Evaluacion de impacto proteccion de datos EIPD: cuando es obligatoria

La evaluación de impacto protección de datos EIPD se ha convertido en una de las herramientas más importantes del RGPD para garantizar que los tratamientos de datos personales no supongan un riesgo excesivo para los derechos de los ciudadanos. Sin embargo, muchas empresas desconocen cuándo están obligadas a realizarla, qué debe incluir o cómo afrontar este análisis de forma correcta. Si tu organización maneja datos de clientes, empleados o usuarios, es fundamental que entiendas esta obligación antes de que la Agencia Española de Protección de Datos llame a tu puerta.

Qué es una evaluación de impacto en protección de datos

Una EIPD RGPD (también conocida como PIA por sus siglas en inglés, Privacy Impact Assessment) es un análisis previo que debe realizarse antes de llevar a cabo determinados tratamientos de datos personales. Su objetivo es identificar, evaluar y gestionar los riesgos que ese tratamiento puede suponer para los derechos y libertades de las personas físicas.

No se trata de un simple formulario o checklist. La evaluación de impacto protección de datos EIPD requiere un estudio detallado que incluya la descripción del tratamiento, su finalidad, la evaluación de su necesidad y proporcionalidad, el análisis de riesgos y las medidas previstas para mitigarlos.

El artículo 35 del RGPD establece esta obligación, que ha sido desarrollada en España por la LOPDGDD y las directrices de la AEPD. No realizarla cuando es obligatoria puede acarrear sanciones de hasta 10 millones de euros o el 2% de la facturación anual.

Cuándo hacer evaluación de impacto: supuestos obligatorios

La pregunta más frecuente es saber exactamente cuándo hacer evaluación de impacto. El RGPD establece que es obligatoria cuando el tratamiento entrañe un alto riesgo para los derechos y libertades de las personas. Pero, ¿cómo saber si tu caso entra en esta categoría?

Criterios generales del RGPD

El Reglamento indica que será obligatoria especialmente en estos casos:

• Evaluación sistemática y exhaustiva de aspectos personales basada en tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos o afecte significativamente a los interesados.
• Tratamiento a gran escala de categorías especiales de datos (salud, origen étnico, orientación sexual, datos biométricos, convicciones religiosas, etc.) o de datos relativos a condenas e infracciones penales.
• Observación sistemática a gran escala de una zona de acceso público, como la videovigilancia de espacios públicos o sistemas de reconocimiento facial.

Lista de la AEPD: supuestos específicos para España

La Agencia Española de Protección de Datos publicó una lista orientativa de tratamientos que requieren PIA protección de datos. Entre ellos destacan:

• Tratamientos que impliquen perfilado o segmentación de clientes a gran escala.
• Tratamientos de datos de geolocalización de forma continuada.
• Tratamientos que impliquen el uso de tecnologías invasivas como reconocimiento facial, huella dactilar o análisis de ADN.
• Tratamientos de datos de menores a gran escala con fines de marketing o perfilado.
• Tratamientos que combinen datos de múltiples fuentes de forma masiva.
• Uso de algoritmos de inteligencia artificial para tomar decisiones automatizadas.
• Tratamientos de datos de salud con fines distintos a la asistencia sanitaria directa.

Además, la AEPD establece que si un tratamiento cumple dos o más criterios de riesgo de los establecidos por el Comité Europeo de Protección de Datos, la EIPD será probablemente obligatoria. ¿No estás seguro de si tu empresa entra en alguno de estos supuestos? Consulta con nuestro equipo especializado para obtener una valoración personalizada.

Qué debe incluir una EIPD correctamente realizada

Una evaluación de impacto protección de datos EIPD completa debe contener, como mínimo, los siguientes elementos según el artículo 35.7 del RGPD:

1. Descripción sistemática del tratamiento: qué datos se tratan, cómo se recogen, quién tiene acceso, durante cuánto tiempo se conservan y a quién se comunican.
2. Evaluación de la necesidad y proporcionalidad: ¿es realmente necesario tratar esos datos para la finalidad perseguida? ¿Se podrían alcanzar los mismos objetivos con menos datos o datos menos sensibles?
3. Evaluación de los riesgos: identificación de amenazas, vulnerabilidades y potenciales impactos para los derechos de los interesados.
4. Medidas previstas: salvaguardas, medidas de seguridad y mecanismos para garantizar la protección de datos y demostrar la conformidad con el RGPD.

En función del resultado, puede ser necesario realizar una consulta previa a la AEPD si el riesgo residual sigue siendo alto tras aplicar las medidas correctoras.

Ejemplo práctico

Situación: Una clínica de fisioterapia con tres centros en Madrid decide implementar un nuevo sistema de gestión de pacientes en la nube. El software permite almacenar historiales clínicos, programar citas y enviar recordatorios automáticos por SMS y email. Además, incluye un módulo de fidelización que analiza la frecuencia de visitas para ofrecer promociones personalizadas.

Análisis: Este tratamiento combina varios factores de riesgo: datos de salud (categoría especial), tratamiento a escala considerable (tres centros, miles de pacientes), elaboración de perfiles para marketing y uso de servicios en la nube con posibles transferencias internacionales.

Conclusión: La clínica está obligada a realizar una EIPD RGPD antes de implementar el sistema. En el análisis deberá evaluar la seguridad del proveedor cloud, las garantías de transferencia internacional si los servidores están fuera del EEE, la base legal para el perfilado comercial y las medidas de seudonimización o cifrado aplicables.

Resultado: Tras la EIPD, se decide eliminar el módulo de perfilado comercial por no superar el análisis de proporcionalidad, se exige al proveedor certificación de cumplimiento y se implementa cifrado extremo a extremo para los historiales.

Errores frecuentes

En nuestra experiencia asesorando a empresas, estos son los errores más habituales relacionados con la evaluación de impacto protección de datos EIPD:

• Realizar la EIPD después de iniciar el tratamiento: El RGPD exige que se haga antes. Hacerla a posteriori no solo incumple la norma, sino que puede obligar a modificar o cancelar proyectos ya en marcha.
• Confundir la EIPD con el registro de actividades de tratamiento: Son documentos diferentes. El registro es obligatorio siempre; la EIPD solo en casos de alto riesgo. Una no sustituye a la otra.
• Usar plantillas genéricas sin adaptación: Cada tratamiento tiene sus particularidades. Una EIPD copiada de internet sin análisis real del caso concreto no cumple su función y no protege ante una inspección.
• No involucrar al Delegado de Protección de Datos: Si tu empresa tiene DPO (propio o externo), debe participar en la evaluación. Ignorar su criterio es un incumplimiento adicional.

Evitar estos errores es más sencillo cuando cuentas con asesoramiento especializado. Solicita una consulta sin compromiso y te ayudamos a determinar tus obligaciones.

Preguntas frecuentes

¿Todas las empresas están obligadas a hacer una EIPD?

No. La evaluación de impacto protección de datos EIPD solo es obligatoria cuando el tratamiento suponga un alto riesgo para los derechos de los interesados. Muchas pymes con tratamientos básicos (nóminas, facturación, CRM simple) no necesitan realizarla. Sin embargo, es recomendable hacer al menos un análisis de riesgos básico para documentar por qué no procede una EIPD completa.

¿Quién puede realizar una evaluación de impacto?

La responsabilidad recae sobre el responsable del tratamiento, pero puede delegarse en consultores especializados, el DPO o equipos internos con formación adecuada. Lo importante es que quien la realice tenga conocimientos suficientes en protección de datos y en el sector de actividad específico.

¿Cada cuánto tiempo hay que actualizar la EIPD?

No existe un plazo fijo, pero debe revisarse cuando cambien las circunstancias del tratamiento: nueva tecnología, ampliación del ámbito de datos, cambio de finalidad o modificaciones normativas relevantes. Como buena práctica, recomendamos una revisión anual de las EIPD existentes.

¿Qué ocurre si no hago la EIPD cuando es obligatoria?

La AEPD puede imponer sanciones de hasta 10 millones de euros o el 2% de la facturación global anual. Además, si el tratamiento causa daños a los interesados, la empresa será responsable civil. No realizar la EIPD también dificulta demostrar el cumplimiento del principio de responsabilidad proactiva del RGPD.

La EIPD como herramienta de cumplimiento proactivo