A/79/173 de los derechos de los titulares de los datos y de cumplimiento de estos principios. 15. Evaluaciones del impacto del tratamiento de datos Cuando sea probable que un tipo de tratamiento, en particular si se utilizan nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento realizará, antes de llevarlo a cabo, una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales con miras a adoptar medidas preventivas para afrontar y mitigar los riesgos identificados. La evaluación del impacto se deberá realizar, entre otras cosas, cuando se vayan a evaluar de manera sistemática y exhaustiva aspectos personales de personas físicas que se basen en un tratamiento automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas físicas o que les afecten significativamente de modo similar; o cuando se pretenda realizar un tratamiento masivo o a gran escala de datos sensibles o de datos de menores de edad. 16. Privacidad desde el diseño y por defecto Teniendo en cuenta de forma razonable los costos de aplicación del tratamiento, el estado de la técnica, la naturaleza, circunstancias y fines del tratamiento, así como el riesgo probable que conlleve y su gravedad, el responsable del tratamiento de datos (y eventualmente el encargado) deberán aplicar medidas técnicas y organizativas apropiadas para que, al momento de determinar los medios de tratamiento aplicables y durante el tratamiento mismo se hagan efectivos los principios de la presente resolución. Además, también deberán aplicar dichas medidas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplica también a la cantidad de datos que han de tratarse, la extensión del tratamiento, el plazo de conservación de los datos y su accesibilidad. 17. Principio de precaución En caso de que no hubiera certeza acerca de los daños que podrían causarse al titular de los datos o a la sociedad con ocasión del tratamiento de los datos personales, y con miras a evitar que se produzca un daño grave e irreversible, el responsable o encargado del tratamiento deberá abstenerse de realizar dicho tratamiento o de adoptar medidas precautorias o preventivas para proteger los derechos del titular de los datos, su dignidad humana y otros derechos humanos. El principio de precaución también se aplica cuando el riesgo que se corra o la magnitud del daño producido o que pueda sobrevenir no son conocidos con anticipación, porque no hay manera de establecer, a mediano o largo plazo, los efectos que tendría el tratamiento de los datos. 18. Principio de favorabilidad o preeminencia En caso de duda sobre la interpretación y la aplicación de estos principios, prevalecerá la que sea más favorable al titular de los datos personales. 19. Principio de autorregulación El responsable del tratamiento podrá adherirse, de manera voluntaria, a esquemas de autorregulación vinculante, que tengan por objeto, entre otras cosas, contribuir a la correcta aplicación de estos principios y establecer 22/25 24-13146