Resposta ràpida: Una Avaluació d'Impacte de Protecció de Dades (DPIA) és legalment obligatòria segons l'Article 35 del GDPR sempre que una activitat de processament pugui comportar un alt risc per als drets i llibertats de les persones. Això s'aplica a activitats com l'elaboració de perfils a gran escala, la monitorització sistemàtica d'espais públics i el processament de categories especials de dades. No realitzar-ne una quan es requereix pot exposar la vostra organització a sancions reguladores significatives i danys a la reputació.
Punts clau
- Una DPIA és obligatòria segons l'Article 35 del GDPR per a activitats de processament que "puguin comportar un alt risc" per als drets i llibertats de les persones [3]
- Tres tipus de processament sempre requereixen una DPIA: avaluació sistemàtica de persones, processament a gran escala de dades sensibles i monitorització sistemàtica d'àrees d'accés públic [3]
- Les autoritats nacionals de protecció de dades publiquen llistes d'operacions de processament que requereixen una DPIA, proporcionant orientació específica per a cada jurisdicció [3]
- Ometre una DPIA requerida pot resultar en multes de fins a 10 milions d'euros o el 2% de la facturació anual global segons el GDPR
- L'EDPB va adoptar una plantilla de DPIA estandarditzada l'abril de 2026 per millorar la coherència entre els estats membres de la UE [1]
- Els sistemes d'IA i els models d'aprenentatge automàtic que prenen decisions automatitzades amb efectes significatius sobre les persones gairebé sempre requereixen una DPIA [2]
- Les petites empreses no estan exemptes automàticament; el desencadenant és la naturalesa del processament, no la mida de l'organització [5]
- Una DPIA és un document viu que s'ha de revisar i actualitzar sempre que les activitats de processament canviïn materialment [3]
- Si els riscos residuals continuen sent alts després de la mitigació, les organitzacions han de consultar la seva autoritat de supervisió abans de procedir [3]
- Una DPIA difereix d'una Avaluació d'Impacte de Privadesa (PIA) principalment en la seva base legal i les obligacions de consulta obligatòries
Què és una DPIA i per què la necessites?
Una Avaluació d'Impacte de Protecció de Dades és un procés estructurat que ajuda les organitzacions a identificar, avaluar i mitigar els riscos per a les persones derivats de les activitats de processament de dades. Segons el GDPR, no és una orientació opcional, és una obligació legal per al processament d'alt risc [3].
L'objectiu principal d'una DPIA és la rendició de comptes. Obliga les organitzacions a pensar sistemàticament sobre quines dades recullen, per què les recullen, qui hi té accés i què podria sortir malament. La Comissió Irlandesa de Protecció de Dades la descriu com una eina que demostra que una organització ha considerat els riscos de privadesa abans que comenci el processament, en lloc de després que es produeixi una infracció [5].
Una DPIA normalment cobreix:
- Una descripció del processament i els seus propòsits
- Una avaluació de la necessitat i la proporcionalitat
- Una avaluació dels riscos per als interessats
- Mesures previstes per abordar aquests riscos
L'EDPB va adoptar una plantilla de DPIA estandarditzada l'abril de 2026 per ajudar les organitzacions a estructurar aquest procés de manera coherent a tota la UE [1].
Quan es requereix una DPIA segons el GDPR?
L'Article 35 del GDPR requereix una DPIA abans de qualsevol processament que "pugui comportar un alt risc" per als drets i llibertats de les persones físiques [3]. Tres escenaris específics sempre desencadenen aquesta obligació:
- Elaboració de perfils sistemàtica i extensa amb efectes significatius, inclosa la presa de decisions automatitzada
- Processament a gran escala de categories especials de dades (salut, biomètriques, origen racial, etc.) o dades personals relatives a condemnes penals
- Monitorització sistemàtica d'àrees d'accés públic a gran escala
Més enllà d'aquests tres, les autoritats nacionals de supervisió publiquen llistes d'operacions de processament que requereixen una DPIA a la seva jurisdicció. Les organitzacions que operen en diversos estats membres de la UE haurien de consultar cada llista nacional rellevant.
Regla de decisió: Si el vostre processament compleix dos o més dels nou criteris de risc de l'EDPB (nova tecnologia, gran escala, dades sensibles, monitorització sistemàtica, coincidència o combinació de conjunts de dades, interessats vulnerables, ús innovador, risc de denegació de servei o presa de decisions automatitzada), gairebé segur que es requereix una DPIA [4].
Què es considera processament de dades d'alt risc?
El processament d'alt risc es defineix per la naturalesa, l'abast, el context i la finalitat de l'activitat, no simplement pel volum de dades implicades. L'EDPB proporciona directrius que identifiquen característiques específiques que eleven el processament a l'estat d'alt risc [4].
Els indicadors clau inclouen:
| Indicador de risc | Exemple |
|---|---|
| Presa de decisions automatitzada | Puntuació de crèdit, models de risc d'assegurances |
| Categories de dades sensibles | Registres de salut, autenticació biomètrica |
| Processament a gran escala | Bases de dades de programes de fidelització nacionals |
| Monitorització d'àrees públiques | CCTV amb reconeixement facial |
| Coincidència o combinació de dades | Referència creuada de xarxes socials amb l'historial de compres |
| Interessats vulnerables | Nens, pacients, empleats |
| Tecnologia nova o no provada | IA generativa, eines de detecció d'emocions |
Un sol indicador no obliga automàticament a una DPIA, però dos o més en combinació gairebé sempre sí. El processament que implica tant dades sensibles com presa de decisions automatitzada, per exemple, supera el llindar sense cap dubte.
Com sé si la meva empresa necessita una DPIA?
La resposta depèn del que la vostra organització fa realment amb les dades personals, no de la vostra indústria o mida de l'empresa. Qualsevol responsable del tractament, ja sigui una startup, un hospital o una agència de màrqueting, ha de realitzar una DPIA si el seu processament compleix el llindar d'alt risc [5].
Un procés de cribratge pràctic:
- Mapejar totes les activitats actuals de processament de dades
- Aplicar els nou criteris de risc de l'EDPB a cada activitat
- Consultar la llista de "coses obligatòries" publicada per la vostra autoritat de supervisió nacional
- Per a qualsevol activitat que obtingui dos o més criteris, iniciar una DPIA
- Documentar la decisió de cribratge fins i tot quan no es requereix una DPIA
Error comú: Les organitzacions assumeixen que, com que són petites, estan exemptes. La mida és irrellevant. Una startup de dues persones que executa una eina de contractació basada en IA que pren decisions automatitzades sobre els sol·licitants de feina ha de realitzar una DPIA.
Què passa si no fas una DPIA quan es requereix?
No realitzar una DPIA requerida és en si mateix una violació del GDPR, independentment de si es produeix algun dany real als interessats. Les autoritats de supervisió poden imposar multes de fins a 10 milions d'euros o el 2% de la facturació anual global per aquesta infracció específica [3].
Més enllà de les sancions econòmiques, les conseqüències inclouen:
- Suspensió obligatòria de l'activitat de processament
- Dany a la reputació per decisions d'aplicació públiques
- Major escrutini i obligacions d'auditoria per part de l'autoritat de supervisió
- Responsabilitat personal per als delegats de protecció de dades que no van assessorar correctament
Si els riscos residuals continuen sent alts després d'aplicar les mesures de mitigació, les organitzacions han de consultar la seva autoritat de supervisió abans que comenci el processament. Procedir sense aquesta consulta és una violació addicional [3].
DPIA vs. Avaluació d'Impacte de Privadesa: Quina és la diferència?
Una Avaluació d'Impacte de Privadesa (PIA) és un marc de bones pràctiques més ampli i voluntari que precedeix el GDPR. Una DPIA és el seu successor legalment obligatori segons la llei de protecció de dades de la UE. Els dos termes s'utilitzen de vegades de manera intercanviable, però comporten obligacions diferents.
| Característica | PIA | DPIA |
|---|---|---|
| Base legal | Bones pràctiques | GDPR Article 35 |
| Obligatori | No | Sí, quan hi ha alt risc |
| Consulta a l'autoritat de supervisió | No requerida | Requerida si el risc residual és alt |
| Plantilla estandarditzada | Varia | Plantilla EDPB (2026) [1] |
| Obligació de documentació | Recomanada | Legalment requerida |
Les organitzacions que van realitzar PIA abans de l'entrada en vigor del GDPR haurien de revisar si aquestes avaluacions compleixen l'estàndard DPIA més rigorós.
Requisits de la DPIA per a la IA i l'aprenentatge automàtic
Els sistemes d'IA que prenen o influeixen significativament en les decisions sobre les persones gairebé sempre requereixen una DPIA. La presa de decisions automatitzada amb efectes legals o similars significatius és un dels tres desencadenants principals segons l'Article 35 del GDPR [4].
La Llei d'IA de la UE, que va entrar en vigor plenament el 2 d'agost de 2026, introdueix una capa addicional: l'Avaluació d'Impacte dels Drets Fonamentals (FRIA) per a sistemes d'IA d'alt risc. S'anima fermament les organitzacions a integrar els seus processos de DPIA i FRIA per evitar duplicar esforços i garantir una cobertura integral tant de la protecció de dades com dels riscos dels drets fonamentals [2].
Els casos d'ús específics de la IA que requereixen una DPIA inclouen:
- Algorismes de contractació que filtren o classifiquen candidats
- Models de puntuació de crèdit i assegurances
- Sistemes de policia predictiva o detecció de fraus
- Eines de diagnòstic de salut o recomanació de tractament
- Plataformes de publicitat conductual que utilitzen perfils inferits
Cas límit: Fins i tot els sistemes d'IA que no prenen decisions finals, però influeixen significativament en els decisors humans, poden desencadenar el requisit de la DPIA si el processament de dades subjacent és a gran escala o implica categories sensibles.
Les petites empreses necessiten fer DPIA?
Les petites i mitjanes empreses no estan exemptes de les obligacions de la DPIA. El desencadenant legal és la naturalesa i el nivell de risc de l'activitat de processament, no la mida o els ingressos de l'organització [5].
Dit això, moltes petites empreses realitzen processaments de baix risc, gestionant una llista de correu electrònic de clients, per exemple, que no requereix una DPIA. L'obligació només sorgeix quan el processament en si mateix supera el llindar d'alt risc.
Trieu una DPIA si la vostra petita empresa:
- Utilitza l'elaboració de perfils automatitzada per personalitzar el contingut o els preus
- Processa dades de salut, financeres o biomètriques
- Opera una plataforma on els nens són usuaris probables
- Desplega tecnologies de seguiment que construeixen perfils de comportament a gran escala
Una plataforma de gestió del consentiment com Biscotti CMP pot ajudar les petites empreses a gestionar els registres de consentiment i demostrar la rendició de comptes, la qual cosa dóna suport al marc de compliment més ampli en què s'insereix una DPIA.
Què s'ha d'incloure en un informe de DPIA?
Un informe de DPIA complet ha de contenir diversos elements obligatoris segons l'Article 35(7) del GDPR [3]:
- Descripció sistemàtica de les operacions de processament i els seus propòsits, inclòs l'interès legítim perseguit si escau
- Avaluació de la necessitat i la proporcionalitat en relació amb la finalitat declarada
- Avaluació dels riscos per als drets i llibertats dels interessats
- Mesures previstes per abordar els riscos, incloses salvaguardes, mesures de seguretat i mecanismes per garantir la protecció de dades
La plantilla estandarditzada de l'EDPB de 2026 estructura aquests elements en un format coherent que les autoritats de supervisió de tota la UE reconeixen [1]. Utilitzar-la redueix el risc que una DPIA es consideri incompleta durant una auditoria.
Els elements addicionals de bones pràctiques inclouen els registres de consulta amb el Delegat de Protecció de Dades, l'aportació de les parts interessades dels interessats o els seus representants quan sigui factible, i una signatura de risc residual.
Quant costa una DPIA i la pots fer tu mateix?
El cost d'una DPIA varia àmpliament segons la complexitat. Una avaluació interna senzilla per a una activitat de processament ben documentada es pot completar internament en qüestió de dies. Les avaluacions complexes que impliquen sistemes d'IA, fluxos de dades transfronterers o múltiples responsables del tractament poden trigar setmanes i poden justificar l'experiència legal o tècnica externa.
Rang de costos aproximats (estimacions basades en les normes del mercat):
- DPIA interna per a processament de baixa complexitat: cost mínim, principalment temps del personal (8-20 hores)
- DPIA dirigida per consultors per a complexitat moderada: normalment 2.000-8.000 euros
- Revisió legal i tècnica completa per a sistemes d'IA d'alta complexitat: 10.000 euros o més
Les organitzacions amb un DPO nomenat haurien d'implicar-lo des del principi. El paper del DPO inclou assessorar sobre si es requereix una DPIA i revisar l'avaluació completada [3]. Per a les organitzacions sense experiència interna, és aconsellable contractar un consultor especialista per a qualsevol processament que impliqui nova tecnologia o categories de dades sensibles.
Amb quina freqüència s'ha d'actualitzar o refer una DPIA?
Una DPIA no és un exercici puntual. És un document viu que s'ha de revisar sempre que hi hagi un canvi material en l'activitat de processament que cobreix [3].
Els desencadenants d'una revisió o reavaluació completa inclouen:
- Introducció de nova tecnologia o un nou proveïdor a la cadena de processament
- Ampliació de l'abast o el volum de dades recollides
- Canvi de la finalitat del processament
- Una violació de dades o un quasi-accident que reveli riscos no identificats prèviament
- Nova orientació d'una autoritat de supervisió que afecti l'avaluació de riscos
- Canvis significatius en l'entorn legal o regulador
Com a base, les organitzacions haurien de programar una revisió periòdica de totes les DPIA almenys cada dos o tres anys, fins i tot en absència de canvis específics. L'EDPB tracta les DPIA com a eines de rendició de comptes que han de reflectir la realitat actual, no instantànies històriques [3].
Comprovador de decisions de la DPIA
Preguntes freqüents
Cal completar una DPIA abans que comenci el processament? Sí. L'Article 35 del GDPR requereix que la DPIA es realitzi abans de l'activitat de processament, no després que hagi començat. Iniciar un processament d'alt risc sense una DPIA completada és en si mateix una violació [3].
Qui és el responsable de realitzar una DPIA? El responsable del tractament és legalment responsable. Quan s'ha nomenat un Delegat de Protecció de Dades, se l'ha de consultar durant el procés. Els encarregats del tractament poden ajudar, però la responsabilitat recau en el responsable del tractament [3].
Cal fer pública una DPIA? No. No hi ha cap requisit legal per publicar una DPIA. No obstant això, les organitzacions han de posar-la a disposició de la seva autoritat de supervisió a petició, i les conclusions generals es poden compartir amb els interessats com a part de les obligacions de transparència.
Què és la consulta prèvia i quan s'aplica? Si una DPIA conclou que els riscos residuals continuen sent alts després d'aplicar totes les mesures de mitigació, el responsable del tractament ha de consultar la seva autoritat de supervisió abans de procedir. L'autoritat té llavors fins a vuit setmanes per respondre [3].
Pot una DPIA cobrir diverses activitats de processament similars? Sí. L'EDPB confirma que una única DPIA pot abordar un conjunt d'operacions de processament similars que presenten riscos elevats comparables. Això és comú per a organitzacions que executen diverses campanyes o productes amb la mateixa arquitectura de dades subjacent [4].
S'aplica el GDPR si la meva empresa és fora de la UE? El GDPR s'aplica a qualsevol organització que processi dades personals de residents de la UE, independentment d'on estigui ubicada l'organització. Les empreses no pertanyents a la UE que s'adrecen a usuaris de la UE han de complir les obligacions de la DPIA igual que les empreses amb seu a la UE.
Es requereix una DPIA per a activitats de processament existents? Una DPIA es requereix principalment per a processaments nous. No obstant això, si una activitat existent canvia materialment o si mai es va avaluar i comporta un alt risc, una DPIA retrospectiva és molt aconsellable i pot ser requerida per una autoritat de supervisió [3].
Quin paper juga una plataforma de gestió del consentiment en el compliment de la DPIA? Una plataforma de gestió del consentiment com Biscotti CMP ajuda les organitzacions a recollir, registrar i gestionar el consentiment de l'usuari d'una manera que dóna suport als requisits de rendició de comptes que sustenten el compliment de la DPIA, particularment per al seguiment basat en cookies i les activitats d'elaboració de perfils de comportament.
Conclusió
Entendre quan necessites una DPIA i realitzar una guia per a avaluacions de dades d'alt risc amb un rigor genuí, és un dels indicadors més clars d'un programa de protecció de dades madur. L'obligació no és una tasca burocràtica: és un mètode estructurat per identificar danys abans que arribin als interessats.
Pròxims passos accionables per al 2026:
- Mapejar totes les activitats de processament i cribrar cadascuna segons els nou criteris de risc de l'EDPB [4]
- Descarregar i utilitzar la plantilla de DPIA estandarditzada de l'EDPB, adoptada l'abril de 2026 [1]
- Consultar la llista publicada per la vostra autoritat de supervisió nacional d'activitats de DPIA obligatòries
- Per a qualsevol desplegament d'IA o aprenentatge automàtic, integrar la vostra DPIA amb el procés FRIA de la Llei d'IA de la UE [2]
- Establir recordatoris al calendari per revisar les DPIA existents almenys cada dos anys o després de qualsevol canvi material
- Si els riscos residuals continuen sent alts després de la mitigació, consultar la vostra autoritat de supervisió abans de procedir [3]
- Assegurar-vos que la vostra infraestructura de gestió del consentiment, incloses eines com Biscotti CMP, dóna suport als registres de rendició de comptes dels quals depèn el vostre programa de DPIA
Les organitzacions que tracten les DPIA com a eines de rendició de comptes vives, en lloc de tasques de compliment puntuals, estaran millor posicionades per adaptar-se a mesura que les expectatives reguladores continuïn evolucionant.
Referències
[1] Enhancing Compliance And Consistency Edpb Adopts Dpia Template Et - https://www.edpb.europa.eu/news/enhancing-compliance-and-consistency-edpb-adopts-dpia-template_et?utm_source=openai
[2] Integrating Dpia And Fria Under The Eu Ai Act - https://digital.nemko.com/insights/integrating-dpia-and-fria-under-the-eu-ai-act?utm_source=openai
[3] When Data Protection Impact Assessment Dpia Required En - https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/obligations/when-data-protection-impact-assessment-dpia-required_en?utm_source=openai
[4] Data Protection Impact Assessment En - https://www.edpb.europa.eu/topics/accountability-and-compliance-tools/data-protection-impact-assessment_en?utm_source=openai
[5] Guide Data Protection Impact Assessments - https://www.dataprotection.ie/en/dpc-guidance/guide-data-protection-impact-assessments?utm_source=openai
[6] Data Protection Impact Assessments - https://cy.ico.org.uk/for-organisations/law-enforcement/guide-to-le-processing/accountability-and-governance/data-protection-impact-assessments/?utm_source=openai