Acceso usuarios
Ramón Martín Miralles López
La Agencia Española de Protección de Datos (AEPD), atendiendo a lo dispuesto por el artículo 35 del RGPD, en sus apartados 4 y 5, ha elaborado y publicado listas que identifican qué tipo de tratamientos requieren ser sometidos a evaluación de impacto, y en qué casos no es necesario hacer la EIPD. Vamos a analizar esas listas, que no dejan de ser un conjunto de criterios que deben facilitar la labor de identificar si nos encontramos ante un tratamiento de alto riesgo y, en consecuencia, si venimos obligados a someterlo a una evaluación de impacto, o no; todo ello sin perder de vista que esos criterios tienen un carácter orientativo y, en ningún caso son exhaustivos.
The Spanish Data Protection Agency (AEPD), in accordance with the provisions of article 35 of the GDPR, in sections 4 and 5, has drawn up and published lists identifying which types of processing require impact assessment, and in which cases it is not necessary to carry out the EIPD. We are going to analyse these lists, which are still a set of criteria that should facilitate the task of identifying whether we are dealing with a high-risk treatment and, consequently, whether or not we are obliged to submit it to an impact assessment; all this without losing sight of the fact that these criteria are indicative in nature and in no case are exhaustive.
