Azken eguneratzea: 2026ko uztailaren 7a
Erantzun azkarra: Datu Babesaren Eraginaren Ebaluazioa (DPIA) legez derrigorrezkoa da GDPRren 35. artikuluaren arabera, prozesamendu-jarduera batek pertsonen eskubide eta askatasunentzat arrisku handia ekar dezakeen bakoitzean. Hau aplikatzen zaie, besteak beste, eskala handiko profilaketa, espazio publikoen monitorizazio sistematikoa eta datu-kategoria berezien prozesamendua bezalako jarduerei. Beharrezkoa denean ez egiteak zigor arautzaile garrantzitsuak eta ospe-kalteak ekar diezazkioke zure erakundeari.
Gako-ideiak
- DPIA bat derrigorrezkoa da GDPRren 35. artikuluaren arabera, pertsonen eskubide eta askatasunentzat "arrisku handia ekar dezaketen" prozesamendu-jardueretarako [3]
- Hiru prozesamendu-mota beti eskatzen dute DPIA bat: pertsonen ebaluazio sistematikoa, datu sentikorren eskala handiko prozesamendua, eta publikoki eskuragarri dauden eremuen monitorizazio sistematikoa [3]
- Datu Babeseko Agintaritza Nazionalek DPIA bat eskatzen duten prozesamendu-eragiketen zerrendak argitaratzen dituzte, jurisdikzio bakoitzeko orientabideak emanez [3]
- Beharrezkoa den DPIA bat ez egiteak 10 milioi euroko isunak edo urteko fakturazio globalaren %2ko isunak ekar ditzake GDPRren arabera
- EDPBk DPIA txantiloi estandarizatu bat onartu zuen 2026ko apirilean, EBko estatu kideetan koherentzia hobetzeko [1]
- Banakakoengan eragin handia duten erabaki automatizatuak hartzen dituzten AI sistemek eta ikaskuntza automatikoko ereduek ia beti eskatzen dute DPIA bat [2]
- Enpresa txikiak ez daude automatikoki salbuetsita; abiarazlea prozesamenduaren izaera da, ez erakundearen tamaina [5]
- DPIA dokumentu bizi bat da, eta berrikusi eta eguneratu behar da prozesamendu-jarduerak materialki aldatzen direnean [3]
- Arrisku erresidualak handiak izaten jarraitzen badute arintzearen ondoren, erakundeek beren gainbegiratze-agintaritzarekin kontsultatu behar dute aurrera egin aurretik [3]
- DPIA bat Pribatutasun Eraginaren Ebaluazio (PIA) batetik desberdintzen da batez ere bere oinarri juridikoan eta derrigorrezko kontsulta-betebeharretan
Zer da DPIA bat eta zergatik behar duzu bat?
Datu Babesaren Eraginaren Ebaluazioa prozesu egituratu bat da, erakundeei datu-prozesamendu jardueretatik eratorritako arriskuak identifikatzen, ebaluatzen eta arintzen laguntzen diena. GDPRren arabera, ez da aukerako orientabide bat, arrisku handiko prozesamendurako legezko betebehar bat da [3].
DPIA baten helburu nagusia erantzukizuna da. Erakundeak sistematikoki pentsatzera behartzen ditu zer datu biltzen dituzten, zergatik biltzen dituzten, nork duen sarbidea eta zer gerta daitekeen gaizki. Irlandako Datu Babeseko Batzordeak pribatutasun-arriskuak prozesamendua hasi aurretik kontuan hartu direla erakusten duen tresna gisa deskribatzen du, eta ez urraketa bat gertatu ondoren [5].
DPIA batek normalean honako hauek hartzen ditu barne:
- Prozesamenduaren eta bere helburuen deskribapena
- Beharrezkotasunaren eta proportzionaltasunaren ebaluazioa
- Datu-subjektuentzako arriskuen ebaluazioa
- Arrisku horiei aurre egiteko aurreikusitako neurriak
EDPBk DPIA txantiloi estandarizatu bat onartu zuen 2026ko apirilean, erakundeei prozesu hau EB osoan modu koherentean egituratzen laguntzeko [1].
Noiz da derrigorrezkoa DPIA bat GDPRren arabera?
GDPRren 35. artikuluak DPIA bat eskatzen du pertsona fisikoen eskubide eta askatasunentzat "arrisku handia ekar dezakeen" edozein prozesamendu egin aurretik [3]. Hiru eszenatoki zehatzek beti abiarazten dute betebehar hau:
- Profilaketa sistematiko eta zabala eragin handiekin, erabaki automatizatuak barne
- Datu-kategoria bereziak (osasuna, biometrikoak, jatorri etnikoa, etab.) edo zigor-kondenei buruzko datu pertsonalen eskala handiko prozesamendua
- Publikoki eskuragarri dauden eremuen monitorizazio sistematikoa eskala handian
Hiru horiez gain, gainbegiratze-agintaritza nazionalek beren jurisdikzioan DPIA bat eskatzen duten prozesamendu-eragiketen zerrendak argitaratzen dituzte. EBko estatu kide anitzetan jarduten duten erakundeek dagokion zerrenda nazional bakoitza egiaztatu beharko lukete.
Erabaki-araua: Zure prozesamenduak EDPBren bederatzi arrisku-irizpideetatik bi edo gehiago betetzen baditu (teknologia berria, eskala handia, datu sentikorrak, monitorizazio sistematikoa, datu-multzoen parekatzea edo konbinatzea, datu-subjektu ahulak, erabilera berritzailea, zerbitzu-ukapenaren arriskua edo erabaki automatizatuak), DPIA bat ia ziur aski derrigorrezkoa da [4].
Zer da arrisku handiko datu-prozesamendua?
Arrisku handiko prozesamendua jardueraren izaerak, irismenak, testuinguruak eta helburuak definitzen dute, eta ez soilik inplikatutako datu-bolumenak. EDPBk prozesamendua arrisku handiko egoerara igotzen duten ezaugarri zehatzak identifikatzen dituzten jarraibideak ematen ditu [4].
Adierazle nagusiak honako hauek dira:
| Arrisku-adierazlea | Adibidea |
|---|---|
| Erabaki automatizatuak | Kreditu-puntuazioa, aseguru-arrisku ereduak |
| Datu-kategoria sentikorrak | Osasun-erregistroak, autentifikazio biometrikoa |
| Eskala handiko prozesamendua | Leialtasun-programa nazionalen datu-baseak |
| Eremu publikoen monitorizazioa | CCTV aurpegi-ezagutzarekin |
| Datuen parekatzea edo konbinatzea | Sare sozialak erosketa-historiarekin gurutzatzea |
| Datu-subjektu ahulak | Haurrak, gaixoak, langileak |
| Teknologia berria edo frogatu gabea | AI generatiboa, emozioak detektatzeko tresnak |
Adierazle bakar batek ez du automatikoki DPIA bat agintzen, baina bi edo gehiagok konbinatuta ia beti bai. Datu sentikorrak eta erabaki automatizatuak inplikatzen dituen prozesamenduak, adibidez, zalantzarik gabe gainditzen du atalasea.
Nola jakin dezaket nire negozioak DPIA bat behar duen?
Erantzuna zure erakundeak datu pertsonalekin zer egiten duenaren araberakoa da, eta ez zure industriaren edo enpresaren tamainaren araberakoa. Edozein kontrolatzailek, startup bat, ospitale bat edo marketin-agentzia bat izan, DPIA bat egin behar du bere prozesamenduak arrisku handiko atalasea betetzen badu [5].
Baheketa-prozesu praktiko bat:
- Datu-prozesamendu jarduera guztiak mapatu
- EDPBren bederatzi arrisku-irizpideak jarduera bakoitzari aplikatu
- Zure gainbegiratze-agintaritza nazionalak argitaratutako "egin beharreko" zerrenda egiaztatu
- Bi irizpide edo gehiago betetzen dituen edozein jardueratarako, DPIA bat hasi
- Baheketa-erabakia dokumentatu, DPIA bat beharrezkoa ez denean ere
Akats arrunta: Erakundeek uste dute txikiak direlako salbuetsita daudela. Tamainak ez du garrantzirik. Lan-eskatzaileei buruzko erabaki automatizatuak hartzen dituen AI-n oinarritutako kontratazio-tresna bat erabiltzen duen bi pertsonako startup batek DPIA bat egin behar du.
Zer gertatzen da beharrezkoa denean DPIA bat egiten ez baduzu?
Beharrezkoa den DPIA bat ez egitea GDPRren urraketa bat da berez, datu-subjektuei kalte errealik gertatzen den ala ez kontuan hartu gabe. Gainbegiratze-agintaritzek 10 milioi euroko isunak edo urteko fakturazio globalaren %2ko isunak ezar ditzakete urraketa zehatz honengatik [3].
Finantza-zigorrez gain, ondorioak honako hauek dira:
- Prozesamendu-jardueraren derrigorrezko etetea
- Betearazpen-erabaki publikoen ondoriozko ospe-kaltea
- Gainbegiratze-agintaritzaren kontrol eta auditoria-betebehar handiagoak
- Datu Babeseko Ofizialen erantzukizun pertsonala, behar bezala aholkatu ez badute
Arrisku erresidualak handiak izaten jarraitzen badute arintze-neurriak aplikatu ondoren, erakundeek beren gainbegiratze-agintaritzarekin kontsultatu behar dute prozesamendua hasi aurretik. Kontsulta hori gabe aurrera egitea urraketa gehigarri bat da [3].
DPIA vs. Pribatutasun Eraginaren Ebaluazioa: Zein da aldea?
Pribatutasun Eraginaren Ebaluazioa (PIA) GDPRren aurrekoa den praktika onen esparru zabalago eta borondatezko bat da. DPIA bere legezko ondorengoa da EBko datu-babesaren legearen arabera. Bi terminoak batzuetan trukagarri erabiltzen dira, baina betebehar desberdinak dituzte.
| Ezaugarria | PIA | DPIA |
|---|---|---|
| Oinarri juridikoa | Praktika ona | GDPRren 35. artikulua |
| Derrigorrezkoa | Ez | Bai, arrisku handia dagoenean |
| Gainbegiratze-agintaritzaren kontsulta | Ez da beharrezkoa | Beharrezkoa da arrisku erresiduala handia bada |
| Txantiloi estandarizatua | Aldakorra | EDPB txantiloia (2026) [1] |
| Dokumentazio-betebeharra | Gomendagarria | Legez derrigorrezkoa |
GDPR indarrean sartu aurretik PIAk egin zituzten erakundeek berrikusi beharko lukete ebaluazio horiek DPIA estandar zorrotzagoa betetzen duten ala ez.
AI eta Ikaskuntza Automatikoaren DPIA eskakizunak
Banakakoen inguruko erabakiak hartzen edo nabarmen eragiten dituzten AI sistemek ia beti eskatzen dute DPIA bat. Eragin juridiko edo antzeko garrantzitsuak dituzten erabaki automatizatuak GDPRren 35. artikuluaren araberako hiru abiarazle nagusietako bat dira [4].
EBko AI Legeak, 2026ko abuztuaren 2an indarrean sartu zenak, geruza gehigarri bat sartzen du: Oinarrizko Eskubideen Eraginaren Ebaluazioa (FRIA) arrisku handiko AI sistemetarako. Erakundeei biziki gomendatzen zaie beren DPIA eta FRIA prozesuak integratzea, ahaleginak bikoiztea saihesteko eta datu-babesaren eta oinarrizko eskubideen arriskuen estaldura integrala ziurtatzeko [2].
DPIA bat eskatzen duten AI erabilera-kasu zehatzak honako hauek dira:
- Hautagaiak iragazten edo sailkatzen dituzten kontratazio-algoritmoak
- Kreditu- eta aseguru-puntuazio ereduak
- Polizia iragarlea edo iruzurrak detektatzeko sistemak
- Osasun-diagnostikoa edo tratamendu-gomendio tresnak
- Profil inferituak erabiltzen dituzten portaera-publizitate plataformak
Kasu berezia: Azken erabakiak hartzen ez dituzten baina giza erabaki-hartzaileengan nabarmen eragiten duten AI sistemek ere DPIA eskakizuna abiarazi dezakete, azpiko datu-prozesamendua eskala handikoa bada edo kategoria sentikorrak inplikatzen baditu.
Enpresa txikiek DPIA egin behar al dute?
Enpresa txiki eta ertainak ez daude DPIA betebeharretatik salbuetsita. Legezko abiarazlea prozesamendu-jardueraren izaera eta arrisku-maila da, eta ez erakundearen tamaina edo diru-sarrerak [5].
Hala ere, enpresa txiki askok arrisku txikiko prozesamendua egiten dute, bezeroen posta elektronikoko zerrenda bat kudeatuz, adibidez, eta horrek ez du DPIA bat eskatzen. Betebeharra prozesamenduak berak arrisku handiko atalasea gainditzen duenean bakarrik sortzen da.
Aukeratu DPIA bat zure enpresa txikiak honako hauek egiten baditu:
- Profilaketa automatizatua erabiltzen du edukia edo prezioak pertsonalizatzeko
- Osasun-, finantza- edo datu biometrikoak prozesatzen ditu
- Haurrak erabiltzaile izan daitezkeen plataforma bat kudeatzen du
- Portaera-profilak eskala handian eraikitzen dituzten jarraipen-teknologiak hedatzen ditu
Biscotti CMP bezalako baimen-kudeaketarako plataforma batek enpresa txikiei baimen-erregistroak kudeatzen eta erantzukizuna frogatzen lagun diezaieke, eta horrek DPIA bat kokatzen den betetze-esparru zabalagoa onartzen du.
Zer sartu behar da DPIA txosten batean?
DPIA txosten oso batek derrigorrezko hainbat elementu izan behar ditu GDPRren 35(7) artikuluaren arabera [3]:
- Prozesamendu-eragiketen eta haien helburuen deskribapen sistematikoa, hala badagokio, lortutako interes legitimoa barne
- Adierazitako helburuarekiko beharrezkotasunaren eta proportzionaltasunaren ebaluazioa
- Datu-subjektuen eskubide eta askatasunentzako arriskuen ebaluazioa
- Arriskuak arintzeko aurreikusitako neurriak, babesak, segurtasun-neurriak eta datu-babesa bermatzeko mekanismoak barne
EDPBren 2026ko txantiloi estandarizatuak elementu horiek EBko gainbegiratze-agintaritzek aitortzen duten formatu koherente batean egituratzen ditu [1]. Hori erabiltzeak DPIA bat auditoria batean osatugabetzat jotzeko arriskua murrizten du.
Praktika onen elementu gehigarriak Datu Babeseko Ofizialarekin egindako kontsulta-erregistroak, datu-subjektuen edo haien ordezkarien ekarpenak, bideragarria denean, eta arrisku erresidualaren onespena dira.
Zenbat balio du DPIA batek, eta zuk zeuk egin dezakezu?
DPIA baten kostua asko aldatzen da konplexutasunaren arabera. Barne-ebaluazio zuzen bat, ondo dokumentatutako prozesamendu-jarduera baterako, etxean egin daiteke egun gutxitan. AI sistemak, mugaz gaindiko datu-fluxuak edo datu-kontrolatzaile anitzak inplikatzen dituzten ebaluazio konplexuek asteak har ditzakete eta kanpoko aholkularitza juridiko edo teknikoa behar izan dezakete.
Gutxi gorabeherako kostu-tarteak (merkatu-arauetan oinarritutako estimazioak):
- Konplexutasun txikiko prozesamendurako barne-DPIA: kostu minimoa, batez ere langileen denbora (8-20 ordu)
- Konplexutasun ertaineko prozesamendurako aholkulariak zuzendutako DPIA: normalean 2.000-8.000 euro
- Konplexutasun handiko AI sistemetarako berrikuspen juridiko eta tekniko osoa: 10.000 euro edo gehiago
DPO izendatua duten erakundeek hasieratik inplikatu beharko lukete. DPOren eginkizunen artean dago DPIA bat beharrezkoa den ala ez aholkatzea eta osatutako ebaluazioa berrikustea [3]. Barne-esperientziarik ez duten erakundeentzat, aholkulari espezializatu bat kontratatzea komeni da teknologia berria edo datu-kategoria sentikorrak inplikatzen dituen edozein prozesamendurako.
Zenbateko maiztasunarekin eguneratu edo berregin behar da DPIA bat?
DPIA bat ez da behin-behineko ariketa bat. Dokumentu bizi bat da, eta estaltzen duen prozesamendu-jardueran aldaketa material bat dagoen bakoitzean berrikusi behar da [3].
Berrikuspen edo ebaluazio oso baterako abiarazleak honako hauek dira:
- Teknologia berri bat edo saltzaile berri bat sartzea prozesamendu-katean
- Bildutako datuen irismena edo bolumena zabaltzea
- Prozesamenduaren helburua aldatzea
- Datu-urraketa bat edo ia-ia bat, aurretik identifikatu gabeko arriskuak agerian uzten dituena
- Gainbegiratze-agintaritza baten orientabide berria, arrisku-ebaluazioan eragina duena
- Lege- edo arau-ingurunean aldaketa garrantzitsuak
Oinarri gisa, erakundeek DPIA guztien berrikuspen periodiko bat programatu beharko lukete gutxienez bi edo hiru urtean behin, aldaketa zehatzik ez badago ere. EDPBk DPIAk erantzukizun-tresna gisa tratatzen ditu, egungo errealitatea islatu behar dutenak, eta ez iraganeko argazkiak [3].
DPIA Erabaki-egiaztatzailea
Maiz egiten diren galderak
DPIA bat prozesamendua hasi aurretik osatu behar al da? Bai. GDPRren 35. artikuluak eskatzen du DPIA prozesamendu-jarduera hasi aurretik egitea, eta ez hasi ondoren. Arrisku handiko prozesamendua osatutako DPIA gabe hastea urraketa bat da berez [3].
Nork du DPIA bat egiteko ardura? Datu-kontrolatzailea da legez arduraduna. Datu Babeseko Ofizial bat izendatu bada, prozesuan zehar kontsultatu behar da. Prozesadoreek lagun dezakete, baina erantzukizuna kontrolatzailearena da [3].
DPIA bat publiko egin behar al da? Ez. Ez dago DPIA bat argitaratzeko legezko eskakizunik. Hala ere, erakundeek beren gainbegiratze-agintaritzaren esku jarri behar dute eskatuz gero, eta ondorio orokorrak datu-subjektuekin partekatu daitezke gardentasun-betebeharren barruan.
Zer da aurretiazko kontsulta eta noiz aplikatzen da? DPIA batek ondorioztatzen badu arrisku erresidualak handiak izaten jarraitzen dutela arintze-neurri guztiak aplikatu ondoren, kontrolatzaileak bere gainbegiratze-agintaritzarekin kontsultatu behar du aurrera egin aurretik. Agintaritzak zortzi aste ditu erantzuteko [3].
DPIA bakar batek antzeko prozesamendu-jarduera anitz estali ditzake? Bai. EDPBk baieztatzen du DPIA bakar batek arrisku handi konparagarriak dituzten antzeko prozesamendu-eragiketa multzo bat jorratu dezakeela. Hau ohikoa da datu-arkitektura berdinarekin kanpaina edo produktu anitz exekutatzen dituzten erakundeentzat [4].
GDPR aplikatzen al da nire enpresa EBtik kanpo badago? GDPR EBko egoiliarren datu pertsonalak prozesatzen dituen edozein erakunderi aplikatzen zaio, erakundea non dagoen kontuan hartu gabe. EBtik kanpoko enpresek, EBko erabiltzaileei zuzenduta daudenek, DPIA betebeharrak bete behar dituzte, EBko enpresek bezala.
DPIA bat beharrezkoa al da lehendik dauden prozesamendu-jardueretarako? DPIA bat batez ere prozesamendu berrietarako beharrezkoa da. Hala ere, lehendik dagoen jarduera bat materialki aldatzen bada edo inoiz ebaluatu ez bada eta arrisku handia badu, atzeraeraginezko DPIA bat biziki gomendagarria da eta gainbegiratze-agintaritza batek eska dezake [3].
Zer eginkizun du baimen-kudeaketarako plataforma batek DPIA betetzean? Biscotti CMP bezalako baimen-kudeaketarako plataforma batek erakundeei erabiltzailearen baimena biltzen, erregistratzen eta kudeatzen laguntzen die, DPIA betetzearen oinarrian dauden erantzukizun-eskakizunak onartzen dituen modu batean, batez ere cookieetan oinarritutako jarraipen eta portaera-profilaketa jardueretarako.
Ondorioa
Noiz behar den DPIA bat ulertzea, eta arrisku handiko datu-ebaluazioen gida zorroztasun handiz egitea, datu-babeseko programa heldu baten adierazle argienetako bat da. Betebeharra ez da burokratikoa: kaltea datu-subjektuengana iritsi aurretik identifikatzeko metodo egituratu bat da.
2026rako hurrengo urrats ekintzaileak:
- Prozesamendu-jarduera guztiak mapatu eta bakoitza EDPBren bederatzi arrisku-irizpideen arabera bahetu [4]
- Deskargatu eta erabili EDPBren DPIA txantiloi estandarizatua, 2026ko apirilean onartua [1]
- Egiaztatu zure gainbegiratze-agintaritza nazionalak argitaratutako derrigorrezko DPIA jardueren zerrenda
- AI edo ikaskuntza automatikoko edozein hedapenetan, integratu zure DPIA EBko AI Legearen FRIA prozesuarekin [2]
- Ezarri egutegiko abisuak lehendik dauden DPIAk gutxienez bi urtean behin edo aldaketa materialen ondoren berrikusteko
- Arrisku erresidualak handiak izaten jarraitzen badute arintzearen ondoren, kontsultatu zure gainbegiratze-agintaritzarekin aurrera egin aurretik [3]
- Ziurtatu zure baimen-kudeaketarako azpiegiturak, Biscotti CMP bezalako tresnak barne, zure DPIA programak behar dituen erantzukizun-erregistroak onartzen dituela
DPIAk erantzukizun-tresna bizi gisa tratatzen dituzten erakundeak, eta ez behin-behineko betetze-lan gisa, hobeto kokatuta egongo dira arau-espektatibak eboluzionatzen jarraitzen duten heinean egokitzeko.
Erreferentziak
[1] Enhancing Compliance And Consistency Edpb Adopts Dpia Template Et - https://www.edpb.europa.eu/news/enhancing-compliance-and-consistency-edpb-adopts-dpia-template_et?utm_source=openai
[2] Integrating Dpia And Fria Under The Eu Ai Act - https://digital.nemko.com/insights/integrating-dpia-and-fria-under-the-eu-ai-act?utm_source=openai
[3] When Data Protection Impact Assessment Dpia Required En - https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/obligations/when-data-protection-impact-assessment-dpia-required_en?utm_source=openai
[4] Data Protection Impact Assessment En - https://www.edpb.europa.eu/topics/accountability-and-compliance-tools/data-protection-impact-assessment_en?utm_source=openai
[5] Guide Data Protection Impact Assessments - https://www.dataprotection.ie/en/dpc-guidance/guide-data-protection-impact-assessments?utm_source=openai
[6] Data Protection Impact Assessments - https://cy.ico.org.uk/for-organisations/law-enforcement/guide-to-le-processing/accountability-and-governance/data-protection-impact-assessments/?utm_source=openai