Evaluación de impacto (EIPD/AIPD): cuándo la necesitas y cómo saberlo

Sumario

• ¿Qué es una evaluación de impacto?
• ¿Cuándo es obligatoria?
• ¿Cuándo NO hace falta?
• ¿Qué riesgo corres si la saltas?
• Cómo lo resuelve Tranquilia
• Preguntas frecuentes
• Fuentes oficiales

¿Qué es una evaluación de impacto?

Es un análisis que haces antes de poner en marcha un tratamiento arriesgado, para ver qué puede salir mal y cómo evitarlo. Piensa en ello como en el estudio previo de una obra: miras dónde están los peligros antes de empezar, no después de que alguien se caiga.

En términos del RGPD, describes el tratamiento, valoras si es necesario y proporcionado, identificas los riesgos para las personas y decides qué medidas los reducen.

¿Cuándo es obligatoria?

El art. 35 RGPD la exige cuando un tratamiento «entrañe un alto riesgo» para los derechos de las personas. El propio artículo señala tres casos claros:

• Perfilado o decisiones automatizadas que afecten de forma significativa a alguien.
• Tratamiento a gran escala de categorías especiales de datos (salud, ideología, biometría).
• Observación sistemática de una zona pública a gran escala (por ejemplo, videovigilancia intensiva).

Además, la AEPD publica una lista de tipos de tratamiento que requieren EIPD. Si tu caso encaja en varios criterios de riesgo a la vez, es señal casi segura de que toca hacerla.

¿Cuándo NO hace falta?

Para la mayoría de los tratamientos normales de una pyme (tu lista de clientes, la gestión de nóminas, el envío de facturas), no hace falta una EIPD. La AEPD también publica una lista de tratamientos que no la requieren. No se trata de hacer una por cada cosa: se trata de reconocer los pocos casos de riesgo alto y tratarlos con cuidado.

¿Qué riesgo corres si la saltas?

Si pones en marcha un tratamiento de riesgo alto sin la EIPD, incumples el art. 35 RGPD. La AEPD (Agencia Española de Protección de Datos) puede sancionarlo. El RGPD fija los máximos en dos niveles: hasta 10 millones de euros o el 2 % de la facturación, y hasta 20 millones o el 4 %, según la infracción (art. 83 RGPD); se aplica la cifra más alta.

En la práctica, para una pyme el problema no suele ser la multa máxima, sino haber montado —por ejemplo— un sistema de cámaras o de control biométrico sin haber pensado antes en los riesgos, y tener que desmontarlo o rehacerlo cuando llega una reclamación.

Cómo lo resuelve Tranquilia

No tienes que adivinar si tu caso necesita EIPD. El cuestionario incluye las preguntas que activan los criterios de riesgo del art. 35, y si tu tratamiento los cumple, te avisa y te deja preparada la evaluación para revisarla. Si no hace falta, no te obliga a hacer papeleo que no te toca.

Preguntas frecuentes

¿Una tienda normal necesita evaluación de impacto?

Casi nunca. Vender productos y llevar una lista de clientes no es un tratamiento de riesgo alto. La EIPD se reserva para casos como datos de salud a gran escala, perfilado intensivo o vigilancia sistemática.

¿La EIPD se envía a la AEPD?

Solo en un caso: si tras hacerla sigue habiendo un riesgo alto que no puedes reducir, tienes que consultar a la AEPD antes de empezar (art. 36 RGPD). En el resto de casos la guardas tú como prueba de que la hiciste.

¿Quién la firma?

La firma el responsable del tratamiento (tu empresa). Si tienes delegado de protección de datos, debe participar y dar su opinión, pero la decisión y la responsabilidad son de la empresa.

Fuentes oficiales

• Reglamento (UE) 2016/679 (RGPD), artículos 35 y 36 (y art. 83, sanciones) — texto en EUR-Lex.
• Agencia Española de Protección de Datos (AEPD), listas de tratamientos que requieren y que no requieren EIPD.
• BOE — Ley Orgánica 3/2018 (LOPDGDD).

---

Información general sobre normativa. No sustituye el asesoramiento de un abogado ni el análisis de tu caso concreto. Si tienes dudas, consulta con tu gestoría o con un profesional del derecho.