¿Cuándo necesita una comunidad una evaluación de impacto?

Imagine que la junta aprueba instalar cámaras en el portal, el garaje y los ascensores, y que además quiere un sistema de acceso con huella para el garaje. Alguien pregunta: «¿esto necesita una evaluación de impacto?». Casi nadie en la sala sabe qué es, y el administrador tampoco está del todo seguro.

La respuesta corta: la mayoría de las comunidades no necesitan una evaluación de impacto, pero hay supuestos en que conviene planteársela, y hay que saber reconocerlos. Lo decisivo no es el tamaño del edificio, sino el tipo de tratamiento y el riesgo que supone para las personas.

Qué es una evaluación de impacto

La evaluación de impacto relativa a la protección de datos (EIPD) es un análisis más profundo que el análisis de riesgos habitual. Describe el tratamiento, valora si es necesario y proporcionado, evalúa los riesgos para los derechos de las personas y fija las medidas para reducirlos. Está regulada en el artículo 35 del RGPD (se abre en una ventana nueva).

Se hace antes de empezar el tratamiento, no después. Si el riesgo sigue siendo alto tras aplicar medidas, el artículo 36 prevé consultar a la autoridad de control antes de empezar.

Cuándo es obligatoria

El artículo 35 exige una EIPD cuando es probable que un tratamiento entrañe un alto riesgo para los derechos y libertades de las personas, en particular si se usan nuevas tecnologías. El apartado 3 enumera tres supuestos en los que se exige expresamente:

• La evaluación sistemática y exhaustiva de aspectos personales basada en tratamiento automatizado, incluida la elaboración de perfiles, con efectos jurídicos o similares sobre las personas.
• El tratamiento a gran escala de categorías especiales de datos (salud, biometría para identificar, datos de origen étnico, opiniones políticas, etc.) o de datos de condenas e infracciones penales.
• La observación sistemática a gran escala de una zona de acceso público.

Además, el RGPD prevé que las autoridades publiquen listas de tratamientos que sí requieren EIPD y de otros que no. La AEPD ha publicado las suyas, y conviene consultarlas en su web (se abre en una ventana nueva) cuando haya dudas. En la lista orientativa de tratamientos que no la requieren figuran los que realizan las comunidades de propietarios; aun así, un proyecto que se sale de la gestión ordinaria, como la biometría, merece valorarse y dejarlo por escrito.

La clave es «a gran escala» y «alto riesgo»

No hay un umbral numérico único. Para valorar si algo es «a gran escala» se tiene en cuenta el número de personas afectadas, el volumen de datos, la duración y el ámbito geográfico. Una comunidad de veinte viviendas con una cámara en el portal está lejos de ese terreno. Un despacho que trata datos de miles de propietarios de muchas comunidades empieza a estar más cerca, aunque lo que haga con ellos sea rutinario. Depende del caso.

Casos en los que debe planteárselo

No son habituales, pero ocurren. Piénselo si en una comunidad o en el despacho:

• Se plantea un sistema de reconocimiento facial o de huella dactilar para acceder a zonas comunes. Los datos biométricos destinados a identificar de forma unívoca son una categoría especial. Tiene un artículo sobre los sistemas biométricos en el control de presencia que explica por qué.
• La videovigilancia es extensa, con muchas cámaras, grabación continua, zonas de tránsito público o analítica de imágenes. Una cámara en el portal no es lo mismo que un sistema que cubre un complejo grande.
• Se trata de forma habitual información de salud de muchas personas, o datos de menores, de forma sistemática.
• Se implanta una herramienta que perfila a los vecinos o toma decisiones automatizadas sobre ellos.
• Se incorpora una tecnología nueva cuyas consecuencias para las personas no están claras.

Y en los casos normales

La gestión habitual de una comunidad (cuotas, juntas, actas, comunicaciones, proveedores) no suele requerirla. Aun así, valorarlo y dejarlo por escrito es buena práctica. En el registro de actividades o en el análisis de riesgos puede anotar: «Se ha valorado la necesidad de EIPD y no se considera necesaria porque…».

Que no haga falta una evaluación de impacto no significa que no haga falta pensar el riesgo. Significa que basta con el análisis de riesgos ordinario.

Qué contiene una EIPD

El artículo 35.7 indica el contenido mínimo:

• Una descripción sistemática de las operaciones de tratamiento y sus fines.
• Una evaluación de la necesidad y proporcionalidad respecto de esos fines.
• Una evaluación de los riesgos para los derechos y libertades.
• Las medidas previstas para afrontarlos, incluidas garantías y mecanismos de seguridad.

Cuando existe delegado de protección de datos, el responsable debe pedirle asesoramiento. Si quiere saber si su comunidad lo necesita, tiene el artículo ¿Necesita una comunidad delegado de protección de datos?.

Quién la hace

La EIPD la realiza el responsable del tratamiento. En una comunidad, esa figura es la propia comunidad, y el administrador puede apoyar como encargado si así se acuerda. Conviene hacerla antes de que la junta cierre la decisión y antes de empezar el tratamiento, porque el análisis puede llevar a modificar el proyecto o incluso a descartarlo.

Un ejemplo, planteado como hipótesis

Imagine una urbanización grande con control de acceso mediante huella en los cuatro portales y las zonas deportivas. La comunidad debería, antes de contratarlo, plantearse: ¿es necesaria la huella o bastaría una tarjeta?, ¿qué pasa con los datos si falla el proveedor?, ¿hay una alternativa menos intrusiva?, ¿cómo se informa a los vecinos? Hacer esas preguntas por escrito y responderlas es, en esencia, una evaluación de impacto.

En resumen

• La mayoría de las comunidades no necesitan una EIPD, pero deben saber reconocer los supuestos en que conviene planteársela (artículo 35 del RGPD).
• Es obligatoria si es probable que el tratamiento entrañe un alto riesgo, algo que puede ocurrir con datos biométricos, de salud a gran escala o videovigilancia extensa.
• Se hace antes de empezar el tratamiento, y si el riesgo sigue siendo alto hay que consultar a la autoridad.
• Aunque no sea obligatoria, valorarla y dejarlo por escrito es una buena práctica.

Si en alguna de sus comunidades se está pensando en un sistema de acceso, un circuito de cámaras o una aplicación nueva, valorarlo antes de contratarlo evita rehacerlo después.