Cuándo puede ser necesaria en prevención
El artículo 35 del RGPD exige una EIPD cuando sea probable que un tratamiento entrañe un alto riesgo para los derechos y libertades de las personas. No se exige automáticamente a cualquier software de SST ni únicamente por incorporar una tecnología nueva.
Conviene analizarla en proyectos que combinan seguimiento sistemático, perfiles, datos sensibles o tecnologías novedosas. Un sistema de cámaras, sensores o análisis de salud requiere valorar qué hace realmente, a quién afecta y con qué alcance. El carácter preventivo de la finalidad no elimina por sí solo el riesgo para la privacidad.
Diferencia con la evaluación de riesgos laborales
La evaluación preventiva examina posibles daños para la seguridad y salud derivados del trabajo. La EIPD se centra en los derechos y libertades afectados por el tratamiento de datos: pérdida de confidencialidad, discriminación, vigilancia desproporcionada o decisiones basadas en información errónea, entre otros.
Ambas pueden ser necesarias y deben coordinarse. Un sensor puede detectar una exposición y, a la vez, recopilar información excesiva sobre movimientos. Tampoco sustituye la EIPD a un análisis de ciberseguridad: proteger un servidor no convierte en necesario un dato que no debería recogerse.
Qué debe incluir una EIPD
Según el artículo 35.7 y la orientación de la AEPD, la evaluación debe describir el tratamiento, examinar su necesidad y proporcionalidad, analizar los riesgos y definir las medidas para afrontarlos.
- Descripción: finalidad, personas, datos, fuentes, destinatarios y conservación.
- Necesidad: por qué se necesitan esos datos y si existe una alternativa menos intrusiva.
- Riesgos: qué podría perjudicar a las personas y con qué consecuencias.
- Medidas: garantías, accesos, controles, responsabilidades y verificación.
El resultado debe explicar decisiones y riesgos residuales. No basta con adjuntar una política de privacidad o un cuestionario sin analizar la actividad concreta.
Quién participa y cuándo se revisa
La obligación corresponde al responsable del tratamiento, no al proveedor ni al delegado de protección de datos. El DPD asesora cuando procede; prevención aporta conocimiento de tareas y exposiciones; tecnología explica los flujos y controles; y las áreas implicadas ayudan a valorar efectos sobre las personas.
Inicia el análisis durante el diseño, cuando aún es posible cambiar lo que se recoge o cómo se utiliza. Revisa los cambios relevantes de finalidad, escala, destinatarios o tecnología. Si la evaluación muestra un alto riesgo que no se logra mitigar, debe analizarse la consulta previa a la autoridad de control conforme al artículo 36 del RGPD.
Preguntas útiles para un proyecto de SST
Antes de contratar, solicita respuestas concretas: ¿se necesitan datos identificados?, ¿se graba continuamente?, ¿quién verá resultados individuales?, ¿se reutilizarán para otros fines?, ¿cómo puede corregirse un dato?, ¿qué pasa al finalizar el servicio?
Los datos de salud y el contexto laboral exigen especial cuidado. No debe asumirse que la aceptación de una casilla resuelve todos los requisitos. En España, el artículo 22 de la LPRL limita el acceso a la información médica personal. Diferencia los datos clínicos de las conclusiones preventivas que pueden comunicarse según la norma y la función de cada destinatario.
Ejemplo hipotético: sensores para detectar sobrecarga
Una empresa estudia sensores que identifican movimientos asociados a sobrecarga física. El diseño inicial conserva registros individuales durante todo el turno y permite comparaciones entre trabajadores. La evaluación analiza si esas funciones son necesarias para mejorar las condiciones de trabajo y qué usos secundarios podrían aparecer.
Se valora limitar la recogida, trabajar con resultados agregados cuando sea posible y restringir los accesos. También se define cómo comprobar la precisión y cómo actuar ante errores. El proyecto no se considera aceptable simplemente porque el proveedor tenga medidas de seguridad: debe justificarse el tratamiento completo y la eficacia de las garantías adoptadas.
