¿Cuándo es obligatoria la EIPD en la práctica?
Las listas de la AEPD traducen el artículo 35.3 del RGPD en supuestos concretos. Un DPD que atiende a varios clientes hace bien en conocerlas, en lugar de partir de cero en cada nuevo proyecto:
Evaluación sistemática y scoring
Las decisiones automatizadas con efectos jurídicos, como el scoring de solvencia o la preselección automatizada de candidaturas, activan casi siempre una EIPD, con independencia del tamaño de la organización.
Tratamiento a gran escala de categorías especiales
Datos de salud, datos biométricos o afiliación sindical tratados a gran escala, por ejemplo en empresas de recursos humanos o en el sector sanitario.
Observación sistemática de una zona de acceso público
Videovigilancia de zonas de clientes, aparcamientos o accesos con grabación permanente — también en redes de establecimientos pequeños.
Geolocalización y control de empleados
Geolocalización de flotas, control horario con datos de ubicación o análisis del rendimiento mediante software figuran entre los supuestos señalados por las autoridades de control.
Sistemas basados en inteligencia artificial
El uso de IA para evaluar, clasificar o predecir comportamientos coincide con las categorías de alto riesgo del Reglamento de IA y exige de todos modos un análisis documentado.
El proceso guiado
- Describir el tratamiento a partir del registro del artículo 30 del cliente
- Evaluar necesidad, proporcionalidad y riesgos con la matriz guiada
- Definir las medidas y el riesgo residual, con los fundamentos jurídicos al lado
- Exportar y archivar en el expediente del cliente, con su plazo de revisión
Qué entrega en concreto la EIPD guiada
Al final de cada EIPD no queda solo un formulario, sino un conjunto de piezas que permanecen en el expediente del cliente y aparecen de inmediato ante una inspección:
- Un PDF exportable con cada paso de la evaluación, los fundamentos jurídicos y la marca de tiempo — presentable ante una inspección de la AEPD.
- Una matriz de riesgos vinculada, que combina probabilidad y gravedad para calcular automáticamente el riesgo residual.
- Un plazo de revisión adaptado a la naturaleza del tratamiento, con aviso antes de su vencimiento.
- Un vínculo directo con la evaluación de impacto en los derechos fundamentales del artículo 27 del Reglamento de IA, si el mismo tratamiento afecta a un sistema de IA.
Con el análisis de riesgos y la sección de IA al lado
El generador incluye también el análisis de riesgos (matriz probabilidad-gravedad calculada) y la evaluación de impacto en los derechos fundamentales del artículo 27 del Reglamento de IA: la EIPD dialoga con ambas. Prueba gratis 30 días, sin tarjeta de crédito.
Probar gratisPreguntas frecuentes
¿Cuándo es obligatoria la EIPD?
Cuando el tratamiento pueda entrañar un alto riesgo: evaluación sistemática y exhaustiva, tratamiento a gran escala de categorías especiales de datos, observación sistemática a gran escala de una zona de acceso público (art. 35.3 RGPD) — a lo que se suman los tratamientos incluidos en la lista publicada por la AEPD en aplicación del artículo 35.4 del RGPD, que complementa esos criterios con supuestos concretos.
¿Qué debe contener una EIPD?
Una descripción sistemática del tratamiento y de sus fines; una evaluación de la necesidad y proporcionalidad; una evaluación de los riesgos para los derechos y libertades de los interesados; las medidas previstas para afrontarlos (art. 35.7 RGPD). Si el riesgo residual sigue siendo alto, es necesaria la consulta previa a la AEPD (art. 36 RGPD).
¿Quién debe realizar la EIPD?
El responsable del tratamiento, recabando el asesoramiento del delegado de protección de datos cuando exista — su opinión debe solicitarse y documentarse, aunque la responsabilidad final siga siendo del responsable.
¿Qué relación hay entre la EIPD y el Reglamento de IA europeo?
La evaluación de impacto en los derechos fundamentales del Reglamento de IA (art. 27), para los responsables del despliegue de sistemas de alto riesgo, puede apoyarse en una EIPD ya realizada: mismos hechos, enfoques complementarios (protección de datos frente a derechos fundamentales en general). Conectarlas evita duplicar el trabajo.
¿Basta una evaluación de riesgos general sin una EIPD estructurada?
No. El RGPD exige una metodología documentada y trazable conforme al artículo 35.7 — una valoración informal sin esa estructura no cumple con el principio de responsabilidad proactiva (accountability) del artículo 5.2 del RGPD.
¿Cuánto tarda una EIPD en la práctica?
Para un tratamiento único y bien delimitado, una plantilla guiada suele permitir completarla en dos a cuatro horas de trabajo efectivo, repartidas en varias sesiones con el responsable del tratamiento. Los casos complejos, con varios encargados o transferencias internacionales, requieren más tiempo.
¿Qué ocurre si la AEPD solicita una EIPD inexistente o insuficiente?
La ausencia o insuficiencia de una EIPD exigida suele calificarse como un incumplimiento autónomo del artículo 35 del RGPD y se tiene en cuenta al graduar la sanción, con independencia de que el tratamiento subyacente fuera lícito. Una EIPD documentada y trazable es, por tanto, también una prueba de responsabilidad proactiva conforme al artículo 5.2 del RGPD.
Cada cliente, su EIPD, su plazo
Registro, riesgos, EIPD y documentos: vinculados, no dispersos.
Prueba gratis