La sanción a AENA ha provocado que muchas empresas se pregunten hasta qué punto es privada una evaluación de impacto. En este documento relacionaremos algunos de los escenarios en los que una organización deberá mostrar una Evaluación de Impacto relativa a la Protección de Datos (EIPD), evidenciando que no se trata de un mero trámite interno.
"Las inspecciones y procedimientos sancionadores de la AEPD y otras autoridades de control suelen requerir el análisis de riesgos y la evaluación de impacto de los tratamientos investigados."
La probabilidad de tener que mostrar una EIPD aumenta ante denuncias de clientes descontentos, trabajadores despedidos, procesos de ERE o conflictos con accionistas.
Ante incidentes de ransomware o ingeniería social, la AEPD solicitará las evaluaciones de impacto para valorar la diligencia debida del responsable del tratamiento.
El acceso a la EIPD es exigido frecuentemente en procesos de due diligence previa a adquisiciones, entrada de fondos de inversión o salidas a bolsa.
El acceso puede estar previsto en contratos de encargo de tratamiento, acuerdos entre corresponsables, contratos con el Sector Público o con socios comerciales.
La Ley 2/2023 de protección del informante fija los plazos para gestionar las comunicaciones del Sistema Interno de Información, desde el acuse de recibo de siete días hasta los tres meses de investigación interna. Análisis de los plazos, sus excepciones y la sentencia del TSJ de Galicia de 2 de julio de 2026, por Juan Pablo Tornos.
La Ley de protección del informante fija tres meses para las investigaciones internas, ampliables por especial complejidad, un concepto que la propia ley no define. Análisis de Juan Pablo Tornos.
Caso de uso IA Farma 04 – Uso de la IA en ensayos clínicos. Análisis de riesgos del uso de un sistema de IA basado en PLN y aprendizaje automático en el reclutamiento, el diseño, la monitorización y la gestión de datos del ensayo clínico.
