Evaluación de Impacto en Protección de Datos (EIPD): Lista Obligatoria AEPD y Metodología en 7 Pasos
El principio de responsabilidad proactiva (accountability) del RGPD exige que las organizaciones evalúen el impacto en la privacidad de los usuarios antes de iniciar cualquier tratamiento de datos que entrañe un alto riesgo para los derechos y libertades de las personas. No realizar una EIPD cuando resulta preceptiva constituye una de las infracciones más severamente multadas por la AEPD.
La AEPD ha publicado una lista vinculante de supuestos donde la EIPD es obligatoria si concurren dos o más criterios de riesgo, incluyendo: 1. Perfilado o puntuación de individuos (scoring). 2. Tratamiento masivo de categorías especiales de datos (salud, biometría, afiliación sindical). 3. Monitorización sistemática de empleados o espacios públicos con cámaras inteligentes. 4. Uso de tecnologías emergentes como sistemas de Inteligencia Artificial generativa aplicada a clientes.
Los 7 Pasos Fundamentales de una EIPD Conforme a la Guía AEPD
- Descripción sistemática del ciclo de vida: Flujos de datos, finalidades, bases jurídicas y destinatarios o encargados del tratamiento.
- Evaluación de necesidad y proporcionalidad: Justificar por qué no existe una medida menos invasiva para lograr el mismo objetivo comercial o técnico.
- Identificación de amenazas a la privacidad: Accesos no autorizados, fugas de información, discriminación algorítmica o pérdida de disponibilidad.
- Medición del impacto y probabilidad: Matriz de riesgo cuantitativa y cualitativa.
- Definición de salvaguardas y medidas correctoras: Cifrado de datos en reposo y en tránsito, pseudonimización y controles de acceso RBAC.
- Dictamen preceptivo del Delegado de Protección de Datos (DPD): Valoración formal de conformidad firmada por el DPO.
- Consulta previa a la AEPD (si el riesgo residual es alto): Obligación de elevar el expediente a la autoridad si las medidas no mitigan el peligro sustancial.
IgeraCompliance — Matriz Automatizada de EIPD
❓ Departamento RRHH: «Vamos a implantar reconocimiento facial para el fichaje y control horario de los 150 operarios en planta. ¿Necesitamos EIPD?»
🤖 Respuesta Técnica: «Rotundamente SÍ. El criterio vinculante de la AEPD (Guía de Control de Presencia y Biometría) considera el reconocimiento facial como tratamiento de categorías especiales de datos (Art. 9 RGPD) en un contexto asimétrico laboral. Además de requerir una EIPD previa rigurosa, la AEPD exige justificar la imposibilidad técnica de emplear medios menos intrusivos (como tarjetas RFID o códigos PIN), bajo apercibimiento de nulidad y sanción millonaria.»
⏱ 1.5s · 📄 Criterio AEPD Biometría 2023 · Art. 35 RGPD · 🚫 0 alucinaciones
Elabora tus Evaluaciones de Impacto con expertos de IgeraCompliance
Nuestros auditores jurídicos y técnicos redactan la EIPD conforme al estándar de la AEPD y el Esquema Nacional de Seguridad (ENS).
Solicitar Auditoría EIPDHerramientas de Privacidad y RegTech
← Blog de Privacidad, Seguridad y Marco Legal de IA📥 Descargar Plantilla Completa de EIPD Adaptada a la Guía Oficial AEPD (Word Gratuito)