Evaluación de impacto en protección de datos (EIPD)
Antes de lanzar un sistema que trata datos de alto riesgo, la ley le pide analizarlo. Hacemos su EIPD con la metodología de la SPDP y la dejamos firmada, fundamentada y lista para presentar.
Agende una conversación de 30 minutos Escríbanos por WhatsApp
¿Cuándo es obligatoria?
El artículo 42 de la LOPDP exige una evaluación de impacto cuando el tratamiento puede suponer un alto riesgo para los derechos de las personas, en especial cuando hay:
- Evaluación sistemática de aspectos personales con tratamiento automatizado, incluida la elaboración de perfiles.
- Tratamiento a gran escala de datos sensibles o de categorías especiales.
- Observación sistemática a gran escala de zonas de acceso público, como la videovigilancia.
Además, la SPDP exige una EIPD previa cuando un tratamiento resulta a gran escala con su metodología (Res. SPDP-SPD-2026-0005-R), y antes de desarrollar sistemas de inteligencia artificial que traten datos personales (Res. SPDP-SPD-2026-0009-R).
Casos frecuentes
- Control de asistencia o acceso con biometría.
- Videovigilancia de clientes, empleados o espacios públicos.
- Historias clínicas, telemedicina y datos de salud ocupacional.
- Geolocalización de vehículos, repartidores o personal de campo.
- Calificación crediticia, scoring y decisiones automatizadas.
- Asistentes y modelos de inteligencia artificial que usan datos de clientes o empleados.
Qué contiene nuestra EIPD
- Descripción sistemática del tratamiento y sus finalidades.
- Análisis de necesidad y proporcionalidad.
- Identificación, análisis y evaluación de riesgos para los titulares.
- Medidas para mitigarlos, riesgo residual y plan de acción.
Es el contenido que exige el artículo 32 del RGLOPDP. Seguimos la Guía de Gestión de Riesgos y Evaluación de Impacto de la SPDP (versión 2, Res. SPDP-SPD-2026-0012-R): contexto, identificación, análisis, evaluación y tratamiento del riesgo, con comunicación y monitoreo.
Preguntas frecuentes
¿La EIPD se hace antes o después de lanzar el sistema?
Antes. La evaluación debe hacerse antes de iniciar el tratamiento, para que las medidas se incorporen desde el diseño.
¿Es legal usar biometría para controlar la asistencia?
La SPDP ha advertido que, para ese fin, suele ser desproporcionada, y ha emitido normativa específica sobre datos biométricos. Si su empresa la usa o piensa usarla, la EIPD permite analizar si es necesaria y qué alternativas menos invasivas existen.
¿Cuánto tarda una EIPD?
Depende de la complejidad del tratamiento. Un caso acotado puede resolverse en pocas semanas; se lo precisamos en la propuesta.