Resposta rápida: Unha Avaliación de Impacto de Protección de Datos (DPIA) é legalmente requirida segundo o Artigo 35 do GDPR sempre que unha actividade de procesamento poida resultar nun alto risco para os dereitos e liberdades dos individuos. Isto aplícase a actividades como a elaboración de perfís a gran escala, o seguimento sistemático de espazos públicos e o procesamento de categorías especiais de datos. Non realizar unha cando sexa necesario pode expoñer a súa organización a importantes sancións reguladoras e danos á reputación.
Puntos clave
- Unha DPIA é obrigatoria segundo o Artigo 35 do GDPR para actividades de procesamento que "poidan resultar nun alto risco" para os dereitos e liberdades dos individuos [3]
- Tres tipos de procesamento sempre requiren unha DPIA: avaliación sistemática de individuos, procesamento a gran escala de datos sensibles e seguimento sistemático de áreas de acceso público [3]
- As Autoridades Nacionais de Protección de Datos publican listas de operacións de procesamento que requiren unha DPIA, proporcionando orientación específica para cada xurisdición [3]
- Omitir unha DPIA requirida pode resultar en multas de ata 10 millóns de euros ou o 2% da facturación anual global segundo o GDPR
- O EDPB adoptou un modelo estandarizado de DPIA en abril de 2026 para mellorar a coherencia entre os estados membros da UE [1]
- Os sistemas de IA e os modelos de aprendizaxe automática que toman decisións automatizadas con efectos significativos sobre os individuos case sempre requiren unha DPIA [2]
- As pequenas empresas non están exentas automaticamente; o desencadeante é a natureza do procesamento, non o tamaño da organización [5]
- Unha DPIA é un documento vivo que debe ser revisado e actualizado sempre que as actividades de procesamento cambien materialmente [3]
- Se os riscos residuais seguen sendo altos despois da mitigación, as organizacións deben consultar coa súa autoridade de supervisión antes de proceder [3]
- Unha DPIA difire dunha Avaliación de Impacto na Privacidade (PIA) principalmente na súa base legal e nas obrigas de consulta obrigatorias
Que é unha DPIA e por que a necesita?
Unha Avaliación de Impacto de Protección de Datos é un proceso estruturado que axuda ás organizacións a identificar, avaliar e mitigar os riscos para os individuos derivados das actividades de procesamento de datos. Segundo o GDPR, non é unha orientación opcional, é unha obriga legal para o procesamento de alto risco [3].
O propósito principal dunha DPIA é a rendición de contas. Obriga ás organizacións a pensar sistematicamente sobre que datos recollen, por que os recollen, quen ten acceso e que podería saír mal. A Comisión de Protección de Datos de Irlanda descríbea como unha ferramenta que demostra que unha organización considerou os riscos de privacidade antes de que comece o procesamento, en lugar de despois de que ocorra unha violación [5].
Unha DPIA normalmente abrangue:
- Unha descrición do procesamento e os seus propósitos
- Unha avaliación da necesidade e proporcionalidade
- Unha avaliación dos riscos para os interesados
- Medidas planificadas para abordar eses riscos
O EDPB adoptou un modelo estandarizado de DPIA en abril de 2026 para axudar ás organizacións a estruturar este proceso de forma consistente en toda a UE [1].
Cando se require unha DPIA segundo o GDPR?
O Artigo 35 do GDPR require unha DPIA antes de calquera procesamento que "poida resultar nun alto risco" para os dereitos e liberdades das persoas físicas [3]. Tres escenarios específicos sempre desencadean esta obriga:
- Elaboración de perfís sistemática e extensa con efectos significativos, incluída a toma de decisións automatizada
- Procesamento a gran escala de categorías especiais de datos (saúde, biométricos, orixe racial, etc.) ou datos persoais relacionados con condenas penais
- Seguimento sistemático de áreas de acceso público a gran escala
Ademais destes tres, as autoridades nacionais de supervisión publican listas de operacións de procesamento que requiren unha DPIA na súa xurisdición. As organizacións que operan en varios estados membros da UE deben consultar cada lista nacional relevante.
Regra de decisión: Se o seu procesamento cumpre dous ou máis dos nove criterios de risco do EDPB (nova tecnoloxía, gran escala, datos sensibles, seguimento sistemático, coincidencia ou combinación de conxuntos de datos, interesados vulnerables, uso innovador, risco de denegación de servizo ou toma de decisións automatizada), case con toda seguridade se require unha DPIA [4].
Que se considera procesamento de datos de alto risco?
O procesamento de alto risco defínese pola natureza, o alcance, o contexto e o propósito da actividade, non simplemente polo volume de datos implicados. O EDPB proporciona directrices que identifican características específicas que elevan o procesamento ao estado de alto risco [4].
Os indicadores clave inclúen:
| Indicador de risco | Exemplo |
|---|---|
| Toma de decisións automatizada | Puntuación de crédito, modelos de risco de seguros |
| Categorías de datos sensibles | Rexistros de saúde, autenticación biométrica |
| Procesamento a gran escala | Bases de datos de programas de fidelidade nacionais |
| Seguimento de áreas públicas | CCTV con recoñecemento facial |
| Coincidencia ou combinación de datos | Referencia cruzada de redes sociais con historial de compras |
| Interesados vulnerables | Nenos, pacientes, empregados |
| Tecnoloxía nova ou non probada | IA xerativa, ferramentas de detección de emocións |
Un único indicador non obriga automaticamente a unha DPIA, pero dous ou máis en combinación case sempre o fan. O procesamento que implica tanto datos sensibles como toma de decisións automatizada, por exemplo, supera o limiar sen dúbida.
Como sei se a miña empresa necesita unha DPIA?
A resposta depende do que a súa organización faga realmente cos datos persoais, non da súa industria ou tamaño da empresa. Calquera controlador, xa sexa unha startup, un hospital ou unha axencia de marketing, debe realizar unha DPIA se o seu procesamento cumpre o limiar de alto risco [5].
Un proceso de selección práctico:
- Mapear todas as actividades actuais de procesamento de datos
- Aplicar os nove criterios de risco do EDPB a cada actividade
- Consultar a lista de "obrigas" publicada pola súa autoridade nacional de supervisión
- Para calquera actividade que obteña dous ou máis criterios, iniciar unha DPIA
- Documentar a decisión de selección mesmo cando non se require unha DPIA
Erro común: As organizacións asumen que, por ser pequenas, están exentas. O tamaño é irrelevante. Unha startup de dúas persoas que executa unha ferramenta de contratación baseada en IA que toma decisións automatizadas sobre os solicitantes de emprego debe realizar unha DPIA.
Que ocorre se non se realiza unha DPIA cando é necesaria?
Non realizar unha DPIA requirida é en si mesmo unha violación do GDPR, independentemente de se se produce algún dano real aos interesados. As autoridades de supervisión poden impoñer multas de ata 10 millóns de euros ou o 2% da facturación anual global por esta infracción específica [3].
Ademais das sancións financeiras, as consecuencias inclúen:
- Suspensión obrigatoria da actividade de procesamento
- Danos á reputación por decisións de execución públicas
- Aumento do escrutinio e das obrigas de auditoría por parte da autoridade de supervisión
- Responsabilidade persoal para os Delegados de Protección de Datos que non asesoraron correctamente
Se os riscos residuais seguen sendo altos despois de aplicar as medidas de mitigación, as organizacións deben consultar coa súa autoridade de supervisión antes de que comece o procesamento. Proceder sen esa consulta é unha violación adicional [3].
DPIA vs. Avaliación de Impacto na Privacidade: Cal é a diferenza?
Unha Avaliación de Impacto na Privacidade (PIA) é un marco máis amplo e voluntario de mellores prácticas que precede ao GDPR. Unha DPIA é o seu sucesor legalmente obrigatorio segundo a lexislación de protección de datos da UE. Os dous termos úsanse ás veces indistintamente, pero conlevan diferentes obrigas.
| Característica | PIA | DPIA |
|---|---|---|
| Base legal | Mellor práctica | Artigo 35 do GDPR |
| Obrigatorio | Non | Si, cando hai alto risco |
| Consulta coa autoridade de supervisión | Non requirida | Requirida se o risco residual é alto |
| Modelo estandarizado | Varía | Modelo do EDPB (2026) [1] |
| Obriga de documentación | Recomendado | Legalmente requirido |
As organizacións que realizaron PIAs antes da entrada en vigor do GDPR deberían revisar se esas avaliacións cumpren o estándar máis rigoroso da DPIA.
Requisitos da DPIA para IA e Aprendizaxe Automática
Os sistemas de IA que toman ou inflúen significativamente nas decisións sobre os individuos case sempre requiren unha DPIA. A toma de decisións automatizada con efectos legais ou igualmente significativos é un dos tres desencadeantes principais segundo o Artigo 35 do GDPR [4].
A Lei de IA da UE, que entrou en vigor plenamente o 2 de agosto de 2026, introduce unha capa adicional: a Avaliación de Impacto nos Dereitos Fundamentais (FRIA) para sistemas de IA de alto risco. As organizacións son fortemente animadas a integrar os seus procesos de DPIA e FRIA para evitar duplicar esforzos e para garantir unha cobertura completa tanto da protección de datos como dos riscos para os dereitos fundamentais [2].
Os casos de uso específicos de IA que requiren unha DPIA inclúen:
- Algoritmos de contratación que filtran ou clasifican candidatos
- Modelos de puntuación de crédito e seguros
- Sistemas de policía preditiva ou detección de fraudes
- Ferramentas de diagnóstico de saúde ou recomendación de tratamento
- Plataformas de publicidade comportamental que utilizan perfís inferidos
Caso límite: Mesmo os sistemas de IA que non toman decisións finais pero inflúen significativamente nos tomadores de decisións humanos poden desencadear o requisito da DPIA se o procesamento de datos subxacente é a gran escala ou implica categorías sensibles.
As pequenas empresas necesitan facer DPIAs?
As pequenas e medianas empresas non están exentas das obrigas da DPIA. O desencadeante legal é a natureza e o nivel de risco da actividade de procesamento, non o tamaño ou os ingresos da organización [5].
Dito isto, moitas pequenas empresas realizan procesamento de baixo risco, xestionando unha lista de correo electrónico de clientes, por exemplo, que non require unha DPIA. A obriga só xorde cando o propio procesamento supera o limiar de alto risco.
Escolla unha DPIA se a súa pequena empresa:
- Usa a elaboración de perfís automatizada para personalizar contido ou prezos
- Procesa datos de saúde, financeiros ou biométricos
- Opera unha plataforma onde é probable que os nenos sexan usuarios
- Desprega tecnoloxías de seguimento que constrúen perfís de comportamento a escala
Unha plataforma de xestión de consentimento como Biscotti CMP pode axudar ás pequenas empresas a xestionar os rexistros de consentimento e demostrar a rendición de contas, o que apoia o marco de cumprimento máis amplo no que se sitúa unha DPIA.
Que debe incluír un informe DPIA?
Un informe DPIA completo debe conter varios elementos obrigatorios segundo o Artigo 35(7) do GDPR [3]:
- Descrición sistemática das operacións de procesamento e os seus propósitos, incluído o interese lexítimo perseguido se é aplicable
- Avaliación da necesidade e proporcionalidade en relación co propósito declarado
- Avaliación dos riscos para os dereitos e liberdades dos interesados
- Medidas previstas para abordar os riscos, incluíndo salvagardas, medidas de seguridade e mecanismos para garantir a protección de datos
O modelo estandarizado do EDPB de 2026 estrutura estes elementos nun formato consistente que as autoridades de supervisión de toda a UE recoñecen [1]. O seu uso reduce o risco de que unha DPIA sexa considerada incompleta durante unha auditoría.
Os elementos adicionais de mellores prácticas inclúen os rexistros de consulta co Delegado de Protección de Datos, a contribución das partes interesadas dos interesados ou os seus representantes cando sexa posible, e unha aprobación do risco residual.
Canto custa unha DPIA e pódese facer un mesmo?
O custo dunha DPIA varía moito dependendo da complexidade. Unha avaliación interna sinxela para unha actividade de procesamento ben documentada pódese completar internamente en cuestión de días. As avaliacións complexas que implican sistemas de IA, fluxos de datos transfronteirizos ou múltiples controladores de datos poden levar semanas e poden requirir experiencia legal ou técnica externa.
Rangos de custos aproximados (estimacións baseadas nas normas do mercado):
- DPIA interna para procesamento de baixa complexidade: custo mínimo, principalmente tempo do persoal (8-20 horas)
- DPIA dirixida por consultores para complexidade moderada: normalmente 2.000-8.000 euros
- Revisión legal e técnica completa para sistemas de IA de alta complexidade: 10.000 euros ou máis
As organizacións cun DPO nomeado deben involucralo desde o principio. O papel do DPO inclúe asesorar sobre se se require unha DPIA e revisar a avaliación completada [3]. Para as organizacións sen experiencia interna, é recomendable contratar un consultor especializado para calquera procesamento que implique nova tecnoloxía ou categorías de datos sensibles.
Con que frecuencia se debe actualizar ou refacer unha DPIA?
Unha DPIA non é un exercicio único. É un documento vivo que debe ser revisado sempre que haxa un cambio material na actividade de procesamento que abrangue [3].
Os desencadeantes para unha revisión ou reavaliación completa inclúen:
- Introdución de nova tecnoloxía ou un novo provedor na cadea de procesamento
- Ampliación do alcance ou volume de datos recollidos
- Cambio do propósito do procesamento
- Unha violación de datos ou un case-incidente que revela riscos non identificados previamente
- Nova orientación dunha autoridade de supervisión que afecta a avaliación de riscos
- Cambios significativos no ambiente legal ou regulatorio
Como base, as organizacións deben programar unha revisión periódica de todas as DPIAs polo menos cada dous ou tres anos, mesmo en ausencia de cambios específicos. O EDPB trata as DPIAs como ferramentas de rendición de contas que deben reflectir a realidade actual, non instantáneas históricas [3].
Verificador de decisións da DPIA
Preguntas frecuentes
Debe completarse unha DPIA antes de que comece o procesamento? Si. O Artigo 35 do GDPR require que a DPIA se realice antes da actividade de procesamento, non despois de que comezase. Iniciar un procesamento de alto risco sen unha DPIA completada é en si mesmo unha violación [3].
Quen é o responsable de realizar unha DPIA? O controlador de datos é legalmente responsable. Cando se nomeou un Delegado de Protección de Datos, debe ser consultado durante o proceso. Os procesadores poden axudar, pero a responsabilidade recae no controlador [3].
Debe facerse pública unha DPIA? Non. Non existe ningún requisito legal para publicar unha DPIA. Non obstante, as organizacións deben poñela a disposición da súa autoridade de supervisión cando se solicite, e as conclusións xerais pódense compartir cos interesados como parte das obrigas de transparencia.
Que é a consulta previa e cando se aplica? Se unha DPIA conclúe que os riscos residuais seguen sendo altos despois de aplicar todas as medidas de mitigación, o controlador debe consultar coa súa autoridade de supervisión antes de proceder. A autoridade ten entón ata oito semanas para responder [3].
Pode unha DPIA cubrir varias actividades de procesamento similares? Si. O EDPB confirma que unha única DPIA pode abordar un conxunto de operacións de procesamento similares que presenten riscos elevados comparables. Isto é común para as organizacións que executan varias campañas ou produtos coa mesma arquitectura de datos subxacente [4].
O GDPR aplícase se a miña empresa está fóra da UE? O GDPR aplícase a calquera organización que procese datos persoais de residentes da UE, independentemente de onde estea baseada a organización. As empresas non pertencentes á UE que se dirixen a usuarios da UE deben cumprir as obrigas da DPIA igual que as empresas con sede na UE.
Requírese unha DPIA para as actividades de procesamento existentes? Unha DPIA requírese principalmente para o procesamento novo. Non obstante, se unha actividade existente cambia materialmente ou se nunca foi avaliada e conleva un alto risco, unha DPIA retrospectiva é fortemente recomendable e pode ser requirida por unha autoridade de supervisión [3].
Que papel xoga unha plataforma de xestión de consentimento no cumprimento da DPIA? Unha plataforma de xestión de consentimento como Biscotti CMP axuda ás organizacións a recoller, rexistrar e xestionar o consentimento do usuario dun xeito que apoia os requisitos de rendición de contas que sustentan o cumprimento da DPIA, particularmente para o seguimento baseado en cookies e as actividades de elaboración de perfís de comportamento.
Conclusión
Comprender cando se necesita unha DPIA e realizar unha guía para avaliacións de datos de alto risco con rigor xenuíno é un dos marcadores máis claros dun programa maduro de protección de datos. A obriga non é un simple trámite burocrático: é un método estruturado para identificar danos antes de que cheguen aos interesados.
Próximos pasos accionables para 2026:
- Mapear todas as actividades de procesamento e examinar cada unha segundo os nove criterios de risco do EDPB [4]
- Descargar e usar o modelo estandarizado de DPIA do EDPB, adoptado en abril de 2026 [1]
- Consultar a lista publicada pola súa autoridade nacional de supervisión de actividades de DPIA obrigatorias
- Para calquera despregamento de IA ou aprendizaxe automática, integrar a súa DPIA co proceso FRIA da Lei de IA da UE [2]
- Establecer recordatorios no calendario para revisar as DPIAs existentes polo menos cada dous anos ou despois de calquera cambio material
- Se os riscos residuais seguen sendo altos despois da mitigación, consultar coa súa autoridade de supervisión antes de proceder [3]
- Asegurarse de que a súa infraestrutura de xestión de consentimento, incluíndo ferramentas como Biscotti CMP, apoia os rexistros de rendición de contas dos que depende o seu programa DPIA
As organizacións que tratan as DPIAs como ferramentas de rendición de contas vivas, en lugar de tarefas de cumprimento únicas, estarán mellor posicionadas para adaptarse a medida que as expectativas reguladoras sigan evolucionando.
Referencias
[1] Enhancing Compliance And Consistency Edpb Adopts Dpia Template Et - https://www.edpb.europa.eu/news/enhancing-compliance-and-consistency-edpb-adopts-dpia-template_et?utm_source=openai
[2] Integrating Dpia And Fria Under The Eu Ai Act - https://digital.nemko.com/insights/integrating-dpia-and-fria-under-the-eu-ai-act?utm_source=openai
[3] When Data Protection Impact Assessment Dpia Required En - https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/obligations/when-data-protection-impact-assessment-dpia-required_en?utm_source=openai
[4] Data Protection Impact Assessment En - https://www.edpb.europa.eu/topics/accountability-and-compliance-tools/data-protection-impact-assessment_en?utm_source=openai
[5] Guide Data Protection Impact Assessments - https://www.dataprotection.ie/en/dpc-guidance/guide-data-protection-impact-assessments?utm_source=openai
[6] Data Protection Impact Assessments - https://cy.ico.org.uk/for-organisations/law-enforcement/guide-to-le-processing/accountability-and-governance/data-protection-impact-assessments/?utm_source=openai