La CNIL publica la lista de tratamientos de Datos Personales para los que se requiere el análisis de una evaluación de impacto

El artículo 35.1 del Reglamento General de Protección de Datos establece la obligatoriedad por el responsable del tratamiento de realizar una evaluación de impacto cuando sea probable que el tipo de tratamiento de datos personales comporte un alto riesgo para los derechos y libertades de las personas físicas, ya sea por la utilización de nuevas tecnologías, por la naturaleza, alcance, contexto o incluso del tratamiento. El apartado 4 del mismo artículo prevé que la autoridad de control establecerá y publicará una lista de los tipos de operaciones de tratamiento que requieren una evaluación de impacto referente a la protección de datos. Las autoridades de control que operan en nuestro territorio, Agencia Española de Protección de Datos y Autoritat Catalana de Protecció de Dades, a la fecha del presente artículo, no han publicado ninguna lista de los tipos de operaciones de tratamiento que requieren una evaluación de impacto.

La CNIL, Commission nationale de l’informatique et des libertés (Comisión Nacional de Informática y Libertades de Francia), que es la autoridad de control francesa en materia de protección de datos, publicó el pasado 6 de noviembre de 2018 la lista definitiva de los tratamientos para los que se requiere el análisis de una evaluación de impacto referente a la protección de datos, publicada en el JORF, Journal officiel de la République française (Diario Oficial de la República Francesa), el 6 de noviembre de 2018. Previamente a la publicación de la lista, se presentó en el Comité Europeo de Protección de Datos (CEPD) el proyecto de lista; el Comité Europeo informó a finales de septiembre una opinión sobre 22 listas de proyectos desarrollados por las autoridades nacionales de protección de datos, entre las que está incluida la lista francesa.

En base con el principio de coherencia entre los estados miembros de la UE, esta lista de tratamientos para los que se requiere el análisis de una evaluación de impacto publicada por la CNIL puede servir de criterio para los tratamientos realizados por los Responsables del tratamiento establecidos en nuestro territorio.

Se puede encontrar la documentación completa en el siguiente enlace.

Del listado publicado, destacamos en el cuadro siguiente los tratamientos de datos de salud que requerirán una evaluación de impacto referente a la protección de datos.