Evaluación de impacto (EIPD): obligatoria con riesgo alto

Algunos tratamientos de datos entrañan un riesgo especialmente alto para los derechos y libertades de las personas afectadas, por ejemplo los procedimientos de scoring, el tratamiento a gran escala de datos de salud o una videovigilancia sistemática. En tales casos, un simple registro de actividades de tratamiento ya no basta.

En resumen: una evaluación de impacto relativa a la protección de datos (EIPD) es un análisis de riesgos documentado que las empresas deben realizar, conforme al art. 35 del RGPD, antes de iniciar un tratamiento que probablemente entrañe un riesgo alto, por ejemplo en caso de scoring, de tratamiento a gran escala de datos de salud o de videovigilancia. Afecta a todos los responsables del tratamiento cuyos procedimientos figuran en las listas obligatorias de las autoridades de control. Si no se realiza la EIPD, se arriesgan multas de hasta 10 M€ o el 2 % del volumen de negocio anual mundial.

¿Quién debe realizar una EIPD?

Está obligado todo responsable del tratamiento, en el sentido del derecho de protección de datos, que planifique un tratamiento que probablemente entrañe un riesgo alto para los derechos de las personas afectadas. La obligación no depende del tamaño de la empresa, sino del tipo de tratamiento: también las empresas medianas utilizan cada vez más modelos de scoring para evaluar la solvencia o el riesgo, tratamientos a gran escala de datos de salud, por ejemplo en la gestión de personal o en los proveedores de servicios sanitarios, o sistemas de videovigilancia en sucursales y recintos de la empresa, y con ello desencadenan automáticamente la obligación de evaluación. Lo decisivo es siempre la valoración previa y no un control posterior, pues la EIPD debe estar concluida, según el art. 35 del RGPD, antes de que comience el tratamiento propiamente dicho. Quien deja pasar ese momento ya no puede subsanar la obligación a posteriori con seguridad jurídica. Una herramienta como Company Audit le muestra qué obligaciones se aplican concretamente a su empresa.

¿Qué tratamientos se consideran de alto riesgo?

El art. 35 del RGPD menciona a modo de ejemplo tres grupos de casos. En primer lugar, los procedimientos de scoring, en los que se clasifica a las personas de forma sistemática a partir de valoraciones automatizadas, por ejemplo para evaluar su solvencia o su comportamiento. En segundo lugar, el tratamiento a gran escala de categorías especiales de datos personales, como los datos de salud, cuando afecta a un gran número de personas o a un gran volumen de datos. En tercer lugar, la videovigilancia sistemática de zonas de acceso público, por ejemplo en recintos de la empresa o en locales comerciales. Dado que esta enumeración no es exhaustiva, las autoridades de control publican listas positivas complementarias de los tratamientos sujetos a EIPD. Estas listas obligatorias deben utilizarse como primera orientación antes de realizar una evaluación de riesgos propia, específica del tratamiento.

¿Cómo se desarrolla una EIPD?

La EIPD sigue un esquema de revisión sistemático y se apoya directamente en el registro de actividades de tratamiento; por ello, este debería estar completo y actualizado antes de comenzar la evaluación de impacto. Solo sobre esa base pueden describirse y valorarse correctamente los fines, el alcance y los riesgos de un tratamiento. El procedimiento comprende los siguientes pasos:

1. Comprobar si un tratamiento entraña probablemente un riesgo alto (contrastar con la lista obligatoria de la autoridad de control).
2. Describir de forma sistemática la operación de tratamiento, sus fines y su necesidad.
3. Valorar los riesgos para los afectados y establecer medidas correctoras (medidas técnicas y organizativas, MTO).
4. Documentar el resultado y, en su caso, implicar al delegado de protección de datos.
5. Si persiste un riesgo residual alto, consultar previamente a la autoridad de control.

La documentación escrita no es un fin en sí misma: sirve de prueba ante la autoridad de control de que la ponderación de riesgos se realizó antes del inicio del tratamiento, y constituye la base sobre la que el delegado de protección de datos puede emitir su valoración.

¿Qué se arriesga sin EIPD?

Si no se realiza una evaluación de impacto relativa a la protección de datos necesaria, o si el tratamiento de riesgo ya se inicia antes de concluir la EIPD, existe una infracción del art. 35 del RGPD. Las autoridades de control pueden imponer por ello multas de hasta 10 M€ o el 2 % del volumen de negocio anual mundial. Dado que la obligación se aplica expresamente antes del inicio del tratamiento, este riesgo solo puede evitarse mediante una revisión previa y documentada; no está prevista una subsanación posterior. Para las empresas, la EIPD resulta así doblemente útil: cumple la obligación legal y, al mismo tiempo, aporta claridad sobre los riesgos reales del propio tratamiento.

Preguntas frecuentes

¿Qué es una evaluación de impacto relativa a la protección de datos?

La EIPD es una valoración documentada, prescrita por el art. 35 del RGPD, de los riesgos que un tratamiento previsto supone para los derechos y libertades de los afectados, incluidas las medidas correctoras (MTO) previstas. Debe estar concluida antes de que el tratamiento comience realmente y constar por escrito.

¿Cuándo hay que elaborar una EIPD?

Siempre que un tratamiento entrañe probablemente un riesgo alto, por ejemplo en caso de scoring, de tratamiento a gran escala de datos de salud o de videovigilancia, y siempre antes de que el tratamiento comience realmente.

¿Cómo averiguo si mi tratamiento está sujeto a EIPD?

Las autoridades de control publican listas positivas de los tratamientos sujetos a EIPD. Estas listas obligatorias sirven de primera orientación antes de realizar una evaluación de riesgos propia, adaptada al tratamiento concreto.

¿Hay que implicar al delegado de protección de datos?

El resultado de la EIPD debe documentarse, y el delegado de protección de datos debe participar en ella siempre que la empresa haya designado uno. Su valoración especializada se incorpora a la evaluación de los riesgos y de las medidas correctoras previstas.

¿Qué ocurre si persiste un riesgo residual alto?

Si, tras establecer las medidas correctoras, sigue existiendo un riesgo alto para los afectados, debe consultarse a la autoridad de control competente antes del inicio del tratamiento.

Fuente: art. 35 del RGPD. Esta contribución es una información general y no sustituye el asesoramiento jurídico en un caso concreto. Fecha: julio de 2026.