Cómo realizar una evaluación de impacto en privacidad

Una base de datos de clientes, un sistema de videovigilancia o una aplicación para gestionar turnos puede parecer una herramienta operativa más. Sin embargo, si el tratamiento puede afectar de forma relevante a los derechos de las personas, realizar una evaluación de impacto en privacidad deja de ser una recomendación y se convierte en una obligación antes de ponerlo en marcha. Hacerla tarde, cuando ya se han recogido datos o se ha producido una incidencia, multiplica el coste y el riesgo de sanción.

La evaluación de impacto relativa a la protección de datos, conocida como EIPD, permite detectar riesgos reales, corregirlos antes de que se materialicen y demostrar que la empresa aplica el RGPD de forma responsable. Para una pyme, un autónomo, una comunidad de propietarios o una asociación, no se trata de producir un documento extenso sin utilidad: se trata de decidir si el tratamiento está bien planteado, qué medidas necesita y si puede activarse legalmente.

Cuándo es obligatorio realizar una evaluación de impacto en privacidad

El artículo 35 del RGPD exige una EIPD cuando un tratamiento pueda entrañar un alto riesgo para los derechos y libertades de las personas. La clave no es el tamaño de la empresa ni el número de empleados. Una pequeña clínica, una academia o una comunidad de propietarios pueden estar obligadas si usan datos especialmente sensibles o sistemas que permiten observar, clasificar o decidir sobre personas.

La obligación es clara en tratamientos que impliquen elaboración de perfiles y decisiones automatizadas con efectos relevantes, observación sistemática a gran escala, o tratamiento a gran escala de categorías especiales de datos. Entre estas categorías están los datos de salud, biométricos, genéticos, ideológicos o relativos a la vida sexual.

También deben revisarse con especial cautela los tratamientos que combinan varios factores de riesgo. La Agencia Española de Protección de Datos considera especialmente significativas situaciones como estas:

• Uso de datos sensibles, como historiales médicos, reconocimientos laborales o información sobre discapacidad.
• Videovigilancia con funciones avanzadas, analítica de comportamiento, reconocimiento facial o control sistemático de zonas públicas.
• Geolocalización continua de trabajadores, vehículos o usuarios mediante dispositivos o aplicaciones.
• Tratamientos de datos de menores, personas vulnerables o colectivos con una capacidad limitada para oponerse.
• Cruces de bases de datos, perfilado comercial intenso o uso de algoritmos para puntuar, seleccionar o excluir personas.
• Tecnologías novedosas cuya repercusión práctica sobre la privacidad todavía no esté suficientemente controlada.

No todos los tratamientos exigen una EIPD. Una agenda básica de clientes, la facturación habitual o una nómina gestionada con medidas adecuadas no suelen alcanzarlo. Pero confundir “no es obligatorio” con “no hace falta analizar nada” es un error. Todo tratamiento debe pasar, como mínimo, por un análisis de riesgos y por las obligaciones generales de responsabilidad proactiva del RGPD.

Diferencia entre análisis de riesgos y EIPD

El análisis de riesgos es una obligación general. Sirve para valorar qué puede salir mal con los datos personales que trata la organización: accesos no autorizados, pérdida de información, envío erróneo de correos, suplantación, falta de disponibilidad o conservación excesiva.

La EIPD va más allá. Se utiliza cuando el riesgo potencial es alto y obliga a estudiar en profundidad el impacto sobre las personas, no solo el perjuicio para la empresa. Por ejemplo, una fuga de datos de contacto puede causar molestias y fraude; la exposición de datos de salud, imágenes biométricas o información sobre una baja médica puede generar discriminación, daños reputacionales o consecuencias económicas graves para el afectado.

La diferencia importa porque una plantilla genérica no resuelve una EIPD. El documento debe ajustarse al tratamiento concreto, a los datos utilizados, a las personas afectadas, a los proveedores implicados y a las medidas que realmente puede aplicar la entidad.

Cómo realizar una evaluación de impacto en privacidad paso a paso

1. Delimite el tratamiento antes de contratar o activar la herramienta

El primer paso es describir el proyecto sin ambigüedades. Debe identificarse qué datos se van a recoger, de quién, con qué finalidad, durante cuánto tiempo, quién tendrá acceso y dónde se alojarán. Si intervienen proveedores tecnológicos, asesorías, plataformas de reservas o empresas de seguridad, hay que determinar su papel y formalizar los contratos de encargo de tratamiento cuando proceda.

Una pregunta práctica ayuda a detectar problemas: ¿podría explicar a un cliente, trabajador o vecino qué datos recoge, por qué los necesita y qué ocurrirá con ellos? Si la respuesta no es sencilla, el tratamiento todavía no está bien definido.

2. Compruebe necesidad, proporcionalidad y base jurídica

No basta con que una tecnología sea útil o cómoda. Hay que acreditar que los datos son necesarios para la finalidad y que no existe una alternativa menos invasiva. Instalar cámaras con audio, pedir una copia completa del DNI para una gestión simple o geolocalizar a un trabajador fuera de su jornada son decisiones que deben justificarse de forma muy rigurosa.

En esta fase se analiza la base jurídica adecuada: ejecución de un contrato, cumplimiento de una obligación legal, interés legítimo, consentimiento u otra prevista por la normativa. El consentimiento no es una solución automática. En el ámbito laboral, por ejemplo, rara vez es la base más segura debido al desequilibrio existente entre empresa y trabajador.

3. Identifique los riesgos para las personas

La evaluación debe prever escenarios creíbles, no riesgos abstractos. Hay que valorar la probabilidad de que ocurra cada incidente y la gravedad de sus consecuencias. Un acceso indebido de un empleado, una contraseña compartida, una aplicación sin doble factor de autenticación o una cámara orientada a una zona excesiva pueden convertir un sistema aparentemente normal en una fuente de incumplimientos.

Conviene considerar riesgos de confidencialidad, integridad y disponibilidad, pero también de falta de transparencia, discriminación, vigilancia desproporcionada, imposibilidad de ejercer derechos o conservación de datos durante más tiempo del necesario. Este análisis debe dejar constancia de por qué cada riesgo es bajo, medio o alto.

4. Aplique medidas concretas y verificables

Las medidas no pueden limitarse a frases como “se protegerán los datos”. Deben ser operativas. Según el tratamiento, pueden incluir control de accesos por perfiles, contraseñas seguras y autenticación reforzada, cifrado, copias de seguridad, registro de accesos, cláusulas de confidencialidad, formación del personal, plazos de borrado, carteles informativos y procedimientos de atención de derechos.

En videovigilancia, por ejemplo, el análisis debe revisar la ubicación, el ángulo de las cámaras, el acceso a las grabaciones y el plazo de conservación. En una plataforma de recursos humanos, habrá que examinar permisos, trazabilidad, información a la plantilla y si se están usando datos que no son necesarios para la gestión laboral.

Las medidas tienen un coste y requieren organización. Aun así, corregir el diseño antes de implantar el sistema casi siempre es más económico que enfrentarse a una reclamación, una brecha de seguridad o un requerimiento de la autoridad de control.

5. Calcule el riesgo residual y decida si puede continuar

Una vez aplicadas las salvaguardas, debe valorarse el riesgo residual. Si sigue siendo alto, la empresa no debe poner en marcha el tratamiento sin realizar una consulta previa a la autoridad de control, conforme al artículo 36 del RGPD. Esta consulta no es un trámite opcional ni una forma de regularizar después: se plantea antes de iniciar el tratamiento.

Cuando exista delegado de protección de datos, debe recabarse su asesoramiento y documentarse. Si no existe DPD obligatorio, contar con asesoramiento especializado permite evitar una evaluación incompleta o medidas incompatibles con la operativa real del negocio.

Errores que dejan a una empresa expuesta

El primero es descargar una plantilla y firmarla sin adaptarla. Una EIPD copiada no acredita responsabilidad proactiva si no refleja el tratamiento real. El segundo es confundir información con consentimiento: entregar una cláusula informativa no legitima cualquier recogida de datos.

También es frecuente evaluar el proyecto una sola vez y olvidarlo. La EIPD debe revisarse cuando cambien los datos tratados, el proveedor, la finalidad, la tecnología, el volumen de afectados o el nivel de riesgo. Añadir reconocimiento facial a un control de acceso, integrar una nueva aplicación o ampliar una campaña de perfilado son cambios que exigen volver a valorar el impacto.

Por último, muchas organizaciones se centran en el software y descuidan a las personas. El personal que accede a datos necesita instrucciones claras. Una política correcta pierde eficacia si cualquier empleado puede descargar listados, usar cuentas compartidas o enviar información sensible por canales no autorizados.

Documentación que debe conservar la organización

La EIPD debe poder demostrarse ante una inspección o una reclamación. Por eso debe conservarse junto con el registro de actividades de tratamiento, las cláusulas informativas, los contratos con encargados, las políticas internas, las evidencias de formación y, cuando corresponda, el protocolo de gestión de brechas de seguridad.

No se trata de acumular papeles. La documentación debe coincidir con lo que sucede en la práctica. Si el documento afirma que solo dos personas acceden a las grabaciones, pero las credenciales se comparten entre varios empleados, el incumplimiento existe aunque la evaluación esté formalmente redactada.

Una evaluación bien realizada permite avanzar con criterio, proteger a las personas y evitar que una herramienta útil se convierta en un foco de sanciones. Antes de activar un tratamiento de alto riesgo, revisar su impacto es una decisión de control empresarial: ofrece seguridad jurídica, reduce costes futuros y permite trabajar con datos personales sin improvisaciones.