La Evaluación de Impacto en la Protección de Datos (EIPD), conocida internacionalmente como DPIA (Data Protection Impact Assessment), es una herramienta del RGPD (Artículo 35) para evaluar y mitigar los riesgos que un tratamiento de datos personales puede suponer para los derechos y libertades de las personas. No es un simple trámite: es un análisis riguroso que la AEPD exige antes de iniciar tratamientos de alto riesgo.
¿Cuándo es obligatoria?
El RGPD exige una EIPD cuando un tratamiento probablemente suponga un alto riesgo para los derechos y libertades de las personas físicas. Esto incluye:
Casos automáticos (siempre obligatoria)
- Evaluación sistemática y exhaustiva de aspectos personales basada en tratamiento automatizado (incluida la elaboración de perfiles) que produzca efectos jurídicos o afecte significativamente a las personas
- Tratamiento a gran escala de categorías especiales de datos (salud, biometría, ideología, orientación sexual) o datos relativos a condenas penales
- Observación sistemática a gran escala de una zona de acceso público (videovigilancia masiva)
Lista de la AEPD
La AEPD publica listas de tratamientos que requieren o no EIPD en España; los ejemplos siguientes son indicios para evaluar el riesgo, no una transcripción de esas listas:
- Tratamientos que impliquen perfilado o scoring financiero
- Tratamientos de datos biométricos para identificación
- Tratamientos de geolocalización de empleados o clientes
- Tratamientos de datos de salud a gran escala
- Tratamientos de datos de menores a gran escala
- Tratamientos con tecnologías innovadoras (IA, IoT, blockchain para datos personales)
- Tratamientos que combinen múltiples fuentes de datos personales
Criterios de riesgo elevado
El Grupo de Trabajo del Artículo 29 (ahora EDPB) estableció 9 criterios. Dos criterios indican generalmente la necesidad de una EIPD; uno solo puede bastar según el contexto y las listas de la autoridad:
- Evaluación o scoring (incluido perfilado)
- Toma de decisiones automatizadas con efectos legales
- Monitorización sistemática
- Datos sensibles o de naturaleza altamente personal
- Datos tratados a gran escala
- Cruce o combinación de conjuntos de datos
- Datos de personas vulnerables (menores, empleados, pacientes)
- Uso innovador de tecnología
- Tratamientos que impiden ejercer un derecho o utilizar un servicio
Metodología paso a paso
Fase 1: Descripción del tratamiento
Documenta de forma exhaustiva:
- Naturaleza: cómo se recogen, almacenan y utilizan los datos
- Alcance: categorías de datos, volumen, ámbito geográfico
- Contexto: relación con los interesados, expectativas razonables
- Finalidad: objetivos del tratamiento
Fase 2: Evaluación de la necesidad y proporcionalidad
Verifica que el tratamiento es:
- Necesario: no existe alternativa menos intrusiva
- Proporcionado: los beneficios justifican la intrusión
- Tiene base legal: consentimiento, contrato, obligación legal, interés legítimo...
- Cumple los principios RGPD: minimización, exactitud, limitación temporal
Fase 3: Evaluación de riesgos
Para cada riesgo identificado, evalúa:
| Criterio | Escala | Descripción |
|---|---|---|
| Probabilidad | Baja / Media / Alta / Muy alta | ¿Qué tan probable es que ocurra? |
| Impacto | Bajo / Medio / Alto / Muy alto | ¿Qué consecuencias tendría para los interesados? |
Categorías de riesgos habituales:
- Acceso no autorizado a datos personales
- Modificación no autorizada de datos
- Pérdida de disponibilidad de datos
- Discriminación basada en perfilado
- Pérdida de control sobre datos personales
- Daño reputacional para los interesados
Fase 4: Medidas de mitigación
Para cada riesgo alto o muy alto, define medidas concretas:
RIESGO: Acceso no autorizado a datos de salud
- Probabilidad: Alta (datos en cloud, múltiples usuarios)
- Impacto: Muy alto (datos sensibles de pacientes)
MEDIDAS DE MITIGACIÓN:
1. Cifrado en tránsito (TLS 1.3) y en reposo (AES-256)
2. Autenticación multifactor obligatoria
3. Control de acceso por roles con principio de mínimo privilegio
4. Registro de auditoría de todos los accesos
5. Formación específica al personal autorizado
RIESGO RESIDUAL: Por evaluar después de aplicar realmente las medidas; no se presume aceptable.
Fase 5: Documentación y consulta
- Documenta todo el proceso y las decisiones tomadas
- Si el riesgo residual sigue siendo alto → consulta previa a la AEPD obligatoria (Art. 36)
- Obtén la opinión del DPD si tu organización tiene uno
- Si implica a empleados, considera consultar a los representantes de los trabajadores
Herramientas de la AEPD para la EIPD
La AEPD ofrece Evalúa-Riesgo RGPD para analizar si hace falta una EIPD y Gestiona RGPD como apoyo para gestionar riesgos y documentarla. Ninguna herramienta sustituye la evaluación del responsable:
- Describe el tratamiento mediante un formulario estructurado
- Identifica y evalúa tú mismo los riesgos para las personas
- Define medidas de mitigación verificables
- Documenta resultados, responsables y revisión
Es un buen punto de partida, especialmente para PYMES sin un DPD interno.
Errores comunes
Hacer la EIPD después de implementar el tratamiento. La EIPD es previa. Si ya has puesto en marcha el sistema, la evaluación pierde su sentido preventivo.
Evaluar solo riesgos técnicos. La EIPD debe cubrir también riesgos organizativos, legales y éticos.
No involucrar al DPD. Si tienes un DPD, su participación es obligatoria (Art. 35.2).
Considerar la EIPD como un ejercicio puntual. Si el tratamiento evoluciona (nuevos datos, nueva tecnología, nuevo proveedor), la EIPD debe revisarse.
No documentar las decisiones. "Lo evaluamos pero no lo escribimos" no vale ante la AEPD.
EIPD y tu sitio web
Tu sitio web puede requerir una EIPD si implementa:
- Sistemas de perfilado de usuarios (personalización basada en comportamiento)
- Análisis predictivo de clientes
- Tratamiento de datos biométricos (reconocimiento facial)
- Monitorización de empleados a través de herramientas web
- Procesamiento de datos de menores
WarDek aporta observaciones técnicas parciales sobre la URL escaneada; no determina el riesgo residual para las personas ni si la EIPD es obligatoria.
Escanea tu sitio web gratis con WarDek — OWASP, NIS2, RGPD, AI Act en un solo escaneo.