La EIPD (evaluación de impacto relativa a la protección de datos) es un análisis previo obligatorio cuando un tratamiento puede suponer un alto riesgo para las personas (art. 35 RGPD). La AEPD publica una lista de 11 criterios: si tu tratamiento cumple dos o más, en la mayoría de casos necesitas EIPD. Debe describir el tratamiento, justificar su necesidad, evaluar los riesgos y fijar las medidas.
La EIPD, o evaluación de impacto relativa a la protección de datos (en inglés, DPIA), es un estudio que hay que hacer antes de poner en marcha un tratamiento de datos que probablemente suponga un alto riesgo para las personas. La exige el artículo 35 del RGPD. No la necesita cualquier negocio: la gestión normal de clientes, proveedores y nóminas de una pyme no la requiere. Sí puede necesitarla una clínica que instala fichaje con huella, un gimnasio con reconocimiento facial o una app que geolocaliza a sus usuarios.
¿EIPD o análisis de riesgos? No son lo mismo
Todas las empresas tienen que analizar los riesgos de lo que hacen con los datos y aplicar medidas de seguridad acordes (arts. 24 y 32 RGPD). Ese análisis de riesgos es la base de cualquier adaptación.
La EIPD es un paso más, mucho más detallado, que solo se exige cuando el análisis de riesgos indica que un tratamiento concreto puede tener un riesgo alto. La propia ley española pide a cada empresa que valore si le toca hacerla (art. 28.1 LOPDGDD). Dicho de otra forma: el análisis de riesgos es para todos; la EIPD, solo para algunos tratamientos.
¿Cuándo es obligatoria una EIPD?
El artículo 35.3 del RGPD cita tres casos en los que se exige en particular:
- Evaluar de forma sistemática y exhaustiva aspectos personales con medios automatizados, como los perfiles, y tomar con eso decisiones con efectos jurídicos o igual de importantes para las personas. Por ejemplo, conceder o denegar financiación con un sistema de puntuación.
- Tratar a gran escala datos sensibles (salud, biométricos, genéticos, ideología…) o datos sobre condenas penales.
- Observar de forma sistemática y a gran escala una zona de acceso público. Por ejemplo, cámaras que cubren una zona comercial entera.
Pero no son los únicos. El RGPD obliga a cada autoridad de control a publicar su propia lista.
La lista de la AEPD: los 11 criterios
La AEPD ha publicado una lista orientativa y no exhaustiva. La regla es esta: si tu tratamiento cumple dos o más criterios, en la mayoría de casos necesitas una EIPD. Cuantos más cumple, más claro está.
| N.º | Criterio de la AEPD | Ejemplo en una pyme |
|---|---|---|
| 1 | Perfilado o valoración de personas | Puntuar a clientes según su comportamiento de compra |
| 2 | Decisiones automatizadas que pueden impedir acceder a un servicio o contrato | Rechazar automáticamente una solicitud de alquiler |
| 3 | Observación, monitorización o geolocalización sistemática y exhaustiva | GPS en los vehículos de reparto; seguimiento de usuarios de una app |
| 4 | Categorías especiales de datos, datos penales o datos sobre la solvencia | Historias clínicas; informes de morosidad |
| 5 | Datos biométricos para identificar a una persona | Fichar con huella; entrar al gimnasio con la cara |
| 6 | Datos genéticos, para cualquier fin | Laboratorio de pruebas genéticas |
| 7 | Tratamiento a gran escala | Una cadena con miles de socios |
| 8 | Combinar bases de datos de finalidades o responsables distintos | Cruzar la base de clientes con datos comprados a terceros |
| 9 | Personas vulnerables: menores de 14 años, mayores con discapacidad, víctimas de violencia de género… | Academia infantil; centro de día |
| 10 | Nuevas tecnologías o un uso innovador de las ya existentes | Reconocimiento facial, sistemas de inteligencia artificial que analizan a clientes |
| 11 | Tratamientos que impiden ejercer derechos, usar un servicio o firmar un contrato | Datos obtenidos de otro responsable sin poder informar a las personas |
Ejemplo práctico: un gimnasio que sustituye la tarjeta por reconocimiento facial cumple el criterio 5 (biometría) y el 10 (tecnología innovadora). Con dos criterios, necesita EIPD. Si además tiene socios menores de 14 años, suma el 9. Más en datos biométricos en la empresa.
Cuándo NO hace falta
La AEPD también publica una lista orientativa de tratamientos que no requieren EIPD. Las que interesan a una pyme:
- Los tratamientos obligatorios por ley de gestión interna del personal de las pymes: contabilidad, recursos humanos, nóminas, Seguridad Social y prevención de riesgos laborales. Ojo: nunca los datos de los clientes.
- Los de comunidades de propietarios. Más en comunidades de propietarios.
- Los de autónomos que trabajan de forma individual, en particular médicos, sanitarios o abogados, salvo que su tratamiento cumpla de forma significativa dos o más criterios de la lista anterior.
- Los de colegios profesionales y asociaciones sin ánimo de lucro con sus asociados y donantes, si no hay datos sensibles.
Si decides que no necesitas EIPD, deja escrito por qué. La AEPD pide que esa decisión esté fundamentada.
Qué tiene que contener una EIPD
El artículo 35.7 del RGPD fija el contenido mínimo:
- Descripción del tratamiento: qué datos, de quién, para qué, con qué sistemas y quién accede. Si la base es el interés legítimo, cuál es.
- Necesidad y proporcionalidad: por qué hace falta y si hay una forma menos invasiva de conseguir lo mismo. Por ejemplo, si una tarjeta de fichaje bastaría en lugar de la huella.
- Evaluación de riesgos para los derechos y libertades de las personas: qué puede salir mal, con qué probabilidad y con qué gravedad.
- Medidas para reducir esos riesgos: garantías, seguridad y mecanismos para demostrar que cumples.
Además, si tienes delegado de protección de datos, hay que pedirle asesoramiento (art. 35.2), y cuando proceda se puede recabar la opinión de los afectados o sus representantes, como el comité de empresa (art. 35.9). La EIPD no se hace una vez y se olvida: hay que revisarla cuando cambie el riesgo (art. 35.11).
La AEPD ofrece herramientas gratuitas que ayudan a empezar: Evalúa-Riesgo RGPD, para saber el nivel de riesgo y si tienes que hacer una EIPD, y Gestiona, para preparar la documentación básica. La propia Agencia advierte que no sustituyen al análisis que tiene que hacer el responsable.
Consulta previa a la AEPD: el artículo 36
Si después de la EIPD el riesgo sigue siendo alto y no puedes reducirlo con medidas, tienes que consultar a la AEPD antes de empezar el tratamiento. La Agencia tiene un plazo de ocho semanas para asesorarte por escrito, ampliable seis semanas más en casos complejos. Con la consulta hay que enviar, entre otras cosas, la EIPD, los fines y medios del tratamiento y las medidas previstas.
En una pyme es raro llegar aquí: casi siempre hay medidas que bajan el riesgo, o una alternativa menos invasiva. Si no la hay, muchas veces la respuesta correcta es no hacer ese tratamiento.
Qué pasa si no la haces
La LOPDGDD considera infracción grave tratar datos sin haber hecho la EIPD cuando era exigible (art. 73.t) y también hacerlo sin la consulta previa cuando era obligatoria (art. 73.u). Las cuantías, en la guía de multas.
Lista de comprobación antes de un proyecto nuevo
- Antes de comprar un sistema nuevo (fichaje biométrico, cámaras con análisis, app, CRM con perfiles), describe qué datos va a tratar.
- Repasa los 11 criterios de la AEPD y cuenta cuántos cumples.
- Mira si estás en la lista de tratamientos que no la necesitan.
- Si cumples dos o más, haz la EIPD antes de ponerlo en marcha, no después.
- Si no la haces, deja por escrito el motivo.
- Revisa la EIPD cuando cambie algo importante del tratamiento.
Todos nuestros planes incluyen el análisis de riesgos y las medidas de seguridad. El plan Datos sensibles añade la evaluación de impacto cuando la ley la exige, y los proyectos fuera de lo habitual van en el plan «A medida / DPD», con presupuesto. Puedes empezar por el diagnóstico gratis o la consultoría online.
Preguntas frecuentes
¿Una pyme tiene que hacer una EIPD?
Solo si alguno de sus tratamientos puede suponer un alto riesgo, en la práctica cuando cumple dos o más criterios de la lista de la AEPD. La gestión de clientes, proveedores y nóminas de una pyme normal no la necesita.
¿Fichar con huella necesita evaluación de impacto?
Muy probablemente sí. Usar datos biométricos para identificar a una persona es uno de los criterios de la AEPD, y si se suma otro (tecnología nueva, gran escala, personas vulnerables) la EIPD es exigible. Además hay que justificar por qué no basta un sistema menos invasivo.
¿La EIPD se presenta a la AEPD?
No. Se guarda y se enseña si la AEPD la pide. Solo se envía a la Agencia cuando, después de hacerla, el riesgo sigue siendo alto y hay que hacer la consulta previa del artículo 36 del RGPD.
¿Cuánto tarda la AEPD en contestar una consulta previa?
El RGPD le da ocho semanas desde la solicitud para asesorar por escrito, ampliables seis semanas más si el tratamiento es complejo. El tratamiento no debe empezar antes.
