Qué es una EIPD, la evaluación de impacto en protección de datos

Definición amplia

La evaluación de impacto relativa a la protección de datos (EIPD, o DPIA por sus siglas en inglés) está regulada en el artículo 35 del RGPD. El responsable del tratamiento debe realizarla antes de empezar cuando sea probable que un tratamiento, en particular si utiliza nuevas tecnologías, entrañe un alto riesgo para los derechos y libertades de las personas por su naturaleza, alcance, contexto o fines. Si la empresa tiene delegado de protección de datos, debe pedirle asesoramiento.

Cuándo es obligatoria

• Evaluación sistemática y exhaustiva de aspectos personales basada en un tratamiento automatizado, como la elaboración de perfiles, que sirva para tomar decisiones con efectos jurídicos o de efecto similar.
• Tratamiento a gran escala de categorías especiales de datos, como la salud, o de datos sobre condenas e infracciones penales.
• Observación sistemática a gran escala de una zona de acceso público.

Además de estos tres casos del artículo 35.3, la AEPD publica una lista orientativa: hará falta una EIPD en la mayoría de los tratamientos que cumplan dos o más de sus criterios, entre los que figuran el perfilado, las decisiones automatizadas, los datos a gran escala y el uso de nuevas tecnologías o un uso innovador de tecnologías consolidadas. La LOPDGDD (art. 28.1) pide valorar expresamente si procede.

Qué contiene y qué pasa después

Como mínimo, una descripción sistemática del tratamiento y de sus fines, una evaluación de su necesidad y proporcionalidad, una evaluación de los riesgos para las personas y las medidas previstas para afrontarlos (art. 35.7). Si el resultado muestra un alto riesgo que el responsable no logra mitigar, debe consultar a la autoridad de control antes de tratar los datos (art. 36.1). La AEPD subraya que la gestión del riesgo es un proceso y no un documento, y el RGPD prevé que, en caso necesario y al menos cuando cambie el riesgo, se examine si el tratamiento sigue siendo conforme con la evaluación (art. 35.11).

No es lo mismo que la FRIA del Reglamento de IA, que evalúa el impacto en los derechos fundamentales de ciertos sistemas de alto riesgo. Cuando parte de las obligaciones de la FRIA ya se cumpla con la EIPD, el Reglamento de IA permite que la FRIA remita a las secciones pertinentes de la EIPD o incorpore sus partes (art. 27.4).

Ejemplos de uso

• Recursos humanos y talento

  En recursos humanos, se plantea antes de implantar una herramienta que puntúa candidaturas o evalúa el rendimiento de la plantilla.

• Marketing

  En marketing, aparece cuando se combinan varias fuentes de datos de clientes para elaborar perfiles detallados.

• Atención al cliente

  En atención al cliente, se revisa antes de grabar y analizar con IA las llamadas de los clientes.

• Administración y finanzas

  En finanzas, es habitual en los modelos que evalúan la solvencia de clientes o deciden si se concede un aplazamiento.

• Dirección y estrategia

  En dirección, sirve para decidir si un proyecto de IA sigue adelante, con qué medidas o si conviene consultar antes a la autoridad de control.

Términos relacionados

• FRIA
• Decisiones automatizadas
• Seudonimización
• Gobierno de la IA
• Sistema de IA de alto riesgo

Fuentes

• Reglamento (UE) 2016/679 (RGPD), arts. 35 y 36 (BOE, DOUE-L-2016-80807)
• Ley Orgánica 3/2018 (LOPDGDD), art. 28 (BOE, texto consolidado)
• AEPD, Listas de tipos de tratamientos de datos que requieren evaluación de impacto (art. 35.4)
• AEPD, Gestión del riesgo y evaluación de impacto en tratamientos de datos personales (2021)
• Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA), que sustituye el art. 27.4 del Reglamento (UE) 2024/1689 (DOUE en el BOE)