Evaluación de Impacto en Protección de Datos (EIPD / DPIA)

Qué es la EIPD

La Evaluación de Impacto en Protección de Datos (EIPD, o Data Protection Impact Assessment, DPIA) es un instrumento de gestión de riesgos que exige el artículo 35 del Reglamento General de Protección de Datos (RGPD). Su objetivo es identificar y minimizar los riesgos para los derechos y libertades de las personas físicas antes de que comience el tratamiento, no después.

La EIPD parte de la filosofía de privacy by design y de la responsabilidad proactiva (accountability): las organizaciones no deben esperar a que ocurra un incidente o a que la autoridad de control les requiera información, sino anticiparse a los riesgos y documentar que han tomado las medidas adecuadas.

Cuándo es obligatoria

El artículo 35.3 del RGPD establece que la EIPD es siempre obligatoria en los siguientes supuestos:

1. Evaluación sistemática y exhaustiva de aspectos personales de personas físicas basada en tratamiento automatizado, incluida la elaboración de perfiles, que produce efectos jurídicos o que les afecta significativamente (por ejemplo, scoring crediticio, decisiones de contratación laboral basadas en IA)
2. Tratamiento a gran escala de categorías especiales de datos (salud, biometría, datos genéticos, ideología, religión, etc.) o de datos relativos a condenas penales
3. Observación sistemática a gran escala de zonas de acceso público (videovigilancia masiva)

La AEPD ha publicado listas orientativas de tipos de tratamientos que requieren EIPD. Aunque la lista no es exhaustiva, incluye: vigilancia de empleados mediante sistemas de seguimiento, aplicaciones de salud, plataformas educativas que tratan datos de menores, sistemas de reconocimiento facial o biométrico, y tratamientos que implican geolocalización continua.

Como regla general, si un tratamiento combina dos o más criterios de riesgo de los identificados por el Grupo de Trabajo del Artículo 29 (ahora Comité Europeo de Protección de Datos, CEPD), la EIPD es preceptiva.

Metodología de la EIPD

La EIPD no tiene un formato único exigido, pero el RGPD establece que debe contener:

1. Descripción sistemática del tratamiento previsto, sus finalidades y el interés legítimo perseguido (si aplica)
2. Evaluación de la necesidad y proporcionalidad del tratamiento respecto a sus finalidades
3. Evaluación de los riesgos para los derechos y libertades de los interesados
4. Medidas previstas para afrontar los riesgos, incluyendo garantías, medidas de seguridad y mecanismos para garantizar la protección de datos

La metodología más extendida valora cada riesgo en función de su probabilidad y su gravedad, obteniendo un nivel de riesgo residual tras la aplicación de los controles. Si el riesgo residual sigue siendo alto, el responsable debe consultar a la autoridad de control antes de iniciar el tratamiento (consulta previa, artículo 36 RGPD).

Rol del DPO en la EIPD

Cuando la organización cuenta con un DPO, el responsable del tratamiento debe recabar su asesoramiento en la realización de la EIPD (artículo 35.2 RGPD). El DPO supervisa el proceso, verifica la metodología y documenta su participación. Esto no exime al responsable de la obligación ni transfiere la responsabilidad al DPO.

Documentación y conservación

La EIPD debe documentarse y conservarse actualizada. Si el tratamiento cambia de forma sustancial (nuevos destinatarios, nuevas tecnologías, nuevos datos), la evaluación debe revisarse. La AEPD puede solicitar la EIPD en cualquier momento, especialmente en el contexto de una investigación o denuncia.

Consecuencias del incumplimiento

No realizar una EIPD cuando es obligatoria o realizarla defectuosamente constituye una infracción del RGPD sancionable con multas de hasta 10 millones de euros o el 2% del volumen de negocio mundial anual. Además, en caso de incidente de seguridad sobre un tratamiento que carecía de EIPD, la ausencia de esta evaluación agrava considerablemente la situación ante la autoridad de control.