¿Qué es una evaluación de impacto relativa a la protección de datos (EIPD)?

EIPD: definición y obligación

La EIPD es un procedimiento estructurado con el que las empresas examinan, antes de iniciar un tratamiento, qué riesgos surgen para las personas afectadas y cómo pueden limitarse. No es obligatoria para todo tratamiento, sino solo cuando es probable un alto riesgo, sobre todo al emplear nuevas tecnologías.

El art. 35, apartado 3, RGPD recoge ejemplos: la evaluación sistemática y exhaustiva de aspectos personales con efectos significativos (elaboración de perfiles), el tratamiento a gran escala de categorías especiales de datos, como los datos de salud, y la observación sistemática a gran escala de zonas de acceso público. Las autoridades de protección de datos han publicado además listas de tratamientos para los que siempre se requiere una EIPD.

Cómo se desarrolla una EIPD

Primero, una comprobación previa (análisis de umbral) aclara si es necesaria una EIPD. En caso afirmativo, la empresa recorre los pasos que el art. 35, apartado 7, RGPD fija como contenido mínimo. Debe recabarse el asesoramiento del delegado de protección de datos, si se ha designado; los resultados se documentan y se actualizan cuando cambia el tratamiento.

• Descripción sistemática del tratamiento previsto y de sus fines
• Valoración de la necesidad y la proporcionalidad
• Valoración de los riesgos para los derechos y libertades de los afectados
• Definición de medidas correctoras, garantías y medidas de seguridad
• Documentación, aprobación y revisión periódica

Ejemplo práctico: localización GPS en una flota de vehículos

Una empresa de logística quiere equipar sus vehículos de reparto con localización GPS y analizar cuándo y dónde se detienen los conductores. Para la planificación de rutas es útil, pero al mismo tiempo permite vigilar el comportamiento de cada empleado. La comprobación previa arroja un riesgo elevado, de modo que se realiza una EIPD.

El resultado: localización solo durante la jornada laboral, sin análisis de conductores concretos sin motivo, plazos de conservación cortos, acceso solo para la planificación de rutas, información a los empleados y participación del comité de empresa, si existe. Con estas medidas el riesgo se reduce a un nivel asumible y el tratamiento puede comenzar.

Consulta, errores y límites

Si, a pesar de las contramedidas, persiste un alto riesgo residual, el responsable debe consultar a la autoridad de control antes de iniciar el tratamiento (art. 36 RGPD). La falta de una EIPD necesaria puede sancionarse con multa como infracción propia. No es un trámite puntual: si cambian los fines, la tecnología o los tipos de datos, la valoración debe renovarse.

• Realizar la EIPD solo cuando el sistema ya está en marcha
• Rellenar plantillas sin una verdadera valoración de riesgos
• Valorar los riesgos desde la óptica de la empresa y no de los afectados
• No actualizarla tras ampliaciones de funciones o el uso de IA

Qué deben tener en cuenta las empresas

Incluya la comprobación previa en cada sistema nuevo que implique datos personales, en especial con IA, videovigilancia, localización o datos de salud. Implique pronto al área especializada, a TI y a protección de datos, porque la EIPD debe estar lista antes del inicio. Nano Concepts aporta descripciones técnicas, flujos de datos y medidas de protección sobre las que su asesoría de protección de datos puede basar la valoración. Este artículo no sustituye el asesoramiento jurídico.