Respuesta rápida: Una Evaluación de Impacto de Protección de Datos (EIPD) es legalmente requerida bajo el Artículo 35 del GDPR siempre que una actividad de procesamiento sea probable que resulte en un alto riesgo para los derechos y libertades de los individuos. Esto se aplica a actividades como la elaboración de perfiles a gran escala, el monitoreo sistemático de espacios públicos y el procesamiento de categorías especiales de datos. No realizar una cuando es necesario puede exponer a su organización a sanciones regulatorias significativas y daños a la reputación.
Puntos clave
- Una EIPD es obligatoria según el Artículo 35 del GDPR para las actividades de procesamiento que "probablemente resulten en un alto riesgo" para los derechos y libertades de los individuos [3].
- Tres tipos de procesamiento siempre requieren una EIPD: evaluación sistemática de individuos, procesamiento a gran escala de datos sensibles y monitoreo sistemático de áreas de acceso público [3].
- Las Autoridades Nacionales de Protección de Datos publican listas de operaciones de procesamiento que requieren una EIPD, proporcionando orientación específica de la jurisdicción [3].
- Omitir una EIPD requerida puede resultar en multas de hasta 10 millones de euros o el 2% de la facturación anual global bajo el GDPR.
- El CEPD adoptó una plantilla estandarizada de EIPD en abril de 2026 para mejorar la coherencia en los estados miembros de la UE [1].
- Los sistemas de IA y los modelos de aprendizaje automático que toman decisiones automatizadas con efectos significativos en los individuos casi siempre requieren una EIPD [2].
- Las pequeñas empresas no están exentas automáticamente; el desencadenante es la naturaleza del procesamiento, no el tamaño de la organización [5].
- Una EIPD es un documento vivo que debe revisarse y actualizarse cada vez que las actividades de procesamiento cambien materialmente [3].
- Si los riesgos residuales siguen siendo altos después de la mitigación, las organizaciones deben consultar a su autoridad de supervisión antes de proceder [3].
- Una EIPD difiere de una Evaluación de Impacto de Privacidad (PIA) principalmente en su base legal y obligaciones de consulta obligatorias.
¿Qué es una EIPD y por qué la necesita?
Una Evaluación de Impacto de Protección de Datos es un proceso estructurado que ayuda a las organizaciones a identificar, evaluar y mitigar los riesgos para los individuos derivados de las actividades de procesamiento de datos. Según el GDPR, no es una guía opcional, es una obligación legal para el procesamiento de alto riesgo [3].
El propósito principal de una EIPD es la rendición de cuentas. Obliga a las organizaciones a pensar sistemáticamente sobre qué datos recopilan, por qué los recopilan, quién tiene acceso y qué podría salir mal. La Comisión de Protección de Datos de Irlanda la describe como una herramienta que demuestra que una organización ha considerado los riesgos de privacidad antes de que comience el procesamiento, en lugar de después de que ocurra una infracción [5].
Una EIPD típicamente cubre:
- Una descripción del procesamiento y sus propósitos
- Una evaluación de la necesidad y proporcionalidad
- Una evaluación de los riesgos para los interesados
- Medidas planificadas para abordar esos riesgos
El CEPD adoptó una plantilla estandarizada de EIPD en abril de 2026 para ayudar a las organizaciones a estructurar este proceso de manera consistente en toda la UE [1].
¿Cuándo se requiere una EIPD según el GDPR?
El Artículo 35 del GDPR requiere una EIPD antes de cualquier procesamiento que "probablemente resulte en un alto riesgo" para los derechos y libertades de las personas físicas [3]. Tres escenarios específicos siempre desencadenan esta obligación:
- Elaboración de perfiles sistemática y exhaustiva con efectos significativos, incluida la toma de decisiones automatizada.
- Procesamiento a gran escala de categorías especiales de datos (salud, biométricos, origen racial, etc.) o datos personales relacionados con condenas penales.
- Monitoreo sistemático de áreas de acceso público a gran escala.
Más allá de estos tres, las autoridades de supervisión nacionales publican listas de operaciones de procesamiento que requieren una EIPD en su jurisdicción. Las organizaciones que operan en varios estados miembros de la UE deben consultar cada lista nacional relevante.
Regla de decisión: Si su procesamiento cumple dos o más de los nueve criterios de riesgo del CEPD (nueva tecnología, gran escala, datos sensibles, monitoreo sistemático, cotejo o combinación de conjuntos de datos, interesados vulnerables, uso innovador, riesgo de denegación de servicio o toma de decisiones automatizada), es casi seguro que se requiere una EIPD [4].
¿Qué se considera procesamiento de datos de alto riesgo?
El procesamiento de alto riesgo se define por la naturaleza, el alcance, el contexto y el propósito de la actividad, no simplemente por el volumen de datos involucrados. El CEPD proporciona directrices que identifican características específicas que elevan el procesamiento a un estado de alto riesgo [4].
Los indicadores clave incluyen:
| Indicador de riesgo | Ejemplo |
|---|---|
| Toma de decisiones automatizada | Puntuación crediticia, modelos de riesgo de seguros |
| Categorías de datos sensibles | Registros de salud, autenticación biométrica |
| Procesamiento a gran escala | Bases de datos de programas de fidelización nacionales |
| Monitoreo de áreas públicas | CCTV con reconocimiento facial |
| Cotejo o combinación de datos | Referencia cruzada de redes sociales con historial de compras |
| Interesados vulnerables | Niños, pacientes, empleados |
| Tecnología nueva o no probada | IA generativa, herramientas de detección de emociones |
Un solo indicador no exige automáticamente una EIPD, pero dos o más en combinación casi siempre lo hacen. El procesamiento que involucra tanto datos sensibles como toma de decisiones automatizada, por ejemplo, supera el umbral sin lugar a dudas.
¿Cómo sé si mi empresa necesita una EIPD?
La respuesta depende de lo que su organización realmente haga con los datos personales, no de su industria o tamaño de empresa. Cualquier controlador, ya sea una startup, un hospital o una agencia de marketing, debe realizar una EIPD si su procesamiento cumple el umbral de alto riesgo [5].
Un proceso de selección práctico:
- Mapear todas las actividades actuales de procesamiento de datos
- Aplicar los nueve criterios de riesgo del CEPD a cada actividad
- Consultar la lista de "obligaciones" publicada por la autoridad de supervisión nacional
- Para cualquier actividad que cumpla dos o más criterios, iniciar una EIPD
- Documentar la decisión de selección incluso cuando no se requiera una EIPD
Error común: Las organizaciones asumen que, por ser pequeñas, están exentas. El tamaño es irrelevante. Una startup de dos personas que ejecuta una herramienta de contratación basada en IA que toma decisiones automatizadas sobre los solicitantes de empleo debe realizar una EIPD.
¿Qué sucede si no se realiza una EIPD cuando es requerida?
No realizar una EIPD requerida es en sí mismo una violación del GDPR, independientemente de si se produce algún daño real a los interesados. Las autoridades de supervisión pueden imponer multas de hasta 10 millones de euros o el 2% de la facturación anual global por esta infracción específica [3].
Más allá de las sanciones financieras, las consecuencias incluyen:
- Suspensión obligatoria de la actividad de procesamiento
- Daño a la reputación por decisiones de aplicación públicas
- Mayor escrutinio y obligaciones de auditoría por parte de la autoridad de supervisión
- Responsabilidad personal para los Delegados de Protección de Datos que no asesoraron correctamente
Si los riesgos residuales siguen siendo altos después de aplicar las medidas de mitigación, las organizaciones deben consultar a su autoridad de supervisión antes de que comience el procesamiento. Proceder sin esa consulta es una violación adicional [3].
EIPD vs. Evaluación de Impacto de Privacidad: ¿Cuál es la diferencia?
Una Evaluación de Impacto de Privacidad (PIA) es un marco de mejores prácticas más amplio y voluntario que precede al GDPR. Una EIPD es su sucesora legalmente obligatoria bajo la ley de protección de datos de la UE. Los dos términos a veces se usan indistintamente, pero conllevan diferentes obligaciones.
| Característica | PIA | EIPD |
|---|---|---|
| Base legal | Mejores prácticas | Artículo 35 del GDPR |
| Obligatorio | No | Sí, cuando hay alto riesgo |
| Consulta con la autoridad de supervisión | No requerida | Requerida si el riesgo residual es alto |
| Plantilla estandarizada | Varía | Plantilla del CEPD (2026) [1] |
| Obligación de documentación | Recomendado | Legalmente requerido |
Las organizaciones que realizaron PIA antes de la entrada en vigor del GDPR deben revisar si esas evaluaciones cumplen con el estándar más riguroso de la EIPD.
Requisitos de EIPD para IA y Aprendizaje Automático
Los sistemas de IA que toman o influyen significativamente en las decisiones sobre los individuos casi siempre requieren una EIPD. La toma de decisiones automatizada con efectos legales o igualmente significativos es uno de los tres desencadenantes principales según el Artículo 35 del GDPR [4].
La Ley de IA de la UE, que entró en vigor plenamente el 2 de agosto de 2026, introduce una capa adicional: la Evaluación de Impacto de Derechos Fundamentales (FRIA) para sistemas de IA de alto riesgo. Se recomienda encarecidamente a las organizaciones que integren sus procesos de EIPD y FRIA para evitar duplicar esfuerzos y garantizar una cobertura integral de los riesgos de protección de datos y derechos fundamentales [2].
Los casos de uso específicos de IA que requieren una EIPD incluyen:
- Algoritmos de contratación que filtran o clasifican candidatos
- Modelos de puntuación crediticia y de seguros
- Sistemas de policía predictiva o detección de fraude
- Herramientas de diagnóstico o recomendación de tratamiento de salud
- Plataformas de publicidad conductual que utilizan perfiles inferidos
Caso límite: Incluso los sistemas de IA que no toman decisiones finales pero influyen significativamente en los tomadores de decisiones humanos pueden desencadenar el requisito de EIPD si el procesamiento de datos subyacente es a gran escala o involucra categorías sensibles.
¿Las pequeñas empresas necesitan realizar EIPD?
Las pequeñas y medianas empresas no están exentas de las obligaciones de la EIPD. El desencadenante legal es la naturaleza y el nivel de riesgo de la actividad de procesamiento, no el tamaño o los ingresos de la organización [5].
Dicho esto, muchas pequeñas empresas realizan procesamiento de bajo riesgo, como la gestión de una lista de correo electrónico de clientes, que no requiere una EIPD. La obligación solo surge cuando el procesamiento en sí cruza el umbral de alto riesgo.
Elija una EIPD si su pequeña empresa:
- Utiliza perfiles automatizados para personalizar contenido o precios
- Procesa datos de salud, financieros o biométricos
- Opera una plataforma donde es probable que los niños sean usuarios
- Despliega tecnologías de seguimiento que construyen perfiles de comportamiento a escala
Una plataforma de gestión de consentimiento como Biscotti CMP puede ayudar a las pequeñas empresas a gestionar los registros de consentimiento y demostrar la rendición de cuentas, lo que respalda el marco de cumplimiento más amplio en el que se enmarca una EIPD.
¿Qué debe incluir un informe de EIPD?
Un informe completo de EIPD debe contener varios elementos obligatorios según el Artículo 35(7) del GDPR [3]:
- Descripción sistemática de las operaciones de procesamiento y sus propósitos, incluido el interés legítimo perseguido, si corresponde.
- Evaluación de la necesidad y proporcionalidad en relación con el propósito declarado.
- Evaluación de los riesgos para los derechos y libertades de los interesados.
- Medidas previstas para abordar los riesgos, incluidas salvaguardias, medidas de seguridad y mecanismos para garantizar la protección de datos.
La plantilla estandarizada del CEPD de 2026 estructura estos elementos en un formato consistente que las autoridades de supervisión de toda la UE reconocen [1]. Su uso reduce el riesgo de que una EIPD se considere incompleta durante una auditoría.
Los elementos adicionales de mejores prácticas incluyen registros de consulta con el Delegado de Protección de Datos, aportes de las partes interesadas de los interesados o sus representantes cuando sea factible, y una aprobación de riesgo residual.
¿Cuánto cuesta una EIPD y se puede hacer uno mismo?
El costo de una EIPD varía ampliamente según la complejidad. Una evaluación interna sencilla para una actividad de procesamiento bien documentada puede completarse internamente en cuestión de días. Las evaluaciones complejas que involucran sistemas de IA, flujos de datos transfronterizos o múltiples controladores de datos pueden llevar semanas y pueden requerir experiencia legal o técnica externa.
Rangos de costos aproximados (estimaciones basadas en normas del mercado):
- EIPD interna para procesamiento de baja complejidad: costo mínimo, principalmente tiempo del personal (8-20 horas)
- EIPD dirigida por consultores para complejidad moderada: típicamente 2,000-8,000 euros
- Revisión legal y técnica completa para sistemas de IA de alta complejidad: 10,000 euros o más
Las organizaciones con un DPO designado deben involucrarlo desde el principio. El papel del DPO incluye asesorar sobre si se requiere una EIPD y revisar la evaluación completada [3]. Para organizaciones sin experiencia interna, es aconsejable contratar a un consultor especializado para cualquier procesamiento que involucre nueva tecnología o categorías de datos sensibles.
¿Con qué frecuencia se debe actualizar o rehacer una EIPD?
Una EIPD no es un ejercicio único. Es un documento vivo que debe revisarse cada vez que haya un cambio material en la actividad de procesamiento que cubre [3].
Los desencadenantes para una revisión o reevaluación completa incluyen:
- Introducción de nueva tecnología o un nuevo proveedor en la cadena de procesamiento
- Expansión del alcance o volumen de datos recopilados
- Cambio del propósito del procesamiento
- Una violación de datos o un casi incidente que revela riesgos no identificados previamente
- Nueva orientación de una autoridad de supervisión que afecta la evaluación de riesgos
- Cambios significativos en el entorno legal o regulatorio
Como base, las organizaciones deben programar una revisión periódica de todas las EIPD al menos cada dos o tres años, incluso en ausencia de cambios específicos. El CEPD trata las EIPD como herramientas de rendición de cuentas que deben reflejar la realidad actual, no instantáneas históricas [3].
Verificador de decisiones de EIPD
Preguntas frecuentes
¿Es necesario completar una EIPD antes de que comience el procesamiento? Sí. El Artículo 35 del GDPR exige que la EIPD se realice antes de la actividad de procesamiento, no después de que haya comenzado. Iniciar el procesamiento de alto riesgo sin una EIPD completada es en sí mismo una violación [3].
¿Quién es responsable de realizar una EIPD? El controlador de datos es legalmente responsable. Cuando se ha designado un Delegado de Protección de Datos, debe ser consultado durante el proceso. Los procesadores pueden ayudar, pero la responsabilidad recae en el controlador [3].
¿Es necesario hacer pública una EIPD? No. No existe un requisito legal para publicar una EIPD. Sin embargo, las organizaciones deben ponerla a disposición de su autoridad de supervisión si se solicita, y las conclusiones generales pueden compartirse con los interesados como parte de las obligaciones de transparencia.
¿Qué es la consulta previa y cuándo se aplica? Si una EIPD concluye que los riesgos residuales siguen siendo altos después de aplicar todas las medidas de mitigación, el controlador debe consultar a su autoridad de supervisión antes de proceder. La autoridad tiene entonces hasta ocho semanas para responder [3].
¿Puede una EIPD cubrir múltiples actividades de procesamiento similares? Sí. El CEPD confirma que una sola EIPD puede abordar un conjunto de operaciones de procesamiento similares que presentan riesgos altos comparables. Esto es común para organizaciones que ejecutan múltiples campañas o productos con la misma arquitectura de datos subyacente [4].
¿Se aplica el GDPR si mi empresa está fuera de la UE? El GDPR se aplica a cualquier organización que procese datos personales de residentes de la UE, independientemente de dónde se encuentre la organización. Las empresas no pertenecientes a la UE que se dirigen a usuarios de la UE deben cumplir con las obligaciones de la EIPD al igual que las empresas con sede en la UE.
¿Se requiere una EIPD para las actividades de procesamiento existentes? Una EIPD se requiere principalmente para el procesamiento nuevo. Sin embargo, si una actividad existente cambia materialmente o si nunca se evaluó y conlleva un alto riesgo, una EIPD retrospectiva es muy recomendable y puede ser requerida por una autoridad de supervisión [3].
¿Qué papel juega una plataforma de gestión de consentimiento en el cumplimiento de la EIPD? Una plataforma de gestión de consentimiento como Biscotti CMP ayuda a las organizaciones a recopilar, registrar y gestionar el consentimiento del usuario de una manera que respalda los requisitos de rendición de cuentas que sustentan el cumplimiento de la EIPD, particularmente para el seguimiento basado en cookies y las actividades de elaboración de perfiles de comportamiento.
Conclusión
Comprender cuándo se necesita una EIPD y realizar una guía para las evaluaciones de datos de alto riesgo con un rigor genuino, es uno de los marcadores más claros de un programa maduro de protección de datos. La obligación no es una mera formalidad burocrática: es un método estructurado para identificar el daño antes de que llegue a los interesados.
Próximos pasos accionables para 2026:
- Mapear todas las actividades de procesamiento y examinarlas según los nueve criterios de riesgo del CEPD [4].
- Descargar y utilizar la plantilla estandarizada de EIPD del CEPD, adoptada en abril de 2026 [1].
- Consultar la lista publicada por su autoridad de supervisión nacional de actividades de EIPD obligatorias.
- Para cualquier implementación de IA o aprendizaje automático, integrar su EIPD con el proceso FRIA de la Ley de IA de la UE [2].
- Establecer recordatorios en el calendario para revisar las EIPD existentes al menos cada dos años o después de cualquier cambio material.
- Si los riesgos residuales siguen siendo altos después de la mitigación, consultar a su autoridad de supervisión antes de proceder [3].
- Asegurarse de que su infraestructura de gestión de consentimiento, incluidas herramientas como Biscotti CMP, respalde los registros de rendición de cuentas de los que depende su programa de EIPD.
Las organizaciones que tratan las EIPD como herramientas de rendición de cuentas vivas, en lugar de tareas de cumplimiento únicas, estarán mejor posicionadas para adaptarse a medida que las expectativas regulatorias continúen evolucionando.
Referencias
[1] Enhancing Compliance And Consistency Edpb Adopts Dpia Template Et - https://www.edpb.europa.eu/news/enhancing-compliance-and-consistency-edpb-adopts-dpia-template_et?utm_source=openai
[2] Integrating Dpia And Fria Under The Eu Ai Act - https://digital.nemko.com/insights/integrating-dpia-and-fria-under-the-eu-ai-act?utm_source=openai
[3] When Data Protection Impact Assessment Dpia Required En - https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/obligations/when-data-protection-impact-assessment-dpia-required_en?utm_source=openai
[4] Data Protection Impact Assessment En - https://www.edpb.europa.eu/topics/accountability-and-compliance-tools/data-protection-impact-assessment_en?utm_source=openai
[5] Guide Data Protection Impact Assessments - https://www.dataprotection.ie/en/dpc-guidance/guide-data-protection-impact-assessments?utm_source=openai
[6] Data Protection Impact Assessments - https://cy.ico.org.uk/for-organisations/law-enforcement/guide-to-le-processing/accountability-and-governance/data-protection-impact-assessments/?utm_source=openai