La Evaluación de Impacto en Protección de Datos (EIPD) es una de las herramientas más importantes y peor entendidas del RGPD. No es papeleo: es el análisis previo que obliga a una organización a pararse a pensar, antes de lanzar un tratamiento de riesgo, qué puede salir mal para las personas y cómo evitarlo. Esta guía explica qué es exactamente la EIPD, cuándo es obligatoria, cómo se estructura, quién la hace y qué ocurre cuando el riesgo sigue siendo alto después del análisis.
En 15 segundos
- La EIPD es el análisis previo de riesgo que exige el art. 35 RGPD antes de un tratamiento de alto riesgo.
- Es obligatoria, como mínimo, en los tres supuestos del art. 35.3 (perfilado con decisiones, gran escala de datos del art. 9, observación de zonas públicas).
- La AEPD publica una lista de tratamientos que requieren EIPD; hay que consultarla caso por caso.
- La hace el responsable, con el asesoramiento del DPD (art. 35.2 y art. 39). Si el riesgo residual sigue alto, procede consulta previa a la AEPD (art. 36).
¿Qué es la Evaluación de Impacto en Protección de Datos?
La Evaluación de Impacto relativa a la Protección de Datos —EIPD, o DPIA por sus siglas en inglés (Data Protection Impact Assessment)— es el proceso, previsto en el art. 35 del RGPD, por el que el responsable analiza, antes de poner en marcha un tratamiento que probablemente entrañe un alto riesgo, cómo puede afectar ese tratamiento a los derechos y libertades de las personas y qué medidas lo reducen a un nivel aceptable.
No conviene verla como un formulario que se rellena, sino como una herramienta de decisión. La EIPD obliga a mirar el tratamiento de frente y responder a preguntas incómodas: ¿de verdad necesitamos todos estos datos?, ¿hay una forma menos invasiva de conseguir el mismo fin?, ¿qué pasa si esta base de datos se filtra o se usa para algo distinto de lo previsto? Es la materialización práctica de dos principios del RGPD: la protección de datos desde el diseño y por defecto (art. 25) y el enfoque basado en el riesgo que recorre todo el Reglamento.
El propio art. 35.7 fija el contenido mínimo de la evaluación. Toda EIPD debe incluir, al menos, cuatro elementos:
- Una descripción sistemática de las operaciones de tratamiento previstas y de sus fines.
- Una evaluación de la necesidad y la proporcionalidad de las operaciones respecto de su finalidad.
- Una evaluación de los riesgos para los derechos y libertades de los interesados.
- Las medidas previstas para afrontar esos riesgos: garantías, medidas de seguridad y mecanismos que aseguren la protección de los datos.
Es importante situar la EIPD en su sitio. No es una base de legitimación ni un permiso: no convierte en lícito un tratamiento que no lo sería. Es un análisis de riesgo. Un tratamiento necesita siempre una base jurídica válida del art. 6 (y del art. 9 si hay categorías especiales); la EIPD documenta cómo se gestiona su riesgo, no sustituye a esa base. Confundir ambas cosas —creer que "hacer una EIPD" legitima por sí solo cualquier tratamiento intrusivo— es uno de los errores más frecuentes y más peligrosos.
¿Cuándo es obligatoria una EIPD?
La regla general del art. 35.1 RGPD es que la EIPD es obligatoria cuando un tipo de tratamiento, en particular si utiliza nuevas tecnologías, probablemente entrañe un alto riesgo para los derechos y libertades de las personas físicas, teniendo en cuenta su naturaleza, alcance, contexto y fines.
Sobre esa regla general, el art. 35.3 concreta tres supuestos en los que la evaluación se requiere en particular. No son una lista cerrada, sino los casos que el legislador consideró de riesgo evidente:
| Supuesto (art. 35.3) | En qué consiste |
|---|---|
| a) Perfilado con decisiones | Evaluación sistemática y exhaustiva de aspectos personales basada en un tratamiento automatizado, incluida la elaboración de perfiles, sobre cuya base se toman decisiones que producen efectos jurídicos para las personas o les afectan significativamente de modo similar. |
| b) Gran escala de datos sensibles | Tratamiento a gran escala de categorías especiales de datos (art. 9: salud, biometría, ideología, afiliación sindical, orientación sexual, etc.) o de datos relativos a condenas e infracciones penales (art. 10). |
| c) Zonas públicas | Observación sistemática a gran escala de una zona de acceso público (por ejemplo, sistemas de videovigilancia extensivos de espacios públicos). |
A estos tres supuestos legales se añade una herramienta práctica de referencia: el art. 35.4 encarga a cada autoridad de control publicar una lista de los tipos de tratamiento que requieren una EIPD. En España, la AEPD publica esa lista, que recoge criterios y combinaciones de factores de riesgo que, por sí solos o sumados, activan la obligación de evaluar. Es una referencia de consulta obligada al valorar un tratamiento: la organización debe contrastar su actividad concreta con esos criterios, sin dar por hecho que "no le aplica" solo porque no encaje literalmente en uno de los tres supuestos del art. 35.3.
En la práctica, la pregunta operativa no es "¿estoy en la lista?", sino "¿mi tratamiento acumula factores de riesgo?". Cuantos más de estos elementos concurran —perfilado, datos sensibles, gran volumen, personas vulnerables, tecnología novedosa, combinación de fuentes de datos, decisiones automatizadas—, más clara es la obligación de realizar la evaluación.
Una advertencia sobre la biometría
Los datos biométricos destinados a identificar de manera unívoca a una persona son categoría especial (art. 9) y su tratamiento a gran escala activa la obligación de EIPD. Conviene ser claro para evitar un malentendido extendido: la EIPD no legitima por sí sola el uso de biometría. El criterio de la AEPD sobre el uso de datos biométricos —por ejemplo, para el control de presencia o el acceso a instalaciones— es estricto, y una evaluación de impacto no es un atajo que convierta en lícito lo que no supera el juicio de necesidad y proporcionalidad. La EIPD mide el riesgo; no crea la base jurídica que el tratamiento sigue necesitando.
Las fases de una EIPD
El RGPD fija el contenido de la evaluación (art. 35.7), pero no impone un formulario único. En la práctica, una EIPD bien hecha recorre de forma ordenada una serie de fases que traducen ese contenido mínimo en un trabajo estructurado. Estas son las etapas habituales:
1. Descripción del tratamiento
Documentar de forma sistemática qué se va a hacer: qué datos se tratan, de qué personas, con qué finalidad, con qué base jurídica, quién accede, qué encargados intervienen (art. 28), qué flujos y transferencias hay y durante cuánto tiempo se conservan. Sin una descripción precisa, el resto del análisis se apoya en el aire.
2. Análisis de necesidad y proporcionalidad
Comprobar que el tratamiento es necesario para su fin y proporcionado: que no hay una alternativa menos invasiva, que se aplica la minimización de datos, que las conservaciones son ajustadas y que se garantizan los derechos de los interesados y el deber de información (art. 13). Aquí es donde muchos proyectos descubren que estaban pidiendo más datos de los que realmente necesitaban.
3. Identificación y evaluación de los riesgos
Valorar qué amenazas pesan sobre los derechos y libertades de las personas —accesos no autorizados, usos incompatibles con la finalidad, pérdida o alteración de datos, decisiones erróneas derivadas de un perfil— y estimar su probabilidad e impacto. El resultado es un mapa de riesgos priorizado, no una intuición.
4. Medidas de mitigación y decisión
Definir las garantías y medidas técnicas y organizativas que reducen cada riesgo a un nivel aceptable (seudonimización, cifrado, control de accesos por rol, minimización, revisión humana de decisiones automatizadas, etc.) y valorar el riesgo residual que queda tras aplicarlas. Con ese resultado el responsable decide: seguir adelante, rediseñar el tratamiento o, si el riesgo residual sigue siendo alto, elevar una consulta previa a la AEPD.
La EIPD no es un documento que se firma y se archiva. El art. 35.11 prevé su revisión cuando cambie el riesgo del tratamiento. Si se incorpora una tecnología nueva, se amplía la finalidad o cambia el volumen de datos, la evaluación debe revisarse para que siga reflejando la realidad.
Quién hace la EIPD: el responsable y el DPD
La titularidad de la EIPD es inequívoca: la realiza el responsable del tratamiento (art. 35.1 RGPD). Es quien decide sobre el tratamiento y, por tanto, quien debe evaluarlo y asumir sus conclusiones. Esta responsabilidad no se puede delegar: se puede pedir apoyo técnico o jurídico externo para elaborarla, pero la decisión final y la rendición de cuentas siguen siendo del responsable.
Cuando la organización tiene Delegado de Protección de Datos, el responsable está obligado a recabar su asesoramiento al realizar la evaluación (art. 35.2 RGPD). Y no es casual: entre las funciones del DPD, el art. 39.1 RGPD incluye expresamente ofrecer asesoramiento sobre la EIPD y supervisar su aplicación. El reparto de papeles es claro:
- El responsable decide el tratamiento, realiza la evaluación, adopta las medidas y responde de todo ello.
- El DPD asesora sobre cómo hacer la EIPD, sobre la metodología y sobre las medidas, y supervisa que la evaluación se aplique correctamente. Asesora y vigila; no sustituye al responsable en la decisión.
Cuando el tratamiento se apoya en un encargado (un software en la nube, un proveedor tecnológico), la EIPD también se nutre de la información que ese encargado facilita sobre sus medidas de seguridad. El encargado tiene el deber de asistir al responsable en el cumplimiento de sus obligaciones, incluida la evaluación de impacto, en virtud del art. 28.3.f RGPD.
"Una EIPD bien hecha suele ahorrar más de lo que cuesta: obliga a rediseñar el tratamiento antes de lanzarlo, no después de una brecha. El problema no es el que la hace y descubre que debe cambiar algo; es el que no la hace y descubre el riesgo cuando ya no tiene remedio."
Mario P. Talamillo · Socio director, Certix®
Consulta previa a la AEPD: cuando el riesgo sigue siendo alto
La EIPD puede terminar de dos maneras. Lo habitual es que, tras aplicar las medidas de mitigación, el riesgo residual quede en un nivel aceptable y el responsable pueda iniciar el tratamiento documentando la evaluación. Pero hay un segundo escenario, mucho menos frecuente y regulado de forma específica.
Si la evaluación concluye que, incluso con las medidas previstas, el tratamiento seguiría entrañando un alto riesgo residual, el responsable no puede sencillamente asumirlo y seguir adelante. El art. 36 RGPD le obliga a realizar una consulta previa a la autoridad de control —la AEPD en España— antes de iniciar el tratamiento.
En esa consulta, el responsable facilita a la AEPD la información relevante sobre el tratamiento y la propia evaluación de impacto. La autoridad puede pedir información adicional y, si considera que el tratamiento infringiría el Reglamento, formular por escrito recomendaciones al responsable e incluso ejercer sus poderes correctivos. La consecuencia práctica es directa: el tratamiento no debe ponerse en marcha mientras la consulta esté pendiente de resolución.
Conviene entender la consulta previa como lo que es: no un trámite burocrático más, sino una válvula de seguridad del sistema. Se activa solo cuando la propia organización, tras analizarlo, no ha conseguido reducir el riesgo a un nivel razonable. Si se llega a ese punto con frecuencia, normalmente la señal no es que "haya que consultar mucho", sino que el diseño del tratamiento debería replantearse.
Checklist antes de empezar
Antes de dar por cerrada la fase de análisis de un tratamiento de riesgo, conviene comprobar estos puntos:
- ✅ ¿He contrastado el tratamiento con los tres supuestos del art. 35.3 y con la lista de tratamientos de la AEPD?
- ✅ ¿He descrito el tratamiento de forma sistemática: datos, finalidades, base jurídica, encargados, flujos, plazos?
- ✅ ¿He justificado la necesidad y la proporcionalidad, aplicando de verdad la minimización de datos?
- ✅ ¿He identificado los riesgos para los derechos de las personas y estimado su probabilidad e impacto?
- ✅ ¿He definido medidas concretas de mitigación y valorado el riesgo residual que queda tras aplicarlas?
- ✅ ¿He recabado el asesoramiento del DPD (si la organización lo tiene) y dejado constancia de ello?
- ✅ ¿He verificado si procede consulta previa a la AEPD (art. 36) por alto riesgo residual?
- ✅ ¿He previsto la revisión de la evaluación si el tratamiento cambia (art. 35.11)?
Preguntas frecuentes
¿Qué es una EIPD y para qué sirve?
La Evaluación de Impacto relativa a la Protección de Datos (EIPD, o DPIA en inglés) es el análisis previo que exige el art. 35 RGPD cuando un tratamiento puede entrañar un alto riesgo para los derechos y libertades de las personas. Sirve para describir el tratamiento, valorar su necesidad y proporcionalidad, identificar los riesgos y definir las medidas que los reducen antes de poner en marcha la actividad. Es un documento interno de análisis y decisión del responsable, no un trámite que se presente ante nadie.
¿Cuándo es obligatorio hacer una Evaluación de Impacto?
El art. 35.3 RGPD la exige, como mínimo, en tres supuestos: evaluación sistemática y exhaustiva de aspectos personales basada en tratamiento automatizado (incluida la elaboración de perfiles) que sirva de base a decisiones con efectos jurídicos o similares; tratamiento a gran escala de categorías especiales (art. 9) o de datos penales (art. 10); y observación sistemática a gran escala de una zona de acceso público. Además, la AEPD publica una lista de tipos de tratamiento que requieren EIPD, que hay que consultar caso por caso.
¿Quién debe hacer la EIPD, el responsable o el DPD?
La responsabilidad de realizar la EIPD es del responsable del tratamiento (art. 35.1 RGPD). Cuando la organización tiene Delegado de Protección de Datos, el responsable está obligado a recabar su asesoramiento (art. 35.2), y una de las funciones del DPD es precisamente asesorar sobre la evaluación y supervisar su aplicación (art. 39.1 RGPD). El DPD asesora y supervisa; la decisión y la titularidad del documento siguen siendo del responsable.
¿Qué pasa si tras la EIPD el riesgo sigue siendo alto?
Si la EIPD concluye que, incluso aplicando las medidas de mitigación previstas, el tratamiento seguiría entrañando un alto riesgo residual, el responsable debe realizar una consulta previa a la autoridad de control (la AEPD en España) antes de iniciar el tratamiento, conforme al art. 36 RGPD. La AEPD puede requerir información adicional y formular recomendaciones. El tratamiento no debe ponerse en marcha hasta resolver esa consulta.
Cómo Certix te acompaña en la EIPD
La Evaluación de Impacto es uno de los trabajos donde más se nota la diferencia entre rellenar una plantilla y hacer un análisis real. Una EIPD copiada de un modelo genérico no describe tu tratamiento, no identifica tus riesgos y no te protege: solo genera un documento que aparenta cumplimiento. El valor de la evaluación está precisamente en el análisis concreto de lo que tu organización hace con los datos.
En Certix realizamos la Evaluación de Impacto partiendo de tu tratamiento real: describimos las operaciones, analizamos su necesidad y proporcionalidad, mapeamos los riesgos y definimos las medidas que los reducen, con el asesoramiento del Delegado de Protección de Datos cuando existe esa figura. Y valoramos, con criterio, si el caso exige elevar una consulta previa a la AEPD antes de arrancar.
Si quieres entender el marco general en el que se inserta la EIPD, puedes empezar por nuestra guía completa del RGPD. Y si tu organización debe designar o apoyarse en un DPD para estas evaluaciones, revisa cómo funciona la figura del Delegado de Protección de Datos.
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado.
¿Tu tratamiento necesita una Evaluación de Impacto?
En Certix analizamos si tu caso exige una EIPD y la realizamos a partir de tu actividad real, no de una plantilla genérica.
Hablar con un consultor