El RGPD exige una EIPD cuando es probable que el tratamiento de datos suponga un alto riesgo para los derechos y libertades de las personas físicas. Los promotores, al no estar seguros de que el tratamiento plantee tales riesgos, deciden evaluar el tratamiento adoptando los nueve criterios antes mencionados sugeridos por el Grupo de Trabajo del Artículo 29.
| Criterios de tratamiento de alto riesgo | ||
| Evaluación o puntuación (por ejemplo, elaboración de perfiles) | ✗ | No se aplica |
| Toma de decisiones automatizada con efectos legales o similares significativos | ✗ | No se aplica |
| Control sistemático | ✗ | No se aplica |
| Datos sensibles o de carácter muy personal | ✓ | Se aplica (véase más abajo) |
| Datos procesados a gran escala | ✓ | Se aplica (véase la sección 4.2.1) |
| Cotejar o combinar conjuntos de datos (más allá de las expectativas razonables del interesado) | ✗ | No se aplica |
| Datos relativos a personas vulnerables | ✗ | No se aplica |
| Uso innovador o aplicación de nuevas soluciones tecnológicas u organizativas | ✗ | No aplica (ver abajo) |
| Cuando el tratamiento impide por sí mismo que los interesados ejerzan un derecho o utilicen un servicio o un contrato | ✗ | No se aplica |
La evaluación revela que el tratamiento cumple al menos dos criterios. El primero se refiere al tipo de datos personales que se van a tratar. Dado que, en el contexto de esta actividad de investigación, las huellas palmares se han establecido como datos biométricos, los promotores concluyen que estos datos satisfacen el criterio de ser sensibles y de naturaleza altamente personal. El segundo criterio se refiere a la magnitud del tratamiento. Los desarrolladores ya establecieron que el tratamiento se califica como de “gran escala” (véase “Nombrar a un Delegado deProtección de Datos (DPD)”).
Los promotores se interrogan también sobre el criterio “Uso innovador o aplicación de nuevas soluciones tecnológicas u organizativas”. No se aplica, ya que la actividad se centra en la investigación y la aplicación concreta a un contexto organizativo no está prevista en la actividad actual.
| Evaluación del impacto de la protección de datos | |||
| ¿El tratamiento es de “alto riesgo”? | Sí | ✓ | La EIPD es obligatoria |
| No | La EIPD es opcional | ||