El informe de la EIPD se dirige a los siguientes destinatarios:
- Personas que participarán en las actividades de tratamiento (normalmente del responsable del tratamiento y (opcionalmente) de los encargados del mismo)
- incluido el Delegado de Protección de Datos (DPD)
- la autoridad de supervisión competente, y
- (siempre que sea posible) al público.
1. Teniendo en cuenta que la EIPD orienta las decisiones del responsable del tratamiento y (opcionalmente) del encargado del tratamiento, el informe de la EIPD (en varias versiones y fases de realización) sirve como herramienta de comunicación para el personal implicado. Esto es especialmente importante si se tiene en cuenta el posible carácter interdisciplinar del trabajo, en el que, por ejemplo, se requiere un tipo de experiencia para identificar los riesgos y otra para encontrar las medidas técnicas de mitigación adecuadas. Su función es aún más importante cuando el personal cambia y cuando la actividad de tratamiento evoluciona con el tiempo.
2. Los Delegados de Protección de Datos (DPD) tienen responsabilidades que se refieren directamente a la EIPD. En particular, tienen la tarea de asesorar cuando se les solicite sobre la EIPD y supervisar su funcionamiento[1].
3. Una autoridad de control que investigue si una determinada actividad de tratamiento es conforme con el RGPD, puede pedir que se le envíe un informe de la EIPD (cuando sea necesario) como prueba de que se ha cumplido la obligación del artículo 35, y más en general para evaluar el cumplimiento del RGPD. Más bien, un informe de EIPD bien redactado contiene todas las pruebas necesarias para demostrar que la actividad de tratamiento es realmente conforme.
4. La transparencia es un requisito clave del RGPD. En consecuencia, el Grupo de Trabajo del Artículo 29 recomienda considerar la publicación de al menos una versión redactada de la EIPD[2].
- Artículo 35(1)(c) del RGPD. ↑
- wp248rev.01, página 18, sección III.D.d), segundo párrafo: “Publicar una DPIA no es un requisito legal del RGPD, es decisión del responsable del tratamiento hacerlo. Sin embargo, los responsables del tratamiento deberían considerar la posibilidad de publicar al menos partes, como un resumen o una conclusión de su DPIA.” ↑