La EIPD no es un trámite más: es una herramienta para anticipar riesgos
Una de las dudas más frecuentes en protección de datos es cuándo resulta obligatorio realizar una Evaluación de Impacto en Protección de Datos, conocida como EIPD. Muchas empresas piensan que solo afecta a grandes organizaciones o a tratamientos muy excepcionales. Otras creen, erróneamente, que si ya cuentan con consentimiento o con medidas de seguridad, la EIPD deja de ser necesaria.
No es así.
La EIPD está regulada en el RGPD y forma parte del enfoque de responsabilidad proactiva. Su finalidad es identificar, analizar y reducir los riesgos que un tratamiento de datos personales puede generar para los derechos y libertades de las personas. No se trata solo de un documento. Es un proceso de análisis preventivo que ayuda a decidir si el tratamiento es necesario, proporcional y suficientemente seguro.
La LOPDGDD, en el contexto español, se integra con este marco y refuerza la lógica de prevención, análisis del riesgo y protección efectiva de los datos personales.
Qué es una EIPD
La Evaluación de Impacto en Protección de Datos es un análisis previo que debe realizarse antes de poner en marcha un tratamiento cuando ese tratamiento pueda implicar un alto riesgo para las personas.
Su objetivo es responder preguntas esenciales:
- qué datos se van a tratar;
- para qué finalidades;
- con qué base jurídica;
- qué riesgos existen para las personas afectadas;
- si el tratamiento es necesario y proporcionado;
- qué medidas técnicas y organizativas deben aplicarse;
- si el riesgo residual sigue siendo alto tras aplicar medidas.
La EIPD no reemplaza otras obligaciones del RGPD. Más bien las complementa. Se relaciona con el registro de actividades, la privacidad desde el diseño, la seguridad de la información, la gestión de proveedores y, en determinados casos, con la consulta previa a la autoridad de control.
Cuándo es obligatoria
La regla general es clara: la EIPD es obligatoria cuando un tratamiento puede entrañar un alto riesgo para los derechos y libertades de las personas físicas.
Esto significa que no se exige en todos los tratamientos, pero sí en aquellos que, por su naturaleza, alcance, contexto o fines, pueden afectar de forma significativa a la privacidad, la confidencialidad, la autonomía o la esfera personal de las personas.
Supuestos típicos en los que suele existir obligación
Aunque cada caso debe analizarse individualmente, la EIPD suele ser obligatoria, o al menos muy probable, en tratamientos como estos:
- elaboración de perfiles y evaluación sistemática de personas;
- decisiones automatizadas con efectos jurídicos o relevantes;
- tratamiento a gran escala de categorías especiales de datos, como salud, biometría o datos especialmente sensibles;
- tratamiento de datos relativos a infracciones o condenas penales en determinados contextos;
- observación sistemática de personas;
- videovigilancia intensiva o monitorización amplia de espacios;
- geolocalización continua o intensa;
- uso de datos biométricos para identificar personas;
- tratamientos a gran escala de datos de clientes, usuarios, pacientes, alumnos o empleados;
- tratamientos de datos de menores en entornos especialmente sensibles;
- uso de tecnologías nuevas o innovadoras que puedan generar riesgos relevantes;
- combinación o cruce masivo de bases de datos;
- tratamientos que limiten el acceso a servicios o condicionen decisiones relevantes sobre personas.
La clave no es solo el tipo de dato, sino el riesgo
Un error habitual es pensar que la EIPD solo es obligatoria cuando se tratan datos especialmente sensibles. Es cierto que esos datos aumentan el riesgo, pero no son el único criterio.
La obligación depende del riesgo real para las personas. Ese riesgo puede surgir por varios factores:
- volumen de datos;
- número de afectados;
- duración del tratamiento;
- intensidad del seguimiento;
- desequilibrio entre empresa y persona afectada;
- tecnología empleada;
- posibilidad de discriminación, exclusión o perjuicio económico;
- afectación a colectivos vulnerables.
Por eso, un tratamiento aparentemente “normal” puede requerir EIPD si se realiza de forma intensiva, masiva o con fuerte capacidad de impacto sobre las personas.
La base de legitimación no evita la EIPD
Otro error frecuente es creer que, si el tratamiento tiene una base jurídica válida, ya no hace falta EIPD.
No es correcto.
El tratamiento puede estar legitimado por:
- consentimiento;
- ejecución de un contrato;
- cumplimiento de una obligación legal;
- interés legítimo;
- interés vital;
- misión realizada en interés público.
Pero ninguna de estas bases elimina por sí sola la necesidad de hacer una EIPD si existe alto riesgo.
Por ejemplo, una empresa puede tratar datos biométricos con una justificación legal o contractual, pero aun así necesitar una EIPD por el nivel de riesgo asociado. Lo mismo puede ocurrir con videovigilancia, geolocalización o scoring automatizado.
Qué debe analizar una EIPD
Una EIPD bien realizada debe incluir, al menos, estos elementos:
- descripción del tratamiento previsto;
- finalidades perseguidas;
- análisis de necesidad del tratamiento;
- análisis de proporcionalidad;
- identificación de riesgos para las personas;
- medidas previstas para reducir o mitigar esos riesgos;
- garantías aplicables;
- valoración del riesgo residual.
Necesidad y proporcionalidad
Este punto es especialmente importante. La empresa debe preguntarse:
- ¿realmente necesita tratar esos datos?
- ¿puede conseguir la finalidad con menos datos?
- ¿el tratamiento es adecuado o resulta excesivo?
- ¿hay una alternativa menos invasiva?
- ¿la medida es equilibrada respecto al impacto sobre la persona?
Aquí se conecta la EIPD con el principio de minimización, la privacidad desde el diseño y la proporcionalidad. No basta con que algo sea técnicamente posible o útil para la empresa. Debe ser jurídicamente justificable y respetuoso con los derechos de las personas.
Relación entre EIPD y seguridad de la información
La EIPD no es solo un análisis legal. También tiene una dimensión técnica y organizativa.
Debe valorar si las medidas de seguridad previstas son adecuadas al riesgo, por ejemplo:
- control de accesos;
- cifrado;
- seudonimización;
- segmentación de datos;
- control de proveedores;
- copias de seguridad;
- registro de accesos;
- protocolos de incidentes;
- formación del personal;
- revisión periódica de riesgos.
En este sentido, la EIPD ayuda a unir privacidad y ciberseguridad. La seguridad por sí sola no sustituye a la EIPD, pero forma parte de ella.
Qué pasa si no se realiza cuando era obligatoria
No hacer una EIPD cuando el tratamiento la exige puede generar consecuencias relevantes:
- incumplimiento del RGPD y de la lógica de responsabilidad proactiva;
- mayor exposición a incidentes y brechas;
- imposibilidad de justificar la necesidad y proporcionalidad del tratamiento;
- mala gestión de tecnologías invasivas;
- incremento del riesgo de reclamaciones;
- sanciones;
- deterioro reputacional.
Además, si tras la EIPD el riesgo residual sigue siendo alto y no puede reducirse suficientemente, puede ser necesario realizar una consulta previa a la autoridad de control antes de iniciar el tratamiento.
El papel del Delegado de Protección de Datos
Si la organización cuenta con Delegado de Protección de Datos, este debe participar asesorando en la EIPD. Su función no es simplemente firmarla, sino orientar sobre:
- si la EIPD procede o no;
- qué riesgos deben valorarse;
- qué medidas resultan adecuadas;
- cómo documentar el proceso;
- si existe necesidad de consulta previa.
Ejemplos prácticos
Caso 1: geolocalización intensiva de empleados
Una empresa quiere controlar en tiempo real los desplazamientos de su plantilla mediante una app móvil.
Conclusión: puede existir obligación de EIPD por seguimiento sistemático y posible impacto intenso en privacidad.
Caso 2: reconocimiento facial para acceso
Una organización quiere implantar acceso a instalaciones mediante reconocimiento facial.
Conclusión: normalmente la EIPD será muy recomendable y, en muchos casos, obligatoria por uso de biometría.
Caso 3: historial clínico en gran escala
Un centro sanitario gestiona datos de salud de miles de pacientes.
Conclusión: alta probabilidad de obligación de EIPD por tratamiento a gran escala de categorías especiales de datos.
Caso 4: formulario básico de contacto web
Una empresa recoge nombre, email y mensaje para responder consultas.
Conclusión: en principio no suele requerir EIPD, salvo circunstancias adicionales extraordinarias.
Conclusión
La Evaluación de Impacto en Protección de Datos es obligatoria cuando un tratamiento puede generar alto riesgo para los derechos y libertades de las personas. No depende solo del tamaño de la empresa ni del hecho de tener consentimiento o medidas de seguridad. Depende del riesgo real.
La EIPD es una herramienta preventiva que ayuda a decidir si un tratamiento es necesario, proporcionado y suficientemente protegido. Bien utilizada, no solo evita incumplimientos: mejora la calidad del tratamiento, reduce riesgos y fortalece la confianza.
Límite de la información: este contenido es informativo y divulgativo. La obligación concreta de realizar una EIPD debe analizarse caso por caso, atendiendo a la naturaleza, alcance, contexto y fines del tratamiento, así como al tipo de datos, tecnología utilizada y nivel real de riesgo.
#sipylopd #SIPY #RGPD #LOPDGDD #ProtecciónDeDatos #EIPD #EvaluaciónDeImpacto #Privacidad #Ciberseguridad
