Avaluació d'impacte (EIPD/AIPD): quan la necessites i com saber-ho

Sumari

• Què és una avaluació d'impacte?
• Quan és obligatòria?
• Quan NO cal?
• Quin risc corres si te la saltes?
• Com ho resol Tranquilia
• Preguntes freqüents
• Fonts oficials

Què és una avaluació d'impacte?

És una anàlisi que fas abans de posar en marxa un tractament arriscat, per veure què pot sortir malament i com evitar-ho. Pensa-hi com en l'estudi previ d'una obra: mires on són els perills abans de començar, no després que algú caigui.

En termes del RGPD, descrius el tractament, valores si és necessari i proporcionat, identifiques els riscos per a les persones i decideixes quines mesures els redueixen.

Quan és obligatòria?

L'art. 35 RGPD l'exigeix quan un tractament «comporti un alt risc» per als drets de les persones. El mateix article assenyala tres casos clars:

• Elaboració de perfils o decisions automatitzades que afectin de manera significativa algú.
• Tractament a gran escala de categories especials de dades (salut, ideologia, biometria).
• Observació sistemàtica d'una zona pública a gran escala (per exemple, videovigilància intensiva).

A més, l'AEPD publica una llista de tipus de tractament que requereixen EIPD. Si el teu cas encaixa en diversos criteris de risc alhora, és senyal gairebé segur que toca fer-la.

Quan NO cal?

Per a la majoria dels tractaments normals d'una pime (la teva llista de clients, la gestió de nòmines, l'enviament de factures), no cal una EIPD. L'AEPD també publica una llista de tractaments que no la requereixen. No es tracta de fer-ne una per cada cosa: es tracta de reconèixer els pocs casos de risc alt i tractar-los amb cura.

Quin risc corres si te la saltes?

Si poses en marxa un tractament de risc alt sense l'EIPD, incompleixes l'art. 35 RGPD. L'AEPD (Agencia Española de Protección de Datos) ho pot sancionar. El RGPD fixa els màxims en dos nivells: fins a 10 milions d'euros o el 2 % de la facturació, i fins a 20 milions o el 4 %, segons la infracció (art. 83 RGPD); s'aplica la xifra més alta.

A la pràctica, per a una pime el problema no sol ser la multa màxima, sinó haver muntat —per exemple— un sistema de càmeres o de control biomètric sense haver pensat abans en els riscos, i haver-lo de desmuntar o refer quan arriba una reclamació.

Com ho resol Tranquilia

No has d'endevinar si el teu cas necessita EIPD. El qüestionari inclou les preguntes que activen els criteris de risc de l'art. 35, i si el teu tractament els compleix, t'avisa i et deixa preparada l'avaluació per revisar-la. Si no cal, no t'obliga a fer paperassa que no et toca.

Preguntes freqüents

Una botiga normal necessita avaluació d'impacte?

Gairebé mai. Vendre productes i portar una llista de clients no és un tractament de risc alt. L'EIPD es reserva per a casos com dades de salut a gran escala, elaboració de perfils intensiva o vigilància sistemàtica.

L'EIPD s'envia a l'AEPD?

Només en un cas: si després de fer-la continua havent-hi un risc alt que no pots reduir, has de consultar l'AEPD abans de començar (art. 36 RGPD). En la resta de casos la guardes tu com a prova que la vas fer.

Qui la signa?

La signa el responsable del tractament (la teva empresa). Si tens delegat de protecció de dades, ha de participar i donar la seva opinió, però la decisió i la responsabilitat són de l'empresa.

Fonts oficials

• Reglamento (UE) 2016/679 (RGPD), articles 35 i 36 (i art. 83, sancions) — text a EUR-Lex.
• Agencia Española de Protección de Datos (AEPD), llistes de tractaments que requereixen i que no requereixen EIPD.
• BOE — Ley Orgánica 3/2018 (LOPDGDD).

---

Informació general sobre normativa. No substitueix l'assessorament d'un advocat ni l'anàlisi del teu cas concret. Si tens dubtes, consulta amb la teva gestoria o amb un professional del dret.