Hay tratamientos que la ley te obliga
a evaluar antes de hacerlos.
Si vas a tratar datos sensibles a gran escala, a elaborar perfiles de personas o a tomar decisiones automáticas que las afecten, primero hay que estudiar qué puede salir mal y cómo lo vas a evitar. Eso es una evaluación de impacto, y queda documentada.
Seis preguntas y sabes si te corresponde
En el sistema se responden solas con lo que ya está en tu registro de tratamientos. Aquí puedes responderlas tú, pensando en un proceso de tu organización.
Responde las seis y mira el resultadoFaltan preguntas por responder
Responde las seis y el sistema te dice si corresponde evaluar el tratamiento antes de ponerlo en marcha.
Corresponde hacer la evaluación de impacto
Basta con que se cumpla uno de los seis criterios, y aquí se marcaron 0 de 6. En DATIS, el sistema abre la evaluación con los riesgos típicos de este tipo de tratamiento y sus medidas ya propuestas, y la deja pendiente de tu revisión. Hacerla después de haber empezado no sirve de mucho: el punto es decidir antes de tratar el primer dato.
Por ahora no corresponde
Ningún criterio se cumple, así que este tratamiento no exige evaluación previa. Igual queda registrado y con sus riesgos en la matriz: si mañana cambia la finalidad, el proveedor o la tecnología, el sistema vuelve a preguntar.
La evaluación, por partes
Cada parte se completa con lo que el sistema ya sabe. Tú decides y firmas.
Qué se va a hacer
Descripción del tratamiento: qué datos, de quiénes, para qué y con qué tecnología. Se toma del registro.
Si es necesario
¿Hace falta tratar todos esos datos para lograr el objetivo, o se puede con menos? Es la pregunta que más se salta.
Qué puede salir mal
Los riesgos para las personas, con su probabilidad e impacto, tomados de la matriz de riesgos.
Cómo se evita
Las medidas concretas que bajan cada riesgo, con responsable y plazo de implementación.
Qué riesgo queda
El riesgo que permanece después de las medidas, y si es aceptable seguir adelante.
Quién lo aprueba
Firma del DPO y fecha de próxima revisión. Si el riesgo sigue alto, corresponde consultar a la Agencia.
Que no se transforme en un documento muerto
Detecta cuándo aplica
Revisa cada tratamiento nuevo del registro contra los criterios y te avisa si corresponde evaluarlo, sin que tengas que acordarte.
Borrador con IA
Propone los riesgos y las medidas habituales de ese tipo de tratamiento. Ahorra el 80% del trabajo en blanco.
Se revisa cuando cambia algo
Si el tratamiento cambia de finalidad, de proveedor o de tecnología, la evaluación se marca para revisión.
Termina en documentación
Las medidas aprobadas se publican como procedimientos, con acuse de lectura de quienes tienen que aplicarlas.
Evaluar después de haber empezado no sirve de mucho
El punto de la evaluación es decidir con la información sobre la mesa, antes de tratar el primer dato.