Aplicable en España — basado en normativa española (BOE).El análisis previo que el responsable debe valorar realizar cuando un tratamiento entraña alto riesgo para los derechos de las personas
Resumen rápido: La evaluación de impacto en la protección de datos (EIPD) es el análisis previo que, según el artículo 28.1 de la LOPDGDD, los responsables y encargados del tratamiento deben valorar si procede realizar -junto con la consulta previa a la autoridad de control- cuando el tratamiento entrañe un riesgo elevado para los derechos y libertades de las personas, conforme a la Sección 3 del Capítulo IV del RGPD.
Definición flash: Ante tratamientos de alto riesgo, el responsable debe valorar si procede una evaluación de impacto en la protección de datos, conforme al capítulo IV del RGPD (art. 28.1 LOPDGDD).
Etiqueta lingüística
"Valorarán si procede" no equivale a "realizarán siempre": la evaluación de impacto no es un trámite universal para cualquier tratamiento, sino un análisis que el propio responsable debe decidir si es necesario, atendiendo a los factores de riesgo que la ley señala -de ahí que el artículo 28 LOPDGDD dedique su apartado 2 precisamente a enumerar esos factores.
Definición técnica
El artículo 28.1 de la LOPDGDD remite la valoración de si procede realizar la evaluación de impacto -y la consulta previa- a los elementos de riesgo del artículo 28.2: quedan comprendidos, entre otros, los tratamientos que puedan generar discriminación, usurpación de identidad, fraude, pérdidas financieras o daño reputacional; los que puedan privar a los afectados del control sobre sus datos; los que traten de forma no meramente incidental categorías especiales de datos o datos de infracciones administrativas; los que impliquen elaboración de perfiles sobre rendimiento laboral, situación económica, salud, solvencia o localización; los que afecten a colectivos vulnerables, en particular menores o personas con discapacidad; y los tratamientos masivos que impliquen a un gran número de afectados o un gran volumen de datos.
Aplicación práctica
En la práctica, una empresa que va a implantar un sistema de videovigilancia con reconocimiento facial en sus tiendas, o una que va a elaborar perfiles crediticios automatizados de sus clientes, debe valorar -y normalmente realizar- una evaluación de impacto antes de poner en marcha el tratamiento, precisamente porque encaja en varios de los factores de riesgo agravado que enumera el artículo 28.2 LOPDGDD.
Contexto legal en España
La evaluación de impacto en la protección de datos se regula en los artículos 35 y 36 del RGPD (Sección 3 del Capítulo IV) y se menciona en el artículo 28.1 de la Ley Orgánica 3/2018 (LOPDGDD), que remite a los factores de riesgo de su apartado 2 para valorar si procede realizarla.
Normas clave a tener en cuenta
Qué no es / diferencias clave
- Responsabilidad proactiva
- La responsabilidad proactiva es el principio general de acreditar el cumplimiento. La evaluación de impacto es una herramienta CONCRETA dentro de ese principio, reservada a tratamientos de riesgo elevado.
Términos relacionados
Dato de autoridad
El artículo 28.1 de la LOPDGDD exige valorar «si procede la realización de la evaluación de impacto en la protección de datos y la consulta previa a que se refiere la Sección 3 del Capítulo IV» del RGPD.
Preguntas frecuentes sobre evaluación de impacto en la protección de datos
¿Hay que hacer siempre una evaluación de impacto antes de cualquier tratamiento de datos?
No. El artículo 28.1 LOPDGDD exige VALORAR si procede realizarla, atendiendo a los factores de riesgo elevado que enumera el apartado 2 -no es un trámite universal para todo tratamiento.
Autoría y revisión editorial
Contenido elaborado bajo la dirección editorial de DERECHO ABOGADOS, verificando cada norma sobre fuentes oficiales (BOE y jurisprudencia).
Cada norma citada se verifica contra su texto consolidado en el BOE: se comprueba el identificador de la norma, que la redacción sea la vigente y que lo entrecomillado sea literal. Es una verificación editorial, no un visto colegiado. Este contenido es información general y no constituye asesoramiento legal sobre un caso concreto.