La Agencia Española de Protección de Datos (AEPD) ha publicado recientemente un listado de tratamientos de datos personales que no necesitan una Evaluación de Impacto relativa a la Protección de Datos (EIPD), facilitando a los responsables la identificación de este tipo de tratamientos.
El artículo 35.1 del Reglamento General de Protección de Datos (RGPD) establece que cuando sea probable que un tipo de tratamiento, ya sea por su naturaleza, alcance, contexto o fines, conlleve un alto riesgo para los derechos y libertades de las personas, las organizaciones han de realizar dicha evaluación de impacto.
Por otra parte, el apartado 5 del mismo artículo dispone que las autoridades de control podrán publicar una lista de los tipos de tratamiento que no requieren de dicha evaluación de impacto.
Dando cumplimiento a lo dipuesto en dicho Reglamento, la AEPD ha comunicado al Comité Europeo de Protección de Datos (CEPD) el listado que define los tipos de datos que no requieren dicha evaluación, sin eximir de cumplimiento del resto de obligaciones establecidas en la normativa de protección de datos. Los tipos recogidos en la lista son los siguientes:
•Tratamientos que se realizan estrictamente bajo las directrices establecidas o autorizadas con anterioridad mediante circulares o decisiones emitidas por las Autoridades de Control, en particular la AEPD, siempre y cuando el tratamiento no se haya modificado desde que fue autorizado.
•Tratamientos que se realizan estrictamente bajo las directrices de códigos de conducta aprobados por la Comisión Europea o las Autoridades de Control, siempre y cuando con anterioridad se haya realizado una EIPD completa para la validación del código de conducta y el tratamiento se implementa incluyendo las medidas y salvaguardas definidas en la EIPD.
•Tratamientos que sean necesarios para el cumplimiento de una obligación legal, cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable.
•Tratamientos realizados en el ejercicio de su labor profesional por trabajadores autónomos que ejerzan de forma individual, en particular médicos, profesionales de la salud o abogados, sin perjuicio de que pueda requerirse cuando el tratamiento que lleven a cabo cumpla, de forma significativa, con dos o más criterios establecidos en la lista de tipos de tratamientos de datos que requieren evaluación de impacto relativa a protección de datos publicada por la AEPD.
•Tratamientos obligatorios por ley y realizados con relación a la gestión interna del personal de las PYMES con finalidad de contabilidad, gestión de recursos humanos y nóminas, seguridad social y salud laboral, pero nunca relativos a los datos de los clientes.
•Tratamientos realizados por comunidades y subcomunidades de propietarios tal como se definen en el artículo 2 (a, b y d) de la Ley 49/1960 de Propiedad Horizontal.
•Tratamientos realizados por colegios profesionales y asociaciones sin ánimo de lucro para la gestión de los datos personales de sus propios asociados y donantes, y en el ejercicio de su labor, siempre que no incluyan en el tratamiento de datos sensibles tales como los que se establecen en el artículo 9.1 del RGPD y no sea de aplicación el artículo 9.2(d) de dicho Reglamento.
