Aplicable en España — basado en normativa española (BOE).El análisis previo que el responsable debe valorar realizar cuando un tratamiento entraña alto riesgo para los derechos de las personas
Resumen rápido: La evaluación de impacto en la protección de datos (EIPD) es el análisis previo que, según el artículo 28.1 de la LOPDGDD, los responsables y encargados del tratamiento deben valorar si procede realizar -junto con la consulta previa a la autoridad de control- cuando el tratamiento entrañe un riesgo elevado para los derechos y libertades de las personas, conforme a la Sección 3 del Capítulo IV del RGPD.
Definición flash: Análisis previo obligatorio cuando un tratamiento de datos entraña probablemente un alto riesgo para las personas (art. 35 RGPD y art. 28 LOPDGDD).
Etiqueta lingüística
"Valorarán si procede" no equivale a "realizarán siempre": la evaluación de impacto no es un trámite universal para cualquier tratamiento, sino un análisis cuya necesidad el responsable debe valorar atendiendo a los factores de riesgo que la ley señala; pero valorar no es elegir: si resulta probable un alto riesgo, el artículo 35.1 del RGPD obliga a realizarla antes de empezar el tratamiento -de ahí que el artículo 28 LOPDGDD dedique su apartado 2 precisamente a enumerar esos factores.
Definición técnica
El artículo 28.1 de la LOPDGDD remite la valoración de si procede realizar la evaluación de impacto -y la consulta previa- a los elementos de riesgo del artículo 28.2: quedan comprendidos, entre otros, los tratamientos que puedan generar discriminación, usurpación de identidad, fraude, pérdidas financieras o daño reputacional; los que puedan privar a los afectados del control sobre sus datos; los que traten de forma no meramente incidental categorías especiales de datos o datos de infracciones administrativas; los que impliquen elaboración de perfiles sobre rendimiento laboral, situación económica, salud, solvencia o localización; los que afecten a colectivos vulnerables, en particular menores o personas con discapacidad; los tratamientos masivos que impliquen a un gran número de afectados o un gran volumen de datos; y las transferencias habituales de datos a terceros Estados u organizaciones internacionales sin un nivel de protección adecuado declarado. Cuando de esa valoración resulta probable un alto riesgo, la evaluación es obligatoria antes del tratamiento (art. 35.1 RGPD), y el RGPD la exige en todo caso para la elaboración de perfiles con decisiones que producen efectos jurídicos, el tratamiento a gran escala de categorías especiales de datos o de datos penales y la observación sistemática a gran escala de zonas de acceso público (art. 35.3); la autoridad de control publica además la lista de tratamientos que la requieren (art. 35.4).
Aplicación práctica
En la práctica, una empresa que va a implantar un sistema de videovigilancia con reconocimiento facial en sus tiendas, o una que va a elaborar perfiles crediticios automatizados de sus clientes, debe valorar -y normalmente realizar- una evaluación de impacto antes de poner en marcha el tratamiento, precisamente porque encaja en varios de los factores de riesgo agravado que enumera el artículo 28.2 LOPDGDD.
Contexto legal en España
La evaluación de impacto en la protección de datos se regula en los artículos 35 y 36 del RGPD (Sección 3 del Capítulo IV) y se menciona en el artículo 28.1 de la Ley Orgánica 3/2018 (LOPDGDD), que remite a los factores de riesgo de su apartado 2 para valorar si procede realizarla.
Normas clave a tener en cuenta
Qué no es / diferencias clave
- Responsabilidad proactiva
- La responsabilidad proactiva es el principio general de acreditar el cumplimiento. La evaluación de impacto es una herramienta CONCRETA dentro de ese principio, reservada a tratamientos de riesgo elevado.
Términos relacionados
Dato de autoridad
El artículo 28.1 de la LOPDGDD exige valorar «si procede la realización de la evaluación de impacto en la protección de datos y la consulta previa a que se refiere la Sección 3 del Capítulo IV» del RGPD.
Preguntas frecuentes sobre evaluación de impacto en la protección de datos
¿Hay que hacer siempre una evaluación de impacto antes de cualquier tratamiento de datos?
No. El artículo 28.1 LOPDGDD exige VALORAR si procede realizarla, atendiendo a los factores de riesgo elevado que enumera el apartado 2 -no es un trámite universal para todo tratamiento-. Pero si resulta probable un alto riesgo, hacerla antes de empezar es obligatorio (art. 35.1 RGPD), y tratar datos sin ella cuando es exigible es una infracción grave (art. 73.t LOPDGDD).
Autoría y revisión editorial
Contenido elaborado bajo la dirección editorial de DERECHO ABOGADOS, verificando cada norma sobre fuentes oficiales (BOE y jurisprudencia).
Cada norma citada se verifica contra su texto consolidado en el BOE: se comprueba el identificador de la norma, que la redacción sea la vigente y que lo entrecomillado sea literal. Es una verificación editorial, no un visto colegiado. Este contenido es información general y no constituye asesoramiento legal sobre un caso concreto.