Evaluacion de impacto EIPD: cuando es obligatoria y como hacerla

Tratar datos personales implica responsabilidades concretas. Y cuando ese tratamiento puede suponer un alto riesgo para los derechos de las personas, el RGPD exige algo mas que medidas generales: obliga a realizar una evaluacion de impacto en proteccion de datos (EIPD). Este analisis previo no es un simple tramite burocratico. Es una herramienta clave para identificar riesgos, aplicar medidas preventivas y demostrar cumplimiento ante la AEPD. Si no sabes si tu empresa debe hacerla, sigue leyendo.

Que es una evaluacion de impacto en proteccion de datos

La EIPD es un proceso sistematico que permite evaluar los riesgos que un tratamiento de datos puede generar sobre la privacidad de las personas afectadas. Esta regulada en el articulo 35 del RGPD y desarrollada por la LOPDGDD en el contexto espanol.

Su objetivo no es solo cumplir la norma, sino anticiparse a problemas. La EIPD obliga a reflexionar sobre la necesidad del tratamiento, su proporcionalidad y las garantias que se aplicaran para minimizar riesgos.

Cuando es obligatoria la EIPD segun el RGPD

El RGPD establece que la evaluacion de impacto es obligatoria cuando un tratamiento puede entrañar un alto riesgo para los derechos y libertades de las personas. La AEPD ha publicado listados orientativos que concretan estos supuestos en Espana.

Supuestos en los que siempre debes hacerla

• Evaluacion sistematica de aspectos personales mediante perfilado o decisiones automatizadas.
• Tratamiento a gran escala de categorias especiales de datos (salud, biometricos, geneticos, ideologia).
• Observacion sistematica a gran escala de zonas de acceso publico (videovigilancia masiva).
• Uso de nuevas tecnologias que puedan suponer alto riesgo.
• Tratamientos que impidan ejercer derechos o acceder a servicios.

Criterios adicionales de la AEPD

La Agencia Espanola de Proteccion de Datos considera que, si un tratamiento cumple dos o mas de estos criterios, probablemente requiere EIPD:

• Datos de personas vulnerables (menores, empleados, pacientes).
• Tratamientos innovadores o con tecnologias emergentes.
• Transferencias internacionales fuera del EEE.
• Tratamientos que limiten derechos fundamentales.
• Cruce o combinacion de conjuntos de datos.

Si tu actividad encaja en alguno de estos escenarios, es recomendable que revises tu situacion. Un buen punto de partida es consultar nuestra Checklist RGPD 2026: 20 puntos que toda empresa debe verificar para identificar posibles carencias.

Como hacer una evaluacion de impacto paso a paso

La EIPD sigue una metodologia estructurada. Aunque puede adaptarse a cada organizacion, debe contener elementos esenciales para ser valida.

1. Descripcion del tratamiento

Documenta de forma clara que datos tratas, con que finalidad, cual es la base legitimadora, quienes son los destinatarios y durante cuanto tiempo conservas la informacion.

2. Evaluacion de la necesidad y proporcionalidad

Analiza si el tratamiento es realmente necesario para la finalidad prevista. Valora si existen alternativas menos intrusivas y si los datos recogidos son los minimos imprescindibles.

3. Identificacion y evaluacion de riesgos

Detecta los posibles riesgos para los derechos de los interesados: accesos no autorizados, perdida de datos, discriminacion, limitacion de derechos. Valora su probabilidad e impacto.

4. Medidas para mitigar los riesgos

Define las garantias tecnicas y organizativas que aplicaras: cifrado, seudonimizacion, controles de acceso, formacion del personal, politicas internas. Cada riesgo identificado debe tener una respuesta.

5. Documentacion y revision periodica

La EIPD debe quedar documentada y disponible para la AEPD si la solicita. Ademas, no es un documento estatico: revisala cuando cambien las circunstancias del tratamiento.

Quien debe participar en la EIPD

La responsabilidad recae en el responsable del tratamiento. Sin embargo, es recomendable involucrar a otros perfiles:

• Delegado de Proteccion de Datos (DPO), si existe, debe asesorar y supervisar.
• Responsables de los departamentos implicados en el tratamiento.
• Personal tecnico que conozca los sistemas utilizados.

En tratamientos complejos, contar con asesoria especializada externa puede marcar la diferencia entre un analisis superficial y una evaluacion solida.

Consecuencias de no realizar la EIPD cuando es obligatoria

Omitir una evaluacion de impacto obligatoria constituye una infraccion grave segun la LOPDGDD. Las sanciones pueden alcanzar los 10 millones de euros o el 2% de la facturacion anual. Pero mas alla de la multa, supone un riesgo reputacional y operativo considerable.

Ademas, si tu web recoge datos a traves de formularios o cookies, asegurate de cumplir tambien con la normativa sobre consentimiento. Puedes revisar los requisitos actualizados en nuestro articulo sobre Politica de cookies 2026: que debe incluir y como gestionarlas.

Prepara tu empresa para el cumplimiento real

La evaluacion de impacto en proteccion de datos no es solo una exigencia legal: es una oportunidad para demostrar compromiso con la privacidad y evitar problemas futuros. Si tu actividad implica tratamientos de riesgo, actuar de forma preventiva te ahorrara sanciones y reforzara la confianza de tus clientes.

¿No tienes claro si tu empresa necesita realizar una EIPD o como abordarla correctamente? Consulta si necesitas una EIPD y resuelve tus dudas con profesionales especializados en proteccion de datos.