Una plantilla de evaluación de impacto relativa a la protección de datos sirve para documentar cómo se ha decidido diseñar un tratamiento y afrontar sus riesgos. El artículo 35 RGPD exige realizar la EIPD antes del tratamiento cuando sea probable un alto riesgo para las personas. Completar casillas no demuestra por sí solo que el proyecto sea lícito ni que las medidas funcionen. El resultado debe permitir entender qué se pretende hacer, qué alternativas se estudiaron y qué condiciones impiden todavía empezar.
Este modelo organiza los contenidos mínimos y las decisiones prácticas de una evaluación. Se adapta al tratamiento concreto: una herramienta de selección de personal necesita preguntas diferentes de una plataforma asistencial. La documentación técnica, los contratos y las pruebas pueden incorporarse mediante referencias controladas, sin convertir el informe principal en un depósito de anexos que nadie relaciona con sus conclusiones.
1. Cuándo es obligatoria una EIPD
El punto de partida es la naturaleza, el alcance, el contexto y los fines del tratamiento. El artículo 35.3 menciona, en particular, la evaluación sistemática y exhaustiva de aspectos personales basada en tratamiento automatizado, incluido el perfilado, sobre cuya base se adoptan decisiones con efectos jurídicos o significativamente similares; el tratamiento a gran escala de categorías especiales o de datos sobre condenas e infracciones penales; y la observación sistemática a gran escala de zonas de acceso público. No basta con abreviar estos supuestos como «perfilado, salud y cámaras»: se perderían condiciones decisivas.
La lista española del artículo 35.4 contiene once criterios, complementa las directrices europeas y no es exhaustiva. Indica que la evaluación será necesaria en la mayoría de los casos que cumplan dos o más, salvo los tratamientos de la lista que no la requieren. Esto no crea una exención automática para cualquier proyecto con un solo criterio. La obligación general ante un alto riesgo probable sigue siendo la referencia y la conclusión debe justificarse.
La lista del artículo 35.5 también exige leer sus condiciones. Su previsión sobre gestión interna de personal de pymes se refiere a tratamientos obligatorios por ley para las finalidades allí indicadas; no cubre por esa sola denominación cualquier vigilancia de empleados ni datos de clientes. La referencia a profesionales que ejercen individualmente tampoco elimina los supuestos de riesgo significativo previstos en la propia lista. Documente el apartado invocado y por qué encaja el proyecto real.
La ficha inicial debe conservar la fecha, la versión del sistema y los motivos de la decisión, incluso cuando no se realiza una EIPD. Si faltan datos sobre el funcionamiento del proveedor, la respuesta no puede ser simplemente «riesgo bajo». Registre la incertidumbre y obtenga la información antes de cerrar la evaluación. El registro de actividades de tratamiento aporta una descripción inicial, pero no reemplaza este análisis de riesgos.
2. Estructura de la plantilla EIPD
El artículo 35.7 establece cuatro contenidos mínimos: descripción sistemática y fines, incluidos los intereses legítimos cuando corresponda; necesidad y proporcionalidad; riesgos para los derechos y libertades; y medidas, garantías y mecanismos para afrontar esos riesgos y demostrar cumplimiento. No impone un diseño de documento determinado. Puede usar el siguiente esquema como estructura de trabajo, completando cada explicación con información verificable.
EVALUACIÓN DE IMPACTO — MODELO PARA ADAPTAR
Identificador, versión y fecha:
Responsable del tratamiento y equipo del proyecto:
Actividad del registro relacionada:
Estado: en preparación / revisión / pendiente de medidas / decisión documentada.
1. Alcance y necesidad de evaluación
Tratamiento, población, volumen, duración y territorio:
Criterios de alto riesgo y listas aplicables:
Fuentes examinadas y decisión motivada:
Límites de la evaluación y aspectos todavía desconocidos:
2. Descripción sistemática
Finalidades y operaciones de recogida, uso, comunicación y supresión:
Datos, procedencias, personas afectadas y posibles personas vulnerables:
Sistemas, accesos, destinatarios, encargados y subencargados:
Ubicaciones, transferencias, conservación y flujos documentados:
Base jurídica por finalidad y, si procede, intereses legítimos:
3. Necesidad y proporcionalidad
Objetivo concreto y evidencia de la necesidad:
Alternativas menos intrusivas y motivos de elección:
Minimización, exactitud, información y ejercicio de derechos:
Condición adicional para categorías especiales, si procede:
Compatibilidad de finalidades y garantías para las personas:
4. Evaluación de riesgos
Escenario y origen del riesgo:
Personas afectadas, daño posible, gravedad y probabilidad:
Medidas existentes y evidencia de su eficacia:
Incertidumbres, supuestos de valoración y nivel inicial:
5. Medidas y riesgo residual
Medida propuesta, responsable de implantarla y fecha:
Prueba de funcionamiento y criterio de aceptación:
Probabilidad y gravedad restantes, con motivación:
Dependencias y condiciones pendientes antes de la puesta en marcha:
6. Participación y decisión
Asesoramiento del DPD designado y respuesta del responsable:
Opinión de interesados o representantes cuando proceda:
Razones para no recabarla, cuando corresponda:
Decisión motivada: rediseñar, no iniciar o iniciar con medidas verificadas:
Necesidad de consulta previa y documentación que la sustenta:
Persona que decide, fecha y condiciones:
7. Seguimiento
Cambios que obligan a revisar y persona encargada de detectarlos:
Referencias de anexos, pruebas y versiones:
Fecha o circunstancia de próxima revisión y resultado:
El estado del documento debe reflejar lo que ocurre. Una evaluación pendiente de probar el control de acceso no puede presentarse como aprobada por cambiar el color de una celda. Conviene identificar expresamente las decisiones provisionales y las condiciones de inicio, para que compras, operaciones y tecnología sepan qué trabajos pueden continuar y qué uso de datos personales sigue suspendido.
3. Describir el tratamiento con suficiente precisión
Empiece por el recorrido de los datos. Por ejemplo, una plataforma recibe candidaturas, extrae información del currículo, calcula una valoración y la muestra a un reclutador. Cada paso plantea preguntas distintas: qué documentos entran, qué información se infiere, si se descartan candidatos automáticamente y quién puede cambiar el resultado. Describir todo como «gestión de recursos humanos» ocultaría precisamente las operaciones que necesitan evaluación.
Incluya accesos humanos y automatizados, datos obtenidos de terceros y salidas hacia otros sistemas. Un alojamiento europeo no descarta que personal de soporte acceda desde otro país. Los contratos con encargados deben contrastarse con las operaciones reales; un anexo genérico de seguridad no identifica necesariamente todas las comunicaciones. Señale quién debe confirmar cada flujo dudoso y qué evidencia permitirá resolverlo.
La conservación también forma parte del diseño. Distinga datos originales, resultados, registros técnicos y copias de respaldo. La plantilla de plazos de conservación ayuda a convertir esas diferencias en reglas concretas. La evaluación debe explicar qué sucede al cumplirse cada regla y cómo se evita recuperar inadvertidamente datos suprimidos al restaurar una copia, sin prometer una eliminación instantánea técnicamente inexistente.
4. Necesidad y proporcionalidad antes de valorar medidas
Una medida de seguridad no proporciona una base jurídica que falta. Identifique primero la finalidad y su base de legitimación, y compruebe las condiciones adicionales de los artículos 9 o 10 cuando sean relevantes. La existencia de un contrato con una persona no convierte cualquier análisis sobre ella en necesario para ejecutarlo. Tampoco el consentimiento permite recoger información desproporcionada o ignorar una prohibición aplicable.
Explique qué mejora concreta se espera y con qué evidencia. Si se propone reconocimiento biométrico para acceder a un edificio, compare alternativas que permitan alcanzar el objetivo con menor injerencia. Una preferencia comercial por la tecnología o la comodidad administrativa no demuestra por sí sola que sea necesaria. Si una alternativa eficaz reduce el riesgo de forma sustancial, el informe debe justificar por qué se elige o se descarta.
La minimización de datos tiene consecuencias observables: campos eliminados, precisión geográfica reducida, acceso limitado a determinados puestos o procesamiento local. Describa esas decisiones de modo que una persona ajena al proyecto pueda comprobarlas. Expresiones como «solo datos necesarios» aportan poco si el formulario sigue pidiendo información que el equipo no sabe relacionar con la finalidad.
Revise también la posición de los afectados. Pueden depender de la organización, desconocer una inferencia o tener dificultades para corregir un error. La explicación de derechos debe corresponder a una vía real de atención. Una intervención humana solo reduce determinados riesgos si quien interviene dispone de información, tiempo y autoridad para cambiar la decisión; una firma rutinaria no acredita ese funcionamiento.
5. Analizar daños para las personas
El riesgo relevante no se limita a una filtración ni a la multa que pudiera recibir la empresa. Una clasificación equivocada puede excluir a alguien de una oportunidad; una comunicación indebida puede revelar una situación familiar; una vigilancia excesiva puede modificar comportamientos legítimos. Describa quién sufriría el daño y cómo se produciría, antes de asignar niveles de gravedad y probabilidad.
Puede utilizar escalas cualitativas si define qué significa cada nivel. No confunda una cifra obtenida por multiplicación con una medición objetiva. Explique las hipótesis, las evidencias y las limitaciones: frecuencia de acceso, posibilidad de abuso, dificultad de rectificación o consecuencias de una pérdida de disponibilidad. Dos escenarios con la misma puntuación pueden necesitar respuestas diferentes por la naturaleza del daño.
La seudonimización puede reducir ciertos riesgos, pero no transforma automáticamente los datos en anónimos. Examine quién conserva la información adicional y quién podría combinarla. Del mismo modo, cifrar una base no evita que un usuario autorizado utilice datos para una finalidad indebida. La evaluación debe relacionar cada medida con el escenario que realmente modifica, sin presentar un catálogo técnico como respuesta universal.
6. Ejemplo hipotético: priorización de candidaturas
Imagine una empresa que quiere ordenar candidaturas mediante una herramienta que analiza currículos. El supuesto es ilustrativo, no una conclusión jurídica sobre una solución concreta. El primer borrador del proyecto dice que una persona revisará todos los resultados. Al entrevistar al equipo de selección se descubre que las candidaturas situadas por debajo de cierto nivel no se abrirían. Ese hecho cambia la descripción y obliga a examinar los efectos reales de la automatización.
La empresa decide ensayar una alternativa sin descarte automático y retirar campos ajenos a los requisitos del puesto. Para valorar su eficacia necesita comprobar si los reclutadores revisan realmente las candidaturas, si detectan información errónea y si pueden corregirla. No basta con documentar que existe un botón de revisión. La prueba debe representar el trabajo cotidiano y recoger los fallos encontrados antes del despliegue.
Queda además una incertidumbre: el proveedor no explica suficientemente qué variables influyen en la clasificación. La conclusión de la evaluación puede ser que falta evidencia para iniciar el tratamiento, aunque otras medidas estén listas. El informe registra esa condición y quién debe resolverla. Este resultado tiene utilidad operativa: evita que una aprobación general del presupuesto se interprete como autorización para empezar a tratar datos con un riesgo todavía desconocido.
Una evaluación aportada por un proveedor puede servir como evidencia, pero debe contrastarse con el despliegue concreto. El mismo producto puede utilizarse con configuraciones, poblaciones y finalidades diferentes. Pida que se identifique qué versión fue evaluada, qué operaciones quedan fuera y qué medidas dependen del cliente. Si la conclusión presupone una retención reducida y su organización activa un historial indefinido, no puede adoptar esa conclusión sin volver a analizar el cambio.
Para cada afirmación importante, establezca una referencia que permita revisarla: descripción técnica, entrevista con el equipo operativo, resultado de una prueba o disposición jurídica. No todos los anexos tienen el mismo valor. Una afirmación comercial sobre exactitud no sustituye una comprobación pertinente para la población afectada; una certificación de seguridad tampoco resuelve por sí sola la proporcionalidad del uso. Señalar esas diferencias permite que quien decide conozca la solidez real del informe.
Antes de cerrar el documento, compruebe la coherencia entre descripción, riesgos y decisión. Si un riesgo se considera mitigado por la revisión humana, esa revisión debe figurar en el procedimiento y disponer de recursos. Si se descarta una alternativa por su coste, explique qué comparación se realizó y por qué ese argumento resulta pertinente. Una conclusión de inicio condicionada debe identificar las pruebas todavía pendientes y quién confirma que se han superado. De este modo, el informe sirve para gestionar el proyecto y para detectar desviaciones posteriores.
7. Medidas, consulta previa y responsabilidad
Asigne a cada medida una persona responsable, una fecha y una prueba de aceptación. La formación, la segregación de accesos y las restricciones de uso pueden ser tan necesarias como un cambio técnico. Recalcule el riesgo residual con las medidas efectivamente implantadas o con un estado claramente condicionado a su implantación. Si una medida es solo una intención, no debe reducir artificialmente la valoración del riesgo actual.
Cuando la evaluación muestra que el tratamiento entrañaría un alto riesgo que el responsable no puede mitigar suficientemente, procede la consulta previa del artículo 36 antes de tratar los datos. Se dirige a la autoridad competente; no equivale a enviar rutinariamente todas las EIPD a la AEPD. Deben aportarse los elementos exigidos, incluida la evaluación, y respetarse las indicaciones y poderes de la autoridad. La consulta no es una vía para obtener cobertura de un tratamiento sin fundamento jurídico.
El responsable conserva la responsabilidad de la evaluación. Debe recabar el asesoramiento del delegado de protección de datos cuando lo haya designado y, cuando proceda, la opinión de los interesados o de sus representantes, sin perjuicio de intereses comerciales o públicos y de la seguridad. Registre desacuerdos y cómo se resolvieron; la firma del DPD no sustituye la decisión que corresponde al responsable.
8. Mantener una evaluación que refleje el sistema actual
El artículo 35.11 exige revisar, cuando sea necesario y al menos si cambia el riesgo, si el tratamiento se ajusta a la evaluación. Nuevas finalidades, poblaciones, inferencias, accesos o integraciones pueden exigir una revisión. No hay una regla general que permita esperar siempre al aniversario del documento. Una revisión periódica puede organizar el trabajo, pero debe coexistir con la detección de cambios relevantes.
Conserve un historial comprensible: qué versión estaba vigente, qué modificación se evaluó y qué pruebas sustentaron la nueva decisión. Esto facilita una auditoría de cumplimiento y evita que una evaluación correcta quede vinculada a una aplicación que ya funciona de otra manera. El propietario del tratamiento necesita un procedimiento para comunicar cambios antes de que se materialicen.
Las herramientas de cumplimiento pueden evaluarse por su capacidad demostrada para mantener esas relaciones y evidencias. La AEPD ofrece recursos y herramientas de apoyo, actualmente agrupados en su área de innovación y tecnología. Utilizar un asistente o un modelo oficial no certifica el tratamiento ni reemplaza la evaluación de su funcionamiento concreto.
FAQ
¿La plantilla garantiza una EIPD válida?
No. Proporciona una estructura para documentar el trabajo. La validez de la evaluación depende de una descripción fiel, un análisis de necesidad y riesgos adecuado y medidas comprobables. Si faltan datos o persisten impedimentos jurídicos, debe quedar constancia y resolverse la situación antes de iniciar el tratamiento correspondiente.
¿Toda cámara o tecnología nueva exige una EIPD?
No por su nombre. Hay que comprobar los supuestos completos del artículo 35, las listas aplicables y el alto riesgo probable del caso. Tampoco puede concluirse que no hace falta únicamente porque el proyecto no reúna dos criterios de una lista orientativa.
¿Debe publicarse la evaluación completa?
El RGPD no impone una publicación general de todas las EIPD. Puede ser útil ofrecer una síntesis comprensible sin revelar datos personales ni detalles que comprometan la seguridad. Las obligaciones sectoriales de transparencia y los requerimientos de la autoridad deben examinarse separadamente; publicar una síntesis no sustituye el informe completo ni la consulta previa cuando proceda.