No existe una forma estándar de realizar una EIPD. Sin embargo, el artículo 35.7 del RGPD exige unos elementos específicos que deben estar siempre presentes. Estos son:
- una descripción sistemática de las operaciones de tratamiento previstas;
- los fines de las operaciones de tratamiento;
- una evaluación de la necesidad de las operaciones de tratamiento en relación con los fines;
- una evaluación de la proporcionalidad de las operaciones de tratamiento en relación con los fines;
- una evaluación de los riesgos para los derechos y libertades de los interesados;
- las medidas técnicas y organizativas previstas para hacer frente a los riesgos.
Los investigadores pueden incluir otros elementos para describir mejor el tratamiento y los riesgos subyacentes. Asimismo, si el responsable del tratamiento se da cuenta, tras haber realizado una EIPD, de que los riesgos para los derechos y las libertades del interesado no están adecuadamente mitigados por las medidas previstas para hacer frente a dichos riesgos, el responsable del tratamiento deberá solicitar una consulta previa a la autoridad de control siguiendo lo dispuesto en el artículo 36 del RGPD.
La ley no sanciona un formato para la EIPD. Éste puede ser elegido libremente por el responsable del tratamiento. Sin embargo, algunas autoridades de protección de datos han creado plantillas que los responsables del tratamiento pueden adoptar[1].
La EIPD no es una actividad puntual, sino un proceso continuo. Por ello, puede ser necesario realizar varias evaluaciones a lo largo del tiempo, por ejemplo, cuando los elementos del contexto cambian o cuando se dispone de nueva información.
Los resultados de las EIPD se registrarán y almacenarán como parte de la documentación de protección de datos.
- Véase, por ejemplo, Commision Nationale Informatique & Libertés, ‘Privacy Impact Assessment (PIA). Templates’, February 2018. ↑