Privacidad · 2026-09-02 · 12 min

Evaluación de impacto en protección de datos: cuándo necesitas una EIPD y cómo prepararla

Necesitas una evaluación de impacto relativa a la protección de datos —EIPD o DPIA— antes de iniciar un tratamiento cuando, por su naturaleza, alcance, contexto o finalidad, sea probable que genere un alto riesgo para los derechos y libertades de las personas. No depende solo de usar inteligencia artificial ni de tratar muchos datos: hay que analizar la operación concreta. Perfilado con efectos relevantes, vigilancia sistemática, biometría, datos especialmente sensibles, personas vulnerables o combinación masiva de fuentes son señales que exigen detener el lanzamiento y documentar la decisión. Una EIPD útil no es una plantilla para archivar: demuestra por qué el tratamiento es necesario, qué puede salir mal, qué medidas reducen el riesgo y quién acepta el riesgo residual.

1. Qué es una EIPD y por qué debe empezar antes del desarrollo

El artículo 35 del RGPD sitúa la EIPD antes del tratamiento. Su objetivo es describir de forma sistemática la operación, evaluar necesidad y proporcionalidad, identificar riesgos para las personas y definir garantías y medidas para afrontarlos. Por eso llega tarde si el producto ya está desplegado, los contratos están firmados y la arquitectura no permite minimizar datos, limitar accesos o explicar decisiones.

El responsable del tratamiento conserva la obligación y la decisión final, aunque intervengan un proveedor tecnológico, un encargado o un consultor. Si existe delegado de protección de datos, debe recabarse su asesoramiento. Producto, seguridad, negocio y legal aportan hechos diferentes: una evaluación preparada solo por uno de ellos suele confundir lo que el sistema promete con lo que realmente hace.

La EIPD tampoco legitima por sí misma un tratamiento. Antes hay que definir finalidad, base jurídica, transparencia, minimización, plazos, destinatarios y ejercicio de derechos. Una medida técnica no convierte en necesario un uso que no supera el análisis de proporcionalidad.

2. Cuándo es obligatoria: alto riesgo, listas y análisis concreto

El criterio central es la probabilidad de alto riesgo para derechos y libertades. El RGPD menciona expresamente la evaluación sistemática y exhaustiva basada en tratamiento automatizado que produzca efectos jurídicos o afecte significativamente, el tratamiento a gran escala de categorías especiales de datos o datos sobre condenas, y la observación sistemática a gran escala de zonas de acceso público.

La AEPD mantiene listas de tratamientos que requieren EIPD y de supuestos orientativos que pueden no requerirla. Entre los criterios de la lista española aparecen, según el caso, perfilado o valoración, decisiones automatizadas relevantes, observación sistemática, datos sensibles o altamente personales, tratamiento a gran escala, asociación de bases de datos, personas vulnerables, uso innovador de tecnología y tratamientos que impiden ejercer un derecho o utilizar un servicio. La propia Agencia advierte que las listas son orientativas y no sustituyen el análisis del caso.

Como regla operativa, la concurrencia significativa de varios criterios es una alarma fuerte; no debe convertirse en una suma mecánica. Un único elemento puede bastar si la severidad y probabilidad justifican alto riesgo, y dos etiquetas formales no obligan si describen de manera engañosa un tratamiento de alcance reducido. Documenta siempre la conclusión, también cuando decides que no hace falta EIPD.

IA que clasifica candidatos, clientes, estudiantes o trabajadores
Biometría para identificar, controlar accesos o registrar presencia
Geolocalización o vigilancia sistemática de personas
Datos de salud, ideología, orientación, solvencia o colectivos vulnerables
Cruce de fuentes para inferir perfiles, preferencias o riesgo
Tecnología nueva cuyo impacto para las personas todavía es incierto

3. Haz un cribado de EIPD en cada nuevo producto o cambio relevante

Incorpora una puerta de decisión antes de comprar una herramienta, entrenar un modelo, activar analítica, instalar cámaras o reutilizar una base de datos. El cribado debe identificar responsable y encargados, personas afectadas, datos e inferencias, finalidad, escala, países, automatización, consecuencias, conservación y accesos. Añade un diagrama real del flujo: origen, transformaciones, proveedores, salidas y borrado.

No preguntes únicamente si el proveedor dice cumplir el RGPD. Pide documentación del servicio, subencargados, localización, seguridad, conservación, entrenamiento con datos, controles de administrador y soporte para derechos. El responsable necesita hechos suficientes para evaluar su propio uso, que puede ser más arriesgado que el producto estándar.

El resultado del cribado debe ser una de tres decisiones registradas: no procede EIPD con motivación y fecha de revisión; procede EIPD antes de continuar; o faltan datos y el lanzamiento queda bloqueado. Un semáforo sin evidencia no demuestra responsabilidad activa.

4. Qué debe contener una EIPD defendible

La AEPD resume los mínimos del artículo 35.7: descripción sistemática, necesidad y proporcionalidad, riesgos y medidas previstas. En la práctica, cada conclusión debe poder conectarse con una fuente: especificación técnica, contrato, prueba, política, decisión del responsable o evidencia del proveedor. Separa hechos confirmados, hipótesis y campos pendientes.

La necesidad pregunta si el tratamiento contribuye realmente a una finalidad determinada. La proporcionalidad obliga a comparar alternativas menos intrusivas, volumen de datos, frecuencia, plazo y consecuencias. El riesgo se valora desde la perspectiva de la persona, no solo desde el coste reputacional para la empresa: discriminación, exclusión, vigilancia, pérdida de control, fraude, daño económico, revelación o imposibilidad de impugnar una decisión.

Para cada escenario registra causa, impacto, probabilidad, controles existentes, medidas adicionales, responsable, fecha y riesgo residual. Una lista de medidas genéricas como cifrado y acceso restringido no sirve si no explica dónde se aplican, quién las gestiona y cómo se comprueba su eficacia.

Alcance, contexto, finalidad y ciclo de vida completo de los datos
Base jurídica, información, derechos y responsabilidades entre partes
Necesidad, proporcionalidad y alternativas descartadas
Amenazas y consecuencias para cada colectivo afectado
Medidas técnicas, organizativas y contractuales verificables
Riesgo residual, aprobaciones, plan de acción y próxima revisión

5. IA, biometría y perfilado: coordina evaluaciones sin duplicarlas

Un proyecto de IA puede necesitar inventario y clasificación conforme al Reglamento de IA, análisis de protección de datos, EIPD y controles contractuales. Son piezas relacionadas, pero no equivalentes. La clasificación del sistema de IA no decide automáticamente si el tratamiento de datos personales entraña alto riesgo, y una EIPD no cubre por sí sola todas las obligaciones del Reglamento de IA.

Reutiliza evidencia común —finalidad, datos, modelo, personas, decisiones, proveedores, pruebas, supervisión y logs— y conserva conclusiones separadas. Comprueba datos de entrenamiento e inferencia, categorías derivadas, exactitud, sesgos relevantes, posibilidad de intervención humana y vías de impugnación. Si se usa biometría, identifica con precisión si hay verificación, identificación, categorización u otra función: el riesgo cambia con el propósito y el contexto.

La revisión humana debe ser real. Si quien valida recibe una recomendación sin información, tiempo ni autoridad para contradecirla, no conviertas ese gesto en una garantía sobre el papel.

6. Qué ocurre si queda un alto riesgo que no puedes mitigar

Si la EIPD muestra que el tratamiento entrañaría un alto riesgo y el responsable no puede adoptar medidas suficientes para reducirlo, el artículo 36 del RGPD exige consultar a la autoridad de control antes de tratar. La AEPD aclara que la consulta previa no es un servicio de asesoramiento general ni una aprobación del proyecto; se centra en los riesgos que no han podido identificarse o mitigarse suficientemente.

No uses la consulta para suplir un expediente incompleto. Antes deben estar definidos el tratamiento, responsabilidades, medidas, riesgo residual y documentación exigida. Tampoco lances mientras esperas si el supuesto requiere consulta previa: la secuencia legal es anterior al tratamiento.

7. Errores que convierten la EIPD en un documento inútil

El error más frecuente es empezar desde una plantilla cerrada y adaptar el proyecto a sus casillas. También fallan las evaluaciones que describen el producto comercial, pero no su configuración real; aceptan declaraciones del proveedor sin comprobarlas; confunden riesgo de seguridad con todo el riesgo para derechos; o declaran riesgo bajo sin explicar probabilidad y severidad.

Otro problema es tratar la firma como final del proceso. La AEPD recuerda que la EIPD es mejora continua: debe revisarse cuando cambian fines, medios, datos, escala, proveedores, amenazas o experiencia del tratamiento. Incluso si el cambio no resulta significativo, conviene registrar la valoración y la razón por la que no exige nuevas medidas.

Copiar una EIPD de otro proyecto o cliente
Evaluar después del lanzamiento
Ocultar campos pendientes bajo conclusiones genéricas
No relacionar riesgos con controles y evidencias
Olvidar subencargados, transferencias y borrado
No asignar responsables ni revisar cambios posteriores

8. Plan práctico para preparar una EIPD sin frenar el negocio

Empieza con una sesión corta de producto, legal, seguridad y negocio para dibujar el flujo y separar hechos de dudas. En 48 horas deberías tener inventario inicial, responsables, documentación que falta y decisión de cribado. Si procede EIPD, trabaja por riesgos y decisiones, no por capítulos aislados: cada medida aprobada debe volver al roadmap, al contrato o a la configuración.

Antes de autorizar el lanzamiento, verifica que las medidas estén implementadas, que el riesgo residual tenga un propietario y que existan evidencias de prueba. Programa revisión por fecha y por evento: nuevo proveedor, nuevo país, ampliación de datos, cambio de finalidad, nueva versión del modelo o incidencia significativa.

ATLAN LEGAL puede ordenar el cribado, la evidencia y el informe, coordinar privacidad con contratos e IA y dejar los puntos críticos listos para validación profesional. El objetivo no es producir más papel, sino permitir una decisión de lanzamiento trazable y corregir el diseño antes de que el riesgo llegue al usuario.

Preguntas frecuentes

¿Cuándo es obligatoria una evaluación de impacto en protección de datos?

Antes de iniciar un tratamiento cuando sea probable que, por su naturaleza, alcance, contexto o fines, entrañe alto riesgo para derechos y libertades. Deben revisarse el artículo 35 del RGPD, las listas de la AEPD y las circunstancias concretas; no existe una respuesta válida basada solo en el nombre de la tecnología.

¿Toda inteligencia artificial necesita una EIPD?

No. Debe existir tratamiento de datos personales y una probabilidad de alto riesgo en el uso concreto. Perfilado relevante, decisiones automatizadas, datos sensibles, escala, personas vulnerables o tecnología innovadora pueden hacerla necesaria. El análisis del Reglamento de IA y la EIPD se coordinan, pero no se sustituyen.

¿Quién debe realizar y aprobar la EIPD?

El responsable del tratamiento responde de que se realice y de la decisión. Debe recabar el asesoramiento del delegado de protección de datos si está designado y necesita información de producto, seguridad, proveedores y negocio. Un consultor puede preparar el trabajo, pero no sustituye la responsabilidad del responsable.

¿Qué información mínima debe contener?

Descripción sistemática del tratamiento, evaluación de necesidad y proporcionalidad, evaluación de riesgos para las personas y medidas previstas para afrontar esos riesgos, incluidas garantías, seguridad y mecanismos de protección. Debe añadir responsables, evidencias, riesgo residual y revisión para que resulte operativa.

¿Cuándo hay que consultar a la AEPD?

Antes de tratar cuando la EIPD muestre un alto riesgo que el responsable no pueda mitigar suficientemente. La consulta previa no sirve para obtener asesoramiento general ni constituye una aprobación del tratamiento.

¿Una EIPD se hace una sola vez?

No. Debe revisarse cuando cambien aspectos relevantes del tratamiento o aparezcan amenazas y riesgos nuevos. Si un cambio no es significativo, también conviene documentar la valoración y por qué no exige controles adicionales.

Fuentes y referencias

Evaluar si mi proyecto necesita una EIPD

Describe el producto, las personas afectadas y los datos utilizados. ATLAN preparará el cribado, el mapa de riesgos y las decisiones pendientes para validación profesional.

Hablar con el equipo

Contenido informativo general. No sustituye el análisis de hechos, jurisdicción y documentación por un abogado.