Guía EIPD (DPIA): ¿cómo realizar un análisis de impacto?
·
Actualizado el ·
Por 
Bertrand Bucelle · 6 min de lectura
En resumen
- La EIPD (Evaluación de Impacto relativa a la Protección de Datos), o DPIA en inglés, es la herramienta del RGPD para evaluar y reducir los riesgos de un tratamiento de alto riesgo.
¿Qué es una EIPD?
La EIPD es un proceso estructurado de análisis de los riesgos que un tratamiento puede generar sobre los derechos y libertades de las personas concernidas. Está prevista en el artículo 35 del RGPD y constituye un pilar del enfoque basado en el riesgo del reglamento.
Su objetivo no es simplemente marcar una casilla, sino ayudar a diseñar un tratamiento respetuoso con la privacidad: identificando los riesgos de forma anticipada, es posible reducirlos mediante medidas adecuadas o incluso renunciar a un tratamiento desproporcionado.
Combina una dimensión jurídica (necesidad, proporcionalidad, base jurídica, derechos) y una dimensión técnica (seguridad, medidas de mitigación). Por ello, lo ideal es llevarla a cabo en equipo, bajo la coordinación del DPO.
¿Cuándo es obligatoria la EIPD?
La EIPD es obligatoria en cuanto un tratamiento sea susceptible de generar un riesgo elevado. Para ayudar a determinarlo, la CNIL proporciona listas y nueve criterios; superar al menos dos criterios es una señal clara.
| Situación | EIPD |
|---|---|
| Tratamiento incluido en la lista de la CNIL de tratamientos sometidos a evaluación | Obligatoria |
| Al menos dos de los nueve criterios de la CNIL cumplidos | Muy recomendada / presuntamente requerida |
| Elaboración de perfiles, vigilancia sistemática, datos sensibles a gran escala | Generalmente obligatoria |
| Tratamiento incluido en la lista de exenciones | No requerida |
Los nueve criterios incluyen, entre otros: evaluación/puntuación, decisión automatizada, vigilancia sistemática, datos sensibles, gran escala, cruce de datos, personas vulnerables, uso innovador, obstáculo a un derecho.
¿Qué contiene una EIPD?
El RGPD establece un contenido mínimo. Una EIPD completa consta de cuatro elementos estructurales.
- Una descripción sistemática del tratamiento (finalidades, datos, flujos, plazos, actores).
- Una evaluación de la necesidad y la proporcionalidad respecto a las finalidades.
- Una valoración de los riesgos para los derechos y libertades de las personas (acceso ilegítimo, modificación, desaparición).
- Las medidas previstas para tratar los riesgos y demostrar la conformidad (seguridad, garantías, derechos).
EIPD, FRIA y evaluación de impacto de la IA
La EIPD ha proliferado: inspira directamente las evaluaciones de impacto de otros marcos normativos, con los que puede articularse.
- FRIA (AI Act): evaluación de impacto sobre los derechos fundamentales para determinados sistemas de IA de alto riesgo.
- Evaluación de impacto de los sistemas de IA (ISO 42001): lógica similar, orientada a la gestión.
- Mutualización: un tratamiento de IA de alto riesgo puede requerir tanto una EIPD como una FRIA, que deben llevarse a cabo conjuntamente.
- Coherencia: es preferible un análisis de impacto integrado a una serie de ejercicios redundantes.
¿Qué sanciones se aplican en caso de incumplimiento?
La ausencia de una EIPD cuando es obligatoria, una EIPD superficial o la falta de consulta previa en caso de riesgo residual elevado constituyen infracciones sancionables en virtud del RGPD.
| Infracción | Límite máximo | Base |
|---|---|---|
| EIPD no realizada siendo obligatoria | 10 M€ o el 2 % del volumen de negocio mundial | Infracción organizativa (art. 35) |
| Falta de consulta previa | 10 M€ o el 2 % del volumen de negocio mundial | Art. 36 |
| Riesgo no controlado que causa un daño | Hasta 20 M€ o el 4 % + acciones civiles | Infracción de los principios / seguridad |
Los errores frecuentes que hay que evitar
- Olvidar realizar la EIPD cuando es obligatoria, uno de los incumplimientos más sancionados.
- Realizar una EIPD superficial que no reduce realmente ningún riesgo.
- Llevar a cabo la EIPD después del lanzamiento del tratamiento, cuando debe ser previa.
- Razonar únicamente desde el punto de vista de la organización, olvidando a los interesados.
- Descuidar la consulta previa a la autoridad de control en caso de riesgo residual elevado.
- No revisar nunca la EIPD a pesar de la evolución del tratamiento.
Cómo Data Comply One le acompaña
Data Comply One guía la realización de sus EIPD mediante un método paso a paso y plantillas prellenadas, vinculadas a su registro de tratamientos: la descripción, necesidad, riesgos, medidas y riesgo residual están estructurados en la plataforma.
Dispone de dos modalidades: realizar sus EIPD usted mismo con el software, o externalizarlas a nuestros expertos —un DPD externalizado— que las realizan por usted directamente en la plataforma y gestionan la consulta previa a la autoridad de control si fuera necesario.
Como el método se extiende de forma natural a la FRIA del AI Act y a la evaluación de impacto ISO 42001, evita repetir tres veces el mismo ejercicio para sus tratamientos que impliquen IA.
¿En qué punto se encuentra? ·
Pase a la acción
Pase a la acción con Data Comply One: software de cumplimiento todo en uno y expertos DPO/RSSI externalizados.
Descubrir el módulo AIPD RGPD →Probar mi conformidad RGPD →
Cómo lograr la conformidad: la hoja de ruta en 6 pasos
Paso 1 — Determinar si una EIPD es necesaria
Compare el tratamiento con las listas de la AEPD y los nueve criterios. Si se cumplen al menos dos criterios, o si el tratamiento figura en la lista de tratamientos sometidos a obligación, la EIPD es obligatoria.
En caso de duda, realice la EIPD: es la postura más prudente y mejor documentada.
Paso 2 — Describir el tratamiento
Documente finalidades, categorías de datos y de personas, flujos, destinatarios, plazos, encargados del tratamiento y transferencias. Esta descripción se apoya directamente en su registro de actividades de tratamiento.
Una descripción precisa determina la calidad de todo el análisis.
Paso 3 — Evaluar la necesidad y la proporcionalidad
Verifique que el tratamiento es necesario para su finalidad y proporcionado: base jurídica, minimización, plazos, información, ejercicio de derechos. Descarte la recogida superflua.
Este es el apartado jurídico de la EIPD: condiciona la legitimidad misma del tratamiento.
Paso 4 — Apreciar los riesgos
Identifique los riesgos para las personas (acceso ilegítimo, modificación no deseada, destrucción de datos), sus fuentes, su gravedad y su probabilidad.
Razone desde el punto de vista de los interesados, no solo de la organización.
Paso 5 — Definir las medidas de mitigación
Determine las medidas que reducen cada riesgo: seguridad (cifrado, control de accesos, registro de actividad), garantías jurídicas, minimización, transparencia. Reevalúe el riesgo residual tras las medidas.
El objetivo es reducir el riesgo a un nivel aceptable.
Paso 6 — Validar, consultar y revisar
Haga validar la EIPD (con el dictamen del DPO), recabe en su caso la opinión de los interesados y consulte a la AEPD si el riesgo residual sigue siendo elevado pese a las medidas. Revise la EIPD ante cualquier evolución.
La EIPD es un documento vivo, no un entregable estático.