La evaluación de impacto relativa a la protección de datos (EIPD) describe un tratamiento, evalúa los riesgos para los interesados y registra las medidas para reducirlos. El RGPD la exige en su artículo 35 cuando el tratamiento puede generar un alto riesgo; la LGPD de Brasil la llama RIPD (art. 38). Esta plantilla arma un borrador estructurado con evaluación previa, matriz de probabilidad y gravedad y una sección para sistemas de IA.
Cómo usar
- Describe el proyecto, el responsable, la ley aplicable y lo que ocurre con los datos.
- Marca las categorías de datos y los criterios de alto riesgo: la evaluación previa indica si la EIPD probablemente es necesaria.
- Lista los riesgos para los interesados con probabilidad, gravedad y la medida que reduce cada uno.
- Si el tratamiento usa IA o decisiones automatizadas, completa la finalidad y la supervisión humana.
- Revisa el borrador con el delegado de protección de datos y exporta en DOCX para circular y aprobar.
Qué pide cada campo
| Campo | Qué completar |
|---|---|
| Nombre del proyecto o tratamiento | El sistema, proceso o cambio que se evalúa. |
| Responsable del tratamiento | La organización que decide sobre el tratamiento. |
| Ley aplicable | El RGPD llama al documento EIPD (art. 35); la LGPD de Brasil, RIPD (art. 38). |
| Descripción del tratamiento | Qué ocurre con los datos de principio a fin: recogida, uso, sistemas y quién participa. |
| Finalidades | Para qué se tratan los datos. Una finalidad específica por línea. |
| Categorías de datos | Marca todas las que usa el tratamiento. |
| Interesados | De quién son los datos. |
| Destinatarios y encargados | Quién recibe los datos o los trata por cuenta del responsable. |
| Transferencia internacional | Si los datos salen del país, y con qué mecanismo. |
| Plazo de conservación | Cuánto tiempo se guardan los datos, o el criterio. |
| Criterios de alto riesgo | Criterios de las directrices del CEPD. Dos o más indican que la EIPD probablemente es necesaria. |
| ¿Usa IA o decisiones automatizadas? | Si es así, la evaluación incluye una sección de impacto de la IA. |
| Finalidad del sistema de IA | Solo si usa IA. Qué estima, clasifica o decide el modelo. |
| Supervisión humana | Solo si usa IA. Quién revisa las decisiones y cuándo. |
| Riesgo | Ej.: rechazos discriminatorios por sesgo del modelo |
| Probabilidad | |
| Gravedad | |
| Medida de mitigación | Ej.: pruebas de sesgo por grupo antes del lanzamiento |
| ¿Se consultó al delegado de protección de datos? | Elige |
| Fecha de la próxima revisión | Ej.: 30/04/2027 |
Ejemplo
Una empresa minorista ficticia va a usar un modelo de puntuación para aprobar compras a plazos. Marca cuatro criterios de alto riesgo (puntuación de personas, decisiones automatizadas, gran escala y tecnología innovadora), así que la evaluación previa indica que la EIPD probablemente es necesaria. De los tres riesgos listados, los rechazos discriminatorios por sesgo del modelo quedan en nivel alto (probabilidad media y gravedad alta), las decisiones sin revisión humana en medio y la conservación excesiva en bajo. El borrador incluye la sección de IA y la orientación sobre riesgo residual.
Cuándo usar
- Antes de lanzar un tratamiento nuevo con datos sensibles, datos de menores u observación sistemática.
- Cuando un sistema de IA o una decisión automatizada empieza a afectar a clientes, candidatos o empleados.
- Cuando la autoridad, un cliente o una auditoría pide la evaluación de impacto de un tratamiento existente.
- Al cambiar la finalidad, la escala o la tecnología de un tratamiento ya evaluado.
Preguntas frecuentes
¿Cuándo es obligatoria la EIPD en el RGPD?
El artículo 35 la exige cuando el tratamiento puede entrañar un alto riesgo para los derechos y libertades de las personas, por ejemplo la elaboración sistemática de perfiles con efectos significativos, categorías especiales a gran escala o la observación sistemática de zonas públicas. Las autoridades de control también publican listas de tratamientos que siempre la requieren.
¿Qué diferencia hay entre EIPD, DPIA y RIPD?
Cumplen el mismo papel: describir el tratamiento, evaluar riesgos y registrar medidas. EIPD es el nombre en español del RGPD, DPIA el nombre en inglés y RIPD el de la LGPD de Brasil. El RGPD exige consulta previa a la autoridad cuando el riesgo sigue siendo alto. Esta plantilla sirve para los tres casos.
¿Cómo decide la herramienta si la EIPD es necesaria?
Usa la regla práctica de las directrices del CEPD sobre evaluaciones de impacto: dos o más criterios de alto riesgo, como puntuar personas o tratar datos sensibles a gran escala, indican que la evaluación probablemente es necesaria. Con un criterio, evalúa caso por caso. Es una evaluación inicial, no una decisión final.
¿Cómo se calcula el nivel de cada riesgo?
El nivel es la probabilidad multiplicada por la gravedad, cada una de 1 a 3. Hasta 2 es bajo, 3 o 4 es medio, 6 o 9 es alto. La matriz ordena la discusión; el juicio sobre cada riesgo sigue siendo del equipo y del delegado.
¿Qué cambia cuando el tratamiento usa IA?
El borrador incluye una sección con la finalidad del modelo, la supervisión humana y preguntas sobre sesgo, explicabilidad, datos de entrenamiento y monitoreo. Si el sistema es de alto riesgo según la ley de IA de la UE, también puede ser necesaria una evaluación de impacto en los derechos fundamentales.
¿El resultado es asesoría legal?
No. Es una herramienta educativa que genera un borrador estructurado. Revisa el contenido con el delegado de protección de datos y con la asesoría jurídica, y verifica las normas vigentes antes de aprobar la evaluación.
¿Qué certificación de DPCert cubre la EIPD?
La DPAI (Data Protection & AI Professional) evalúa las herramientas de responsabilidad proactiva, entre ellas la EIPD y el registro de actividades de tratamiento. La RAIP (Responsible AI Practitioner) profundiza en la evaluación de riesgo e impacto de sistemas de IA.