La Ley n.º 13.709/2018, la Ley General de Protección de Datos (LGPD), que entró en vigor en septiembre de 2020, así como la legislación europea en la que se inspiró, el Reglamento General de Protección de Datos – RGPD (UE), establecieron nuevas normas sobre la recogida, el almacenamiento, el tratamiento y el intercambio de datos personales, imponiendo una mayor protección y derechos a los titulares de estos datos.

Por lo tanto, la ley establece la necesidad de ciertos documentos que demuestren el cumplimiento del Responsable del Tratamiento de Datos con la normativa vigente. Entre ellos, se encuentra el Informe de Evaluación de Impacto en la Protección de Datos (EIPD).

Este artículo pretende demostrar que, en algunos casos, aún no está clara la necesidad de realizar una Evaluación de Impacto en la Protección de Datos (EIPD) antes de solicitarla. Para ello, abordaremos los siguientes temas: 1. ¿Qué es una Evaluación de Impacto en la Protección de Datos? 2. Identificación del Tratamiento de Alto Riesgo. 3. Interés legítimo como sinónimo de Alto Riesgo.

¿Qué es un informe de evaluación de impacto en la protección de datos?

La Declaración de Responsabilidad del Tratamiento de Datos Personales (RIPD, por sus siglas en inglés), tal como se define en el artículo 5, apartado XXVII, de la LGPD, es "documentación del responsable del tratamiento que contiene una descripción de las actividades de tratamiento de datos personales que pueden generar riesgos para las libertades civiles y los derechos fundamentales, así como medidas, salvaguardias y mecanismos de mitigación de riesgos".

En otras palabras, se trata de un documento que debe elaborar el responsable del tratamiento (es decir, la entidad que toma decisiones en relación con el tratamiento de datos personales) que describe el proceso de tratamiento de datos personales que pueda generar riesgos para las libertades civiles y los derechos fundamentales.

Su principal objetivo es demostrar las medidas, salvaguardias y mecanismos de mitigación de riesgos adoptados para garantizar la protección de los datos personales, asegurando el cumplimiento del tratamiento de datos con los principios y normas establecidos en la LGPD (Ley General de Protección de Datos de Brasil).

El informe debe incluir, como mínimo:

1. Una descripción de los tipos de datos recopilados;
2. La metodología utilizada para recopilar y garantizar la seguridad de la información;
3. El análisis del responsable del control sobre las medidas, salvaguardias y mecanismos de mitigación de riesgos adoptados;
4. La evaluación que realiza el responsable del tratamiento sobre las medidas para garantizar la protección de datos.

La elaboración de una Evaluación de Impacto en la Protección de Datos (EIPD) es una herramienta que ayuda a las organizaciones a identificar riesgos en el tratamiento de datos y a adoptar medidas preventivas, garantizando así un mayor cumplimiento de la LGPD (Ley General de Protección de Datos de Brasil). Además, es una forma de demostrar compromiso y responsabilidad con la protección de los datos personales de los titulares de los datos.

La necesidad de su elaboración la determinará la Autoridad Nacional de Protección de Datos (ANPD). Generalmente se solicita en situaciones de tratamiento de datos que puedan suponer un riesgo para la privacidad de los titulares de los datos.

En cuanto a la identificación del tratamiento de alto riesgo

En este sentido, cabe destacar lo dispuesto en el artículo 10, apartado II, párrafo 3, de la LGPD, que afirma la posibilidad de que la Autoridad Nacional de Protección de Datos (ANPD) solicite una Evaluación de Impacto en la Protección de Datos (RIPD) en los casos de tratamiento de datos basado en el interés legítimo. 

Asimismo, la Autoridad tiene el deber de determinar este requisito en los casos en que el tratamiento represente un alto riesgo para garantizar los principios generales de protección de datos personales previstos por la ley (Artículo 55-J, XIII, de la Ley N° 13.709/2018).

Es importante señalar que, en abril de 2023, la ANPD (Autoridad Nacional de Protección de Datos) publicó en su sitio web Preguntas y respuestas sobre el Informe de evaluación de impacto en la protección de datos personales , donde destaca la comprensión de la Autoridad con respecto a la necesidad de elaborar el documento.

En consecuencia, en el punto 3 de las preguntas y respuestas, resulta evidente que, independientemente de la hipótesis para llevar a cabo el proceso de preparación del RIPD, primero será necesario verificar la existencia de Alto Riesgo en la actividad de procesamiento de datos, a saber:

3. ¿En qué contexto recomienda la ANPD que el RIPD esté preparado?

Como regla general, se recomienda preparar la Evaluación de Impacto en la Protección de Datos (RIPD, por sus siglas en inglés) en cualquier contexto donde las operaciones de procesamiento de datos personales puedan generar un alto riesgo para la garantía de los principios generales de protección de datos personales previstos en la LGPD (Ley General de Protección de Datos de Brasil) y para las libertades civiles y los derechos fundamentales del interesado, según el artículo 5, inciso XVII, y el artículo 55-J, inciso XIII, de la LGPD, que debe ser evaluado por el responsable del tratamiento de datos.

Por lo tanto, es evidente la necesidad de aclarar la interpretación que la ANPD tiene de lo que constituye "Alto Riesgo". Para responder a esta pregunta, en las Preguntas y Respuestas mencionadas anteriormente, la Autoridad aclara que debe utilizarse la definición que figura en el Artículo 4 del Reglamento de aplicación de la LGPD para los pequeños agentes de procesamiento de datos, Resolución N° 2/2020.

En consecuencia, se identificará un tratamiento de alto riesgo cuando este involucre al menos un criterio general y un criterio específico, como se indica a continuación:

• Criterios generales

1. Tratamiento a gran escala:
   1. "Cuando el tratamiento de datos afecta a un número significativo de interesados, teniendo en cuenta el volumen de datos implicados, así como la duración, la frecuencia y el alcance geográfico del tratamiento realizado."
2. Tratamiento que pueda afectar significativamente los intereses y derechos de los interesados:
   1. "Cuando el tratamiento pueda impedir el ejercicio de derechos o el uso de un servicio, así como causar daños materiales o morales a los interesados, como discriminación, violación de la integridad física, del derecho a la imagen y la reputación, fraude financiero o robo de identidad."

• Criterios específicos

1. Vigilancia o control de áreas accesibles al público;
2. Procesamiento automatizado;
3. Tecnologías emergentes o innovadoras;
4. Datos sensibles o datos relativos a niños, adolescentes y ancianos.

Como podemos observar, los criterios parecen ser a la vez definitivos y exhaustivos, teniendo en cuenta la amplia gama de definiciones que se pueden dar a los distintos tipos de criterios.

Interés legítimo como sinónimo de alto riesgo

La cuestión relativa a la necesidad de preparar una Evaluación de Impacto en la Protección de Datos (EIPD) antes de solicitarla a la Autoridad Nacional de Protección de Datos (ANPD), cuando el tratamiento se basa en un interés legítimo, surge debido a la publicación del Estudio Preliminar sobre el interés legítimo por parte de la autoridad y la opción de solicitarlo presentada en el artículo 10, II, §3 de la LGPD (Ley General de Protección de Datos de Brasil).

Tal como lo expone magistralmente el profesor Matheus Sturari, el párrafo 57 del estudio parece corroborar la tesis de la necesidad de identificar a las personas de alto riesgo:

57. La Evaluación de Impacto en la Protección de Datos (EIPD) también debe incluirse en el registro si el tratamiento implica un alto riesgo. La EIPD puede incorporar una ponderación de riesgos, que incluya un análisis más amplio y detallado de los riesgos y las medidas de mitigación adoptadas en cada caso. Asimismo, la ANPD puede solicitar al responsable del tratamiento que elabore una Evaluación de Impacto en la Protección de Datos (EIPD), respetando los secretos comerciales e industriales, tal como se establece en el artículo 10, apartado II, párrafo 3, de la LGPD.

Según Sturari, la obligación de preparar una Evaluación de Impacto en la Protección de Datos (EIPD) para cualquier procesamiento que implique un interés legítimo plantearía dos supuestos: “(i) la justificación basada en el fundamento jurídico del interés legítimo es equivalente a la identificación de un alto riesgo; o (ii) la justificación basada en el fundamento jurídico del interés legítimo es un elemento que, por sí mismo, constituye la presencia de un alto riesgo”.

A pesar de lo anterior, el propio profesor no encuentra la situación coherente, considerando que equiparar la base legal con el Alto Riesgo trivializaría la razón misma de definir el interés legítimo.

Así, señala que en el documento de Preguntas y Respuestas, la ANPD también aborda "situaciones específicas" en las que puede requerir la elaboración de una Evaluación de Impacto en la Protección de Datos (EIPD): 

La LGPD también enumera situaciones específicas en las que la ANPD puede requerir una Evaluación de Impacto en la Protección de Datos (DPIA), tales como:

• en operaciones de procesamiento realizadas exclusivamente con fines de seguridad pública, defensa nacional, seguridad del Estado o actividades relacionadas con la investigación y represión de delitos (Artículo 4, § 3);

• cuando el tratamiento se basa en la hipótesis del interés legítimo (art. 10, § 3º);

• para funcionarios públicos, incluyendo un requisito relativo a la publicación del RIPD (art. 32); y

• para los responsables del tratamiento en general, en lo que respecta a sus operaciones de tratamiento, incluidas aquellas que impliquen datos personales sensibles (art. 38).

Resulta evidente, pues, que la posibilidad de elaborar el documento surge en distintas etapas. Sin embargo, es importante prestar atención a lo que se considerará obligatorio preparar antes de la solicitud y lo que solo se requerirá tras la misma por parte de la Autoridad.

Conclusión

Comprender la necesidad de documentos complejos y difíciles de preparar, como el Informe de Evaluación de Impacto en la Protección de Datos, es de suma importancia para los profesionales que trabajan en este campo, ya sea brindando asesoramiento legal, redactando documentos o defendiendo a clientes que controlan sus datos.

El estudio continuo del derecho, de nuevas perspectivas tanto del mundo empírico como del ideal, es lo que distingue a un buen profesional del resto. 

Para prepararse ante la constante evolución de los temas, especialmente aquellos relacionados con el mundo de la sociedad de la información basado en datos, IDP ofrece un Programa de Posgrado en Derecho Digital y Protección de Datos , impartido por profesionales que trabajan a diario con los temas presentados en este trabajo.

Referencias

STURARI, MATHEUS. RIPD por interés legítimo y estudio preliminar de la ANPD. Disponible en: Consultado el 23 de octubre de 2023.

BRASIL, Autoridad Nacional para la Protección de Datos Personales. Preguntas y respuestas sobre el Informe de Evaluación de Impacto en la Protección de Datos Personales. Disponible en: Consultado el: 23 de octubre de 2023

BRASIL, Autoridad Nacional para la Protección de Datos Personales. Estudio preliminar: Hipótesis jurídicas para el tratamiento de datos personales - Interés legítimo. Disponible en: Consultado el 23 de octubre de 2023.

BRASIL. Ley Federal N° 13.709/2018. Ley General de Protección de Datos.