Plantilla de EIPD (evaluación de impacto en protección de datos): cuándo es obligatoria y qué debe incluir
Una evaluación de impacto en protección de datos (EIPD, o DPIA en inglés) es el análisis que se hace antes de iniciar un tratamiento de datos personales que probablemente suponga un alto riesgo para las personas: describe el tratamiento, comprueba si es necesario y proporcionado, evalúa los riesgos para sus derechos y fija las medidas para reducirlos. El RGPD la exige en su artículo 35; la LGPD de Brasil (art. 38) y la Ley 21.719 de Chile (art. 15 ter) tienen figuras equivalentes. Si después de las medidas el riesgo sigue siendo alto, hay que consultar a la autoridad antes de empezar (art. 36). Esta guía es informativa y no es asesoría legal.
Cuándo es obligatoria una EIPD
El artículo 35.1 del RGPD la exige cuando un tratamiento, por su naturaleza, alcance, contexto o fines, probablemente entrañe un alto riesgo para los derechos y libertades de las personas, sobre todo si usa tecnologías nuevas. El artículo 35.3 menciona tres casos en que siempre se requiere:
- Evaluación sistemática y exhaustiva de aspectos personales basada en tratamiento automatizado, incluida la elaboración de perfiles, con efectos jurídicos o que afecten significativamente a las personas.
- Tratamiento a gran escala de datos sensibles o de datos sobre condenas e infracciones penales.
- Observación sistemática a gran escala de una zona de acceso público.
Además, cada autoridad de control publica una lista de tratamientos que siempre requieren EIPD en su país (art. 35.4); en España es la de la AEPD. Revise la lista de su autoridad antes de decidir que no hace falta.
El análisis previo: los 9 criterios del Comité Europeo
Para los casos que no están en la ley ni en la lista, las directrices sobre EIPD que adoptó el Comité Europeo de Protección de Datos proponen 9 criterios. Como regla práctica, si un tratamiento cumple dos o más, es probable que necesite una EIPD. Conviene dejar este análisis por escrito para cada tratamiento nuevo o modificado, también cuando la conclusión es que no hace falta:
| Criterio | Ejemplo |
|---|---|
| 1. Evaluación o puntuación de personas (perfiles) | Puntaje de riesgo crediticio, segmentación por comportamiento |
| 2. Decisión automatizada con efectos jurídicos o similares | Rechazo automático de una postulación o de un crédito |
| 3. Observación sistemática | Monitoreo de trabajadores, videovigilancia de espacios |
| 4. Datos sensibles o muy personales | Salud, biometría, datos de menores, ubicación |
| 5. Tratamiento a gran escala | Muchas personas, mucho volumen, larga duración o amplia zona |
| 6. Cruce o combinación de bases de datos | Unir datos de dos sistemas con fines distintos |
| 7. Personas vulnerables | Niños, pacientes, trabajadores frente al empleador |
| 8. Tecnología nueva o uso innovador | Reconocimiento facial, sistemas de IA, dispositivos conectados |
| 9. Impide ejercer un derecho o acceder a un servicio | Filtro automático para contratar un seguro |
Ejemplo: una tienda en línea que crea perfiles de compra (criterio 1) de cientos de miles de clientes (criterio 5) cumple dos criterios y debería hacer una EIPD; la nómina de una pyme, en general, no.
Kit ISO 27701: documentación para su sistema de gestión de la privacidad
40 documentos Word · 15 herramientas Excel · 78 controles del Anexo A
Ver el kit ISO 27701 con procedimiento de EIPD y registro de tratamientosQué debe contener la EIPD (art. 35.7)
La ley fija un contenido mínimo. Una plantilla útil lo ordena en secciones y deja espacio para la evidencia:
| Sección | Qué se escribe | Origen |
|---|---|---|
| Descripción del tratamiento | Finalidad, datos, personas afectadas, sistemas, proveedores, flujo de datos y, si aplica, el interés legítimo | Art. 35.7 a) |
| Necesidad y proporcionalidad | Base jurídica, minimización, plazos de conservación, información a las personas y cómo ejercen sus derechos | Art. 35.7 b) |
| Riesgos para las personas | Qué puede salir mal (acceso indebido, discriminación, pérdida de control de sus datos), probabilidad e impacto | Art. 35.7 c) |
| Medidas | Controles técnicos y organizativos que reducen cada riesgo, con responsable y fecha | Art. 35.7 d) |
| Riesgo residual y decisión | Nivel después de las medidas, aprobación y, si sigue alto, consulta previa a la autoridad | Art. 36 |
| Opinión del delegado y de los afectados | Asesoramiento del delegado de protección de datos y, cuando proceda, la opinión de los interesados | Art. 35.2 y 35.9 |
La EIPD no es un trámite que se hace una vez: el artículo 35.11 pide revisarla cuando cambie el riesgo, por ejemplo al agregar datos, un proveedor nuevo o una función automatizada.
Cómo hacerla paso a paso
- Parta del registro de actividades de tratamiento: identifique el tratamiento y copie su finalidad, datos, destinatarios y plazos.
- Haga el análisis previo con los 9 criterios y la lista de su autoridad; archívelo aunque concluya que no hace falta.
- Dibuje el flujo de datos: de dónde vienen, dónde se guardan, quién accede y a dónde salen.
- Evalúe cada riesgo para las personas con la misma escala de probabilidad e impacto que usa su registro de riesgos.
- Defina medidas con responsable y fecha, calcule el riesgo residual y obtenga la aprobación del dueño del tratamiento.
- Pida el asesoramiento del delegado de protección de datos y, si el riesgo residual sigue alto, prepare la consulta previa antes de iniciar el tratamiento.
Cómo encaja con ISO 27701 y otras leyes
ISO/IEC 27701:2025 incluye entre sus controles para el responsable la evaluación de impacto en la privacidad (control A.1.2.6) y la conecta con la evaluación de riesgos del sistema de gestión (cláusula 6.1). Por eso una misma metodología sirve para varias leyes:
- RGPD (UE): EIPD obligatoria en los casos del art. 35 y consulta previa del art. 36.
- LGPD (Brasil): la ANPD puede pedir el informe de impacto (RIPD) del art. 38, en especial cuando el tratamiento se basa en el interés legítimo.
- Ley 21.719 (Chile): evaluación de impacto previa para tratamientos de alto riesgo (art. 15 ter); la Agencia publicará una lista orientativa. Revise la fecha de entrada en vigor vigente antes de planificar.
El kit ISO 27701 de NexoDocs trae el procedimiento de EIPD (PIMS-PRO-02) con el análisis previo y las secciones de arriba, enlazado con el registro de tratamientos (PIMS-ROP-01) y el registro de riesgos de privacidad (PIMS-RSK-02), en Word y Excel editables.
Errores frecuentes
- Hacer la EIPD después de lanzar el tratamiento: la ley la pide antes.
- Evaluar solo los riesgos para la empresa (multas, reputación) y no los riesgos para las personas, que son el centro de la EIPD.
- No dejar por escrito el análisis previo cuando se concluye que no hace falta una EIPD.
- Copiar una EIPD genérica sin describir el flujo real de datos ni los proveedores.
- No revisarla cuando cambia el tratamiento o se agrega una herramienta de IA.
Siguiente paso
Pruebe gratis o vaya directo a la solución completa.
Kit ISO 27701: documentación para su sistema de gestión de la privacidad
40 documentos Word · 15 herramientas Excel · 78 controles del Anexo A
Ver el kit ISO 27701 con procedimiento de EIPD y registro de tratamientos
Muestra gratis
Descargue gratis una versión reducida de la matriz de riesgos del kit (Excel, 10 escenarios, mapa de calor). Vea cómo calcula el nivel y la categoría antes de decidir.
Descargar la muestra gratisPreguntas frecuentes
¿La EIPD es obligatoria para todas las empresas?
No. Según el artículo 35 del RGPD solo es obligatoria para tratamientos que probablemente impliquen un alto riesgo para las personas, como los tres casos del art. 35.3 o los de la lista de su autoridad. Para el resto basta con documentar el análisis previo.
¿Qué diferencia hay entre una EIPD y una evaluación de riesgos de seguridad?
La evaluación de riesgos de seguridad (por ejemplo, de ISO 27001) mira sobre todo los activos y el riesgo para la organización. La EIPD mira un tratamiento concreto y el riesgo para los derechos y libertades de las personas, e incluye necesidad y proporcionalidad.
¿Quién debe hacer la EIPD?
El responsable del tratamiento, normalmente el dueño del proceso con apoyo del delegado de protección de datos, de seguridad y de TI. El encargado ayuda con información sobre sus sistemas, pero la obligación es del responsable.
¿Hay que enviarla a la autoridad?
No en general. Solo si el riesgo sigue siendo alto después de las medidas, hay que consultar a la autoridad antes de iniciar el tratamiento (art. 36). La EIPD se guarda como evidencia y se entrega si la autoridad la pide.
¿Esta guía reemplaza a un abogado?
No. Es información general para ordenar el trabajo y no es asesoría legal. Para decisiones sobre bases jurídicas o consultas previas, consulte a un profesional de su país.
Guías relacionadas
Registro de actividades de tratamiento (art. 30 RGPD): qué incluir y cuándo hacer una EIPD
Qué debe incluir el registro de actividades de tratamiento (art. 30 RGPD), quién debe llevarlo, cuándo hace falta una EIPD y cómo encaja con ISO 27701.
Leer la guía →Documentos obligatorios de ISO 27701:2025
Información documentada que exige ISO/IEC 27701:2025: alcance, política, riesgos, Declaración de Aplicabilidad, registros y evidencias, con su cláusula.
Leer la guía →ISO 27701 vs RGPD: ¿cuál es la diferencia?
ISO/IEC 27701 es una norma voluntaria y certificable; el RGPD es ley de la UE. En qué se diferencian, dónde se cruzan y cómo ordenar la evidencia con ISO 27701.
Leer la guía →Actualizado: 2026-10-28