Win2win l’ajuda a avaluar si cal fer una Avaluació d’Impacte respecte a la Protecció de Dades (AIPD), i en cas afirmatiu, a portar-la a termini.
Una AIPD no és altra cosa que una anàlisi de riscos centrat en la protecció de les dades personals que es fa abans de posar en funcionament un nou procés, servei o iniciativa. El que s’analitza és el risc que aquest tindrà per a les persones les quals dades vam a processar (els “interessats”). Avalua, en particular, l’origen, la naturalesa, la particularitat i la gravetat d’aquest risc, i recomana mesures de seguretat addicionals, si és que calen, per reduir el risc al qual exposem als interessats fins a un nivell raonablement baix.
L’objectiu de l’AIPD és assegurar que tant en el moment de definir les diferents operacions de tractament de dades personals com a l’hora de determinar i aplicar els mitjans que s’utilitzaran per tractar les dades personals, es tindran en compte els principis, els drets i les obligacions que recull l’RGPD si els seus interessats són de la UE.
L’RGPD es caracteritza, d’entre altres coses, per obligar a les organitzacions que tracten dades personals a gestionar de forma continuada i proactiva la protecció d’aquestes dades, i destaca el fet que cal demostrar que es compleixen aquestes obligacions. Les avaluacions d’impacte relatives a la protecció de les dades personals (d’ara endavant, “AIPD“) es troben en el punt de partida per demostrar una gestió responsable i proactiva de les dades de persones físiques.
L’RGPD obliga a les Organitzacions a fer una AIPD d’una o algunes operacions en les quals es tractin dades personals quan el risc al qual aquestes operacions exposen a les persones a les quals pertanyen dites dades, inclouen el risc per als seus drets i llibertats, “pugui ser significatiu”.
La seva organització és l’única responsable de decidir si el risc pot (o no) ser significatiu, i per tant, si cal o no fer una AIPD d’una determinada operació. No obstant això, tant la UE com, posteriorment, vàries Autoritats de Control dels països adherits a l’Espai Econòmic Europeu, van publicar guies per tal de facilitar aquesta decisió, identificant una sèrie de criteris que fan sospitar que el risc pot ser significatiu i cal fer l’AIPD (per exemple, entre d’altres, el fet de perfilar a les persones, el fet de tractar les dades de quasi-tot un país, o el fet d’implantar noves tecnologies o de ferles servir per a un nou propòsit).