La normativa de protección de datos no es solo una carga burocrática: es un sistema de gestión del riesgo que el legislador europeo trasladó directamente al órgano de administración. Cuando una empresa pone en marcha un tratamiento de datos que puede generar un riesgo elevado para las personas, el Reglamento General de Protección de Datos (RGPD) impone una obligación concreta y previa: realizar una evaluación de impacto relativa a la protección de datos, conocida por sus siglas EIPD. No es una opción. Es un requisito cuyo incumplimiento puede desencadenar un expediente sancionador ante la Agencia Española de Protección de Datos (AEPD) antes incluso de que el tratamiento comience.
Una evaluación de impacto relativa a la protección de datos es un análisis sistemático, previo al tratamiento, que identifica los riesgos que ese tratamiento genera sobre los derechos y libertades de las personas físicas. No es un cuestionario de seguridad informática. Es un ejercicio de responsabilidad corporativa que afecta a la estrategia, al producto y a la cadena de proveedores.
El RGPD define los supuestos en los que la EIPD es obligatoria. Tres categorías concentran la mayoría de los casos en el tejido empresarial español: el tratamiento a gran escala de datos de categorías especiales (salud, biometría, origen racial, datos sindicales), la elaboración de perfiles con efectos jurídicos o similares sobre personas, y la videovigilancia sistemática de zonas accesibles al público. La lista no es exhaustiva. La Agencia Española de Protección de Datos (AEPD) publicó un listado de tratamientos que requieren EIPD con carácter vinculante en España. En nuestra experiencia asesorando a empresas, los supuestos con mayor frecuencia de activación son el análisis de comportamiento de usuarios en plataformas digitales, los sistemas de control de presencia biométrico y los tratamientos de datos de salud en el ámbito de la medicina privada y los seguros.
La EIPD incumbe al consejo de administración o a la dirección general porque la decisión de iniciar un tratamiento de riesgo elevado es una decisión de negocio. Si esa decisión se adopta sin la evaluación previa, es el responsable del tratamiento, es decir, la empresa, quien incumple. No el proveedor tecnológico. No el encargado del tratamiento. La empresa.
¿Significa eso que toda empresa digital está en riesgo? En muchos casos, sí. La economía de datos ha normalizado tratamientos que, analizados con rigor jurídico, exigen EIPD y, en algunos supuestos, consulta previa a la AEPD.
El RGPD establece que la EIPD es obligatoria cuando el tratamiento "pueda suponer un alto riesgo para los derechos y libertades de las personas físicas". El estándar es intencional: es una evaluación de riesgo potencial, no de daño producido. Esto significa que la obligación surge antes de que el tratamiento comience, en la fase de diseño.
Los supuestos más frecuentes en empresas que operan en España incluyen:
La AEPD, en aplicación de las directrices del Comité Europeo de Protección de Datos, considera que cuando concurren dos o más de estos criterios, la EIPD es obligatoria con independencia de que el tratamiento parezca rutinario desde la perspectiva operativa.
Hemos observado que muchas empresas en proceso de adaptación RGPD inician tratamientos que activan dos o más criterios sin saberlo. El error no es técnico: es de gobernanza. La ausencia de un responsable de protección de datos (DPO) o la falta de un proceso de revisión previa al lanzamiento de nuevos productos son las causas más frecuentes.
La validez de una EIPD no depende de su extensión. Depende de su rigor metodológico y de que responda a los elementos que el RGPD y las directrices de la AEPD exigen de forma expresa. Un documento genérico o reproducido de plantilla sin adaptación al tratamiento concreto no supera un análisis en profundidad.
Los elementos mínimos que debe contener son:
Si tras la EIPD el riesgo residual sigue siendo elevado y no puede mitigarse con las medidas disponibles, la empresa está obligada a consultar a la AEPD antes de iniciar el tratamiento. La consulta previa no es una formalidad de cortesía: es un mecanismo que puede derivar en una recomendación vinculante o en la prohibición del tratamiento.
En nuestra práctica hemos comprobado que la calidad de la EIPD marca una diferencia sustancial cuando la AEPD abre una investigación. Una evaluación bien documentada, actualizada y adaptada al tratamiento real acredita la diligencia de la dirección. Una evaluación genérica o desactualizada, por el contrario, puede agravar la situación.
El designación de un delegado de protección de datos (DPO) es obligatoria en determinadas categorías de responsables y encargados del tratamiento: autoridades públicas, empresas cuya actividad principal consiste en el tratamiento a gran escala de categorías especiales de datos, y aquellas que realizan un seguimiento sistemático a gran escala de personas.
Fuera de esos supuestos, la designación voluntaria es una decisión de gestión del riesgo de compliance empresa. El DPO asesora sobre la necesidad de la EIPD, supervisa su ejecución y es el punto de contacto con la AEPD. No decide. No aprueba el tratamiento. Pero su participación es un escudo probatorio en caso de investigación.
Cuando la empresa no dispone de DPO interno, el servicio puede prestarse en modo externo. Velarde & Vidal actúa con frecuencia en esta función para empresas tecnológicas, grupos industriales y compañías de salud que necesitan el conocimiento jurídico sin incorporar el perfil a su estructura.
La ausencia de DPO en una empresa obligada a designarlo es en sí misma una infracción del RGPD. Y la AEPD la detecta con facilidad en el curso de una investigación.
La EIPD tiene consecuencias directas sobre la agenda ejecutiva. Hay decisiones que el órgano de administración no puede externalizar por completo al área técnica o al asesor externo.
La primera es la decisión de iniciar el tratamiento. Si la EIPD concluye que el riesgo residual es inaceptable y no hay medidas disponibles para mitigarlo, la dirección debe tomar la decisión de no iniciar el tratamiento o de modificar su alcance. Es una decisión de negocio con implicaciones jurídicas.
La segunda es la aprobación del inventario de medidas de mitigación. Los controles técnicos y organizativos que la EIPD propone tienen coste. La inversión en seguridad, en pseudonimización, en cifrado o en limitación de acceso no es opcional si la EIPD los ha identificado como necesarios.
La tercera es la revisión periódica. Una EIPD no es un documento que se archiva. El RGPD exige su revisión cuando el tratamiento cambia. Y los tratamientos cambian: nuevas fuentes de datos, nuevos proveedores, nuevas finalidades, nuevas jurisdicciones.
En términos de plazos, la evaluación debe completarse antes de que el tratamiento comience. No hay margen de gracia. Si la empresa ya está tratando datos que requieren EIPD sin haberla realizado, se encuentra en una situación de incumplimiento actual. En ese caso, la actuación prioritaria es elaborar la evaluación retroactivamente y documentar las medidas adoptadas, lo que reduce pero no elimina el riesgo regulatorio.
La notificación de una brecha de seguridad a la AEPD debe realizarse en un plazo de 72 horas desde que el responsable tiene conocimiento de ella. Una empresa que no ha realizado su EIPD tampoco dispone, por lo general, del protocolo de respuesta necesario para cumplir ese plazo. La ausencia de EIPD y la ausencia de protocolo de brechas son infracciones que suelen aparecer juntas.
La lógica del compliance empresa aplicada a la protección de datos es la misma que en cualquier otra disciplina de gestión del riesgo: el coste de prevenir es sistemáticamente inferior al coste de reparar.
Una EIPD realizada antes del lanzamiento de un producto o servicio puede identificar riesgos que, de materializarse, generarían costes de muy distinta naturaleza: sanciones administrativas de la AEPD, reclamaciones civiles de los interesados, daño reputacional con impacto en la relación con clientes y proveedores, y paralización cautelar del tratamiento por resolución de la AEPD.
La creencia errónea más frecuente que encontramos es que con una cláusula de privacidad en la web ya se cumple el RGPD. Es un mito que tiene consecuencias reales. El RGPD no es un régimen de formularios: es un sistema de responsabilidad activa y demostrable. La empresa debe poder probar, en cualquier momento, que ha identificado sus riesgos, ha implementado medidas proporcionales y ha documentado el proceso. Esa es la esencia del principio de accountability que el Reglamento impone.
El registro de tratamientos, el protocolo de respuesta a brechas de seguridad y el modelo de compliance reducen tanto la probabilidad de sanción como su cuantía cuando se produce. La AEPD valora expresamente la colaboración activa del responsable y la adopción previa de medidas como factores atenuantes en la graduación de la sanción.
El asesoramiento temprano también permite integrar la privacidad en el diseño del producto, el llamado principio de privacy by design. Modificar una arquitectura tecnológica o un proceso de negocio ya en producción para hacerlo compatible con el RGPD es exponencialmente más costoso que diseñarlo desde el principio con los requisitos de privacidad incorporados.
La evaluación de impacto conecta directamente con otras dos áreas del compliance empresa que la normativa española exige de forma independiente pero que comparten infraestructura con la EIPD.
El canal de denuncias, cuya implantación es obligatoria para empresas que superan determinados umbrales de plantilla conforme a la normativa de protección del informante, implica un tratamiento de datos personales de carácter especialmente sensible: identidad del denunciante, datos del denunciado, información sobre conductas potencialmente ilícitas. Este tratamiento, por su naturaleza, requiere en la mayoría de los casos la elaboración de una EIPD específica. La empresa que implanta el canal sin haberla realizado incumple simultáneamente la normativa de denuncias y el RGPD.
El compliance penal, por su parte, exige que las empresas acrediten la existencia de un modelo de prevención de delitos eficaz. Uno de los elementos que los tribunales y los fiscales valoran es la existencia de un programa de cumplimiento normativo real, documentado y actualizado. La protección de datos y la EIPD forman parte de ese ecosistema de compliance. Una empresa que puede demostrar que dispone de un programa de protección de datos riguroso, incluyendo sus EIPD, está en mejor posición para argumentar que su modelo de cumplimiento es genuino y no meramente formal.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud. En todos los casos, la integración de la EIPD en el programa general de compliance redujo los tiempos de implantación y permitió un uso más eficiente de los recursos internos de la empresa.
Nuestro enfoque es el del dictamen ejecutivo: análisis riguroso, conclusiones accionables y documentación que resiste el escrutinio de la AEPD. No ofrecemos plantillas genéricas. Cada EIPD se elabora para el tratamiento concreto, con el inventario de medidas adaptado a la infraestructura tecnológica y organizativa real de la empresa.
El proceso habitual sigue estas fases:
Cuando el tratamiento presenta un riesgo residual que aconseja la consulta previa a la AEPD, gestionamos ese proceso, coordinando la comunicación con la autoridad y preparando la documentación de soporte.
Para tratamientos con dimensión transfronteriza, coordinamos con abogados locales de confianza en la jurisdicción correspondiente, garantizando la coherencia del análisis con los requisitos de las autoridades de control europeas implicadas.
La experiencia práctica permite identificar los errores más comunes que convierten una EIPD bien intencionada en un documento ineficaz o incluso contraproducente:
¿Sabe su empresa cuántos de sus tratamientos activos habrían requerido una EIPD previa? Es una pregunta que conviene responder antes de que lo haga la AEPD.
La evaluación de impacto es un elemento central dentro de un programa de protección de datos completo. Su eficacia depende de que la empresa disponga de las estructuras complementarias que el RGPD y la LOPDGDD también exigen.
Desde nuestra práctica de protección de datos y compliance, acompañamos a las empresas en la adaptación integral al RGPD: registro de actividades de tratamiento, política de privacidad, gestión de brechas de seguridad, contratos con encargados, y designación y soporte al DPO. La EIPD se integra en ese programa como la pieza que gestiona los tratamientos de mayor riesgo.
En sectores con cadenas de suministro complejas, la EIPD se conecta frecuentemente con la gestión documental de proveedores. Nuestra guía sobre documentación de tratamientos en logística y transporte ofrece una referencia práctica para empresas con operaciones distribuidas.
Cuando la EIPD revela que la empresa debe reforzar el protocolo de atención a los derechos de los interesados, nuestro material sobre cómo atender los derechos de los interesados proporciona el marco operativo para estructurar ese proceso internamente.
Las empresas que abordan simultáneamente el compliance de protección de datos y el compliance penal obtienen una mayor eficiencia en la implantación. Los procesos de diligencia debida, los mapas de riesgos y los protocolos de respuesta se solapan de forma significativa. Asesoramos habitualmente en ambas dimensiones de forma integrada.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.