto de manera obligatoria como voluntaria.
Por tanto, es labor del responsable del tratamiento y no del DPD realizar, cuando sea preciso, una evaluación de impacto de las operaciones de tratamiento de datos, según directrices de CEPD.
Independencia del criterio en la realización de evaluación de impacto
La AEPD ha indicado que el asesoramiento del DPD al responsable en las evaluaciones de impacto, no puede interpretarse como una manera en la que el DPD reciba instrucciones del responsable o que participe en la toma de decisiones sobre los tratamientos.
El asesoramiento del DPD con relación al responsable del tratamiento debe de entenderse de la siguiente forma (AEPD Informe 0170/2018):
- El DPD asesora al responsable, tanto en las evaluaciones de impacto como en cualquier aspecto de las actividades de tratamiento que lleve a cabo.
- El responsable toma decisiones atendiendo, o no, al asesoramiento del DPD, pues el responsable finalmente quien determina los fines y medios y quien asume las posibles consecuencias que para los derechos y libertades de las personas pudieran tener los tratamientos que lleva a cabo.
El asesoramiento del DPD
El DPD puede desempeñar un papel muy importante y útil a la hora de ayudar al responsable del tratamiento, por lo que el CEPD hace la recomendación de que el responsable del tratamiento busque el asesoramiento del DPD en las siguientes cuestiones:
- si debe llevarse a cabo o no una evaluación de impacto relativa a la protección de datos;
- qué metodología debe seguirse al llevar a cabo una evaluación de impacto;
- si debe realizarse la evaluación de impacto en la propia organización o mediante subcontratación;
- qué salvaguardias deben aplicarse para mitigar cualquier riesgo para derechos e intereses de los interesados;
- si la evaluación de impacto relativa a la protección de datos se ha llevado a cabo correctamente o no y si sus conclusiones son conformes con el RGPD.
Funciones y alcance
El CEPD recomienda también que, en relación con la realización de la evaluación de impacto, el responsable del tratamiento describa con claridad en la información facilitada a los empleados y a la dirección, al igual que a otras partes interesadas, las funciones exactas del DPD y su alcance.
Nosotros disponemos de Delegados de Protección de Datos certificados y podemos ofrecer sus servicios de forma interna o externa. Pidan el presupuesto sin compromiso.
Pidan presupuesto sin compromiso de implantación de la normativa vigente
