Evaluación de Impacto relativa a la Protección de Datos

El art. 35.1 del RGPD obliga al responsable del tratamiento a realizar una Evaluación de Impacto relativa a la Protección de Datos (EIPD) ANTES de iniciar un tratamiento cuando sea probable que, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas. Es una obligación por tratamiento, no por empresa: no todos los tratamientos la requieren (la gestión de nóminas o la facturación habituales no), pero sí los de alto riesgo. Es previa: hacerla después de poner en marcha el tratamiento pierde su sentido preventivo.

Para facilitar la decisión, la AEPD publica una lista de tipos de tratamiento que REQUIEREN EIPD (art. 35.4) y otra de los que NO la requieren (art. 35.5). Como criterio práctico (directrices del CEPD que la AEPD asume), cuando un tratamiento cumple DOS O MÁS criterios de alto riesgo se presume el alto riesgo y la EIPD resulta obligatoria. Criterios típicos: evaluación o puntuación (perfilado), decisiones automatizadas con efecto jurídico o significativo, observación sistemática, datos sensibles o de naturaleza muy personal, tratamiento a gran escala, asociación/combinación de conjuntos de datos, datos de colectivos vulnerables, uso de tecnologías nuevas o innovadoras, y tratamientos que impiden ejercer derechos o usar un servicio.

El art. 35.7 fija el contenido mínimo de la EIPD: una descripción sistemática de las operaciones de tratamiento y de sus fines; una evaluación de la necesidad y la proporcionalidad respecto de esos fines; una evaluación de los riesgos para los derechos y libertades de los interesados; y las medidas previstas para afrontar esos riesgos (garantías, medidas de seguridad y mecanismos para proteger los datos y demostrar el cumplimiento). La AEPD ofrece herramientas gratuitas de apoyo y el resultado debe documentarse por escrito y conservarse como evidencia de responsabilidad proactiva (accountability).

Cuando el responsable tenga designado un Delegado de Protección de Datos (DPO), debe recabar su asesoramiento al realizar la EIPD (art. 35.2). Si, una vez aplicadas las medidas previstas, el tratamiento sigue presentando un alto riesgo residual, el responsable debe consultar a la autoridad de control (AEPD) con carácter previo al tratamiento (consulta previa del art. 36). La EIPD no es un ejercicio puntual: debe revisarse cuando cambie el tratamiento (nuevos datos, nueva tecnología, nuevo encargado) y mantenerse actualizada.

Un cuestionario adaptativo determina qué obligaciones de EIPD / DPIA aplican a cada cliente y detecta sus brechas. El resultado alimenta los documentos y el universo de controles.

• Informe de evaluación de la necesidad de EIPD