Conforme al artículo 35 del GDPR, la DPIA debe completarse antes de que comience el tratamiento en cuestión. Debe tratarse como un ejercicio práctico de gestión de riesgos capaz de influir en el diseño del producto, la recogida de datos, los controles de seguridad, la conservación, el acceso y otras decisiones de tratamiento, y no como un mero documento de cumplimiento.
Esta guía ofrece una metodología en cinco fases para determinar si es necesaria una DPIA, documentar el tratamiento, evaluar los riesgos, seleccionar las garantías y aprobar y revisar la evaluación.
Importante: Que una DPIA sea o no necesaria depende de la actividad de tratamiento concreta, de su naturaleza, alcance, contexto y fines, de las listas aplicables de las autoridades de control y de los riesgos para las personas físicas. Esta guía ofrece información general y no sustituye al asesoramiento jurídico.
§¿Cuándo es necesaria una DPIA?
El artículo 35, apartado 1, exige que el responsable del tratamiento realice una DPIA cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas tecnologías, entrañe un alto riesgo para los derechos y libertades de las personas físicas.
La evaluación debe tener en cuenta:
- La naturaleza del tratamiento
- El alcance del tratamiento
- El contexto en el que se realiza el tratamiento
- Los fines del tratamiento
- El posible impacto en las personas físicas
- La probabilidad y la gravedad de los riesgos
Artículo 35, apartado 3: tres ejemplos expresos
La DPIA se exige específicamente, en particular, cuando el tratamiento implique:
- Una evaluación sistemática y exhaustiva de aspectos personales, incluida la elaboración de perfiles, cuando las decisiones basadas en el tratamiento produzcan efectos jurídicos o efectos significativos similares.
- Un tratamiento a gran escala de categorías especiales de datos personales conforme al artículo 9, apartado 1, o de datos personales relativos a condenas e infracciones penales conforme al artículo 10.
- Una observación sistemática a gran escala de una zona de acceso público.
Estos no son los únicos supuestos en los que puede exigirse una DPIA. Las autoridades de control también publican listas de operaciones de tratamiento que requieren una DPIA conforme al artículo 35, apartado 4.
§La prueba de umbral de la DPIA
Cuando no resulte inmediatamente claro si es necesaria una DPIA, las organizaciones pueden recurrir a los criterios de riesgo consolidados que elaboró el Grupo de Trabajo del Artículo 29 y que el EDPB ha refrendado.
Los nueve criterios de uso habitual son:
- Evaluación o puntuación, incluida la elaboración de perfiles
- Toma de decisiones automatizada con efectos jurídicos o efectos significativos similares
- Observación sistemática
- Datos sensibles o de carácter muy personal
- Tratamiento a gran escala
- Asociación o combinación de conjuntos de datos
- Tratamiento que afecta a personas vulnerables
- Tecnologías o soluciones organizativas innovadoras
- Tratamiento que impide a las personas ejercer un derecho, utilizar un servicio o celebrar un contrato
Estos criterios son indicadores útiles de un tratamiento potencialmente de alto riesgo. No deben tratarse como una fórmula legal del tipo «dos criterios = DPIA».
La evaluación debe considerar el tratamiento en su conjunto y los requisitos aplicables de las autoridades de control nacionales. Una actividad de tratamiento puede requerir una DPIA aunque no se alcance un simple umbral numérico. A la inversa, la presencia de un único factor no determina automáticamente el resultado en todos los casos.
Preguntas prácticas de cribado
Pregúntese:
- ¿El tratamiento evalúa a las personas o elabora perfiles sobre ellas?
- ¿Podrían las decisiones automatizadas afectar significativamente a las personas?
- ¿Se somete a las personas a una observación sistemática?
- ¿El tratamiento implica información sensible o de carácter muy personal?
- ¿El tratamiento se realiza a gran escala?
- ¿Se combinan conjuntos de datos procedentes de distintas fuentes?
- ¿Se ven afectadas personas vulnerables?
- ¿El tratamiento introduce tecnologías o métodos innovadores?
- ¿Podría el tratamiento limitar la capacidad de una persona para ejercer un derecho o acceder a un servicio?
Si concurren varios indicadores, es muy recomendable realizar una evaluación de umbral de la DPIA documentada.
§Fase 1 — Describir el tratamiento
La primera fase consiste en documentar lo que la organización pretende hacer con los datos personales.
Una DPIA útil debe describir:
Naturaleza
- Categorías de datos personales
- Fuentes de los datos
- Destinatarios de los datos
- Responsables, corresponsables, encargados y subencargados del tratamiento
- Operaciones de tratamiento
- Medidas de seguridad
- Transferencias internacionales
- Disposiciones de conservación y supresión
Alcance
- Número de personas afectadas
- Volumen de datos
- Cobertura geográfica
- Duración del tratamiento
- Frecuencia del tratamiento
Contexto
Tenga en cuenta:
- La relación entre la organización y las personas
- Las expectativas de las personas
- Si las personas tienen un control real
- La sensibilidad del entorno
- Si intervienen personas vulnerables
- Si el tratamiento podría afectar al empleo, la asistencia sanitaria, las finanzas, la educación u otros aspectos importantes de la vida
Finalidad
Documente:
- Lo que la organización quiere conseguir
- Por qué es necesario el tratamiento
- Los resultados esperados
- Los objetivos de negocio u operativos
Mapa de flujos de datos
Cuando proceda, complemente la descripción escrita con un diagrama de flujos de datos que muestre:
- Recogida
- Tratamiento
- Almacenamiento
- Acceso
- Comunicación
- Transferencia
- Supresión
Esto puede poner de manifiesto flujos de datos y terceros que quizá no resulten evidentes a partir de la documentación narrativa por sí sola.
§Fase 2 — Necesidad y proporcionalidad
Una DPIA no debe limitarse a preguntar si el tratamiento es técnicamente posible. Debe evaluar si el tratamiento propuesto es necesario y proporcionado en relación con su finalidad.
Base jurídica
Identifique la base jurídica pertinente del artículo 6.
Cuando se traten categorías especiales de datos, identifique la condición aplicable del artículo 9. Cuando intervengan datos relativos a condenas o infracciones penales, evalúe el artículo 10 y la legislación nacional pertinente.
Minimización de datos
Para cada elemento de datos significativo, pregúntese:
- ¿Necesitamos realmente esta información?
- ¿Puede alcanzarse el mismo objetivo con menos datos?
- ¿Puede agregarse o anonimizarse la información?
- ¿Pueden eliminarse o seudonimizarse los identificadores?
Conservación
Documente:
- Durante cuánto tiempo se conservarán los datos
- Por qué es necesario ese plazo
- Qué activa la supresión o la revisión
- Cómo se garantiza la supresión
Limitación de la finalidad
Confirme que cada categoría de datos está vinculada a una finalidad definida y legítima.
Exactitud
Identifique controles para:
- Mantener la información exacta
- Corregir los registros inexactos
- Gestionar la información desactualizada
Transparencia y derechos
Explique:
- Cómo se informará a las personas
- Qué derechos se aplican
- Cómo se gestionarán las solicitudes de ejercicio de derechos
- Cómo pueden las personas plantear sus inquietudes
Alternativas menos intrusivas
Una DPIA sólida debe documentar las alternativas consideradas y explicar por qué el enfoque elegido es proporcionado.
§Fase 3 — Identificar y evaluar los riesgos
La DPIA debe centrarse en los riesgos para los derechos y libertades de las personas físicas, y no limitarse a enumerar vulnerabilidades de ciberseguridad.
Para cada riesgo significativo, documente:
- Descripción del riesgo
- Causa o amenaza
- Categorías de personas afectadas
- Posibles consecuencias
- Probabilidad
- Gravedad
- Evaluación global del riesgo
- Garantías existentes
- Riesgo residual
Ámbitos de riesgo habituales
En función del tratamiento, tenga en cuenta:
- Acceso no autorizado
- Pérdida de confidencialidad
- Pérdida o alteración de datos
- Recogida excesiva
- Conservación excesiva
- Divulgación ilícita
- Usurpación de identidad
- Fraude
- Discriminación
- Elaboración de perfiles
- Pérdida de autonomía
- Daño reputacional
- Perjuicio económico
- Daño físico o psicológico
- Reidentificación
- Imposibilidad de ejercer los derechos de los interesados
Probabilidad y gravedad
Considere ambas cuestiones:
- ¿Qué probabilidad hay de que se produzca el daño?
- ¿Qué gravedad tendrían las consecuencias si se produjera?
La evaluación debe ser lo bastante comprensible como para que otro revisor pueda seguir cómo llegó la organización a su conclusión.
§Fase 4 — Tratamiento de los riesgos
Una vez identificados los riesgos, determine qué garantías son necesarias.
Entre las posibles medidas figuran:
Medidas técnicas
- Cifrado
- Seudonimización
- Controles de acceso
- Autenticación multifactor
- Segmentación de red
- Registro y supervisión de la actividad
- Prevención de pérdida de datos
- Borrado seguro
- Gestión de vulnerabilidades
Medidas organizativas
- Políticas de privacidad
- Formación del personal
- Gobernanza de accesos
- Calendarios de conservación
- Procedimientos de respuesta a incidentes
- Controles sobre proveedores
- Acuerdos de protección de datos
- Auditorías internas
- Revisiones periódicas
Medidas de protección de datos desde el diseño
Valore si el sistema puede rediseñarse para:
- Recoger menos información
- Reducir el acceso
- Acortar la conservación
- Eliminar los identificadores innecesarios
- Tratar la información en local
- Agregar la información
- Dar a las personas un mayor control
El objetivo no es simplemente reducir la puntuación de riesgo. La organización debe determinar si las garantías reducen la probabilidad o la gravedad de los riesgos lo suficiente como para que el tratamiento resulte adecuado.
§Riesgo residual y consulta previa
Una vez seleccionadas las garantías, reevalúe el riesgo restante.
Si la DPIA muestra que el tratamiento entrañaría un alto riesgo si el responsable no toma medidas para mitigarlo, el artículo 36 exige consultar previamente a la autoridad de control competente antes de que comience el tratamiento.
Por tanto, la consulta previa no es un paso rutinario en todas las DPIA. Adquiere relevancia cuando las circunstancias restantes alcanzan el umbral del artículo 36.
El responsable del tratamiento debe estar preparado para facilitar la información exigida por el artículo 36, que incluye:
- Las responsabilidades de las partes implicadas
- Los fines y medios del tratamiento
- Las medidas y garantías
- Los datos de contacto del DPO, en su caso
- La DPIA
- Cualquier otra información que solicite la autoridad
§Fase 5 — Aprobación y revisión
Una DPIA debe tener un responsable y una aprobación claramente definidos.
Participación del DPO
Cuando se haya designado un DPO, el responsable del tratamiento debe recabar su asesoramiento al realizar la DPIA, conforme al artículo 35, apartado 2.
El asesoramiento del DPO debe documentarse, incluida cualquier decisión del responsable del tratamiento de apartarse de él.
Esto no significa que todas las organizaciones estén obligadas a designar un DPO por el mero hecho de realizar una DPIA. La obligación de contar con un DPO se rige de forma independiente por el artículo 37.
Revisión por las partes interesadas
En función del tratamiento, haga partícipes a:
- Privacidad
- Asesoría jurídica
- Seguridad
- Ingeniería
- Producto
- Cumplimiento
- Compras
- Recursos humanos
- Responsables de negocio
- Encargados del tratamiento pertinentes
Cuando proceda, el artículo 35, apartado 9, también permite al responsable del tratamiento recabar la opinión de los interesados o de sus representantes, con sujeción a las condiciones de dicha disposición.
Aprobación
Deje constancia de:
- Responsable de la DPIA
- Fecha de finalización
- Responsable interno del tratamiento
- Asesoramiento del DPO, en su caso
- Riesgos identificados
- Controles necesarios
- Riesgos residuales
- Decisión de aprobación
- Acciones pendientes
- Supuestos que activan una revisión
§¿Cuándo debe revisarse una DPIA?
Una DPIA no es necesariamente un documento que se elabora una sola vez.
El artículo 35, apartado 11, exige que el responsable del tratamiento lleve a cabo una revisión, en caso necesario, para determinar si el tratamiento es conforme con la DPIA, al menos cuando exista un cambio del riesgo que representen las operaciones de tratamiento.
Por tanto, la revisión puede ser oportuna cuando:
- Cambia la finalidad del tratamiento
- Se introducen nuevas categorías de datos
- El volumen del tratamiento aumenta de forma significativa
- Se introduce una nueva tecnología
- Se designa un nuevo encargado del tratamiento
- Cambia el ámbito geográfico
- Se añaden nuevas jurisdicciones
- Se produce un incidente de seguridad
- Surge una nueva vulnerabilidad o un nuevo riesgo
- Cambian los requisitos regulatorios
- El sistema se rediseña de forma sustancial
Una organización también puede optar por realizar revisiones periódicas —por ejemplo, anuales— como práctica de gobernanza. Sin embargo, la revisión anual no es un plazo legal universal derivado del artículo 35.
§Ejemplo práctico — Sistema biométrico de control de asistencia de empleados
Piense en una organización que se propone implantar un sistema biométrico de control de asistencia para los empleados de varias instalaciones.
La organización no debe limitarse a concluir que es necesaria una DPIA porque «la biometría siempre requiere una DPIA».
En su lugar, debe evaluar:
Tratamiento
- ¿Qué información biométrica se recoge?
- ¿Cómo se genera y se almacena?
- ¿Se almacena una plantilla en lugar de una imagen sin procesar?
- ¿Quién puede acceder a la información?
- ¿Durante cuánto tiempo se conserva?
- ¿Intervienen proveedores?
- ¿Hay transferencias de datos?
Finalidad
- ¿El sistema se utiliza exclusivamente para el control de asistencia?
- ¿Se utiliza también para supervisar a los empleados o evaluar su rendimiento?
- ¿Podría afectar a decisiones laborales?
Necesidad y proporcionalidad
Valore si el mismo objetivo podría alcanzarse con alternativas menos intrusivas, como:
- Tarjetas de acceso
- Códigos PIN
- Autenticación móvil
- Otros métodos no biométricos de control de asistencia
Riesgo
Evalúe posibles consecuencias como:
- El compromiso irreversible de los identificadores biométricos
- El acceso no autorizado
- La desviación de la finalidad
- La supervisión de los empleados
- La discriminación o las coincidencias inexactas
- La conservación excesiva
- La pérdida de control sobre información sensible
Garantías
Entre los posibles controles podrían figurar:
- Almacenamiento basado en plantillas
- Cifrado robusto
- Controles de acceso estrictos
- Plazos de conservación breves
- Limitación de la finalidad
- Mecanismos alternativos de control de asistencia
- Pruebas de exactitud
- Revisión humana de las coincidencias impugnadas
- Restricciones a los proveedores
- Procedimientos de respuesta a incidentes
La base jurídica y la condición del artículo 9 deben determinarse en función del contexto laboral real y de la legislación nacional aplicable. No debe darse por sentado que el consentimiento es una solución adecuada simplemente porque resulta cómodo, sobre todo cuando puede existir un desequilibrio entre empleador y empleado.
§Errores habituales en las DPIA
Error 1: «Con dos criterios, la DPIA es obligatoria».
Los nueve criterios constituyen un marco práctico de cribado de riesgos, no una fórmula numérica legal.
Error 2: Iniciar la DPIA después del lanzamiento
El artículo 35 exige que la evaluación se realice antes de que comience el tratamiento de alto riesgo en cuestión. La DPIA debe hacerse con la antelación suficiente para influir en el diseño y en el proceso de toma de decisiones.
Error 3: Tratar la DPIA como una evaluación de ciberseguridad
La seguridad es importante, pero la DPIA debe evaluar los riesgos para los derechos y libertades de las personas físicas.
Error 4: Utilizar descripciones genéricas de los riesgos
Una DPIA sólida vincula los riesgos con personas, datos, operaciones de tratamiento y posibles consecuencias reales.
Error 5: Dar por sentado que todos los proyectos biométricos o de IA tienen la misma base jurídica
La base jurídica y la condición aplicable a las categorías especiales dependen del tratamiento real y de la legislación aplicable.
Error 6: Tratar al DPO como «dueño» de la DPIA
El responsable del tratamiento sigue siendo quien responde de la DPIA. El DPO designado presta asesoramiento conforme al artículo 35, apartado 2.
Error 7: Consultar automáticamente a la autoridad de control
La consulta previa del artículo 36 se activa cuando la DPIA muestra que persistiría un alto riesgo si no se adoptan medidas de mitigación. No es necesaria en todas las DPIA.
Error 8: No volver nunca sobre la DPIA
Los cambios sustanciales en el tratamiento o en su perfil de riesgo deben dar lugar a una nueva evaluación.
§Lista de comprobación de entregables de la DPIA
Un expediente práctico de DPIA debería contener normalmente, según proceda:
- Evaluación de umbral de la DPIA
- Descripción del tratamiento
- Diagrama de flujos de datos
- Análisis de la finalidad y de la base jurídica
- Evaluación de la necesidad y la proporcionalidad
- Evaluación de la minimización de datos
- Registro de riesgos
- Metodología de riesgos
- Garantías existentes
- Medidas de mitigación adicionales
- Evaluación del riesgo residual
- Asesoramiento del DPO, en su caso
- Aportaciones de las partes interesadas
- Registro de aprobación
- Plan de subsanación
- Supuestos que activan una revisión
- Documentación de la consulta previa, en su caso
§La DPIA frente a otras evaluaciones
La DPIA suele formar parte de un proceso de gobernanza más amplio.
DPIA frente a evaluación de riesgos de seguridad
Una evaluación de riesgos de seguridad se centra principalmente en las amenazas y los controles de seguridad de la información.
Una DPIA se centra en los riesgos para los derechos y libertades de las personas físicas derivados del tratamiento de datos personales.
Ambas evaluaciones pueden nutrirse mutuamente, pero no deben tratarse automáticamente como un mismo documento.
DPIA frente a evaluación del interés legítimo
Una evaluación del interés legítimo valora si el tratamiento basado en intereses legítimos cumple los requisitos legales aplicables.
Una DPIA aborda si es probable que el tratamiento entrañe un alto riesgo para los derechos y libertades de las personas físicas.
Una actividad de tratamiento puede requerir ambas.
DPIA frente a evaluación de impacto de la IA en los derechos fundamentales
La evaluación de impacto relativa a los derechos fundamentales prevista en el EU AI Act para la IA es distinta de la DPIA del GDPR. Cuando ambas resulten aplicables, pueden coordinarse y compartir la información fáctica pertinente, pero responden a marcos jurídicos diferentes.
§Plantilla de DPIA del EDPB
El EDPB publicó en abril de 2026 una plantilla de DPIA para consulta pública. La plantilla pretende favorecer un enfoque más coherente de las DPIA, y se espera que las autoridades nacionales de protección de datos estudien cómo adoptarla como plantilla común o compatible.
Las organizaciones pueden utilizar la plantilla del EDPB como referencia útil, sin dejar de comprobar los requisitos y las directrices de la autoridad de control nacional competente.
§Preguntas frecuentes
¿La DPIA es siempre obligatoria para la IA?
No. El uso de IA no implica automáticamente que sea necesaria una DPIA. La organización debe evaluar la naturaleza, el alcance, el contexto y los fines del tratamiento, y si es probable que entrañe un alto riesgo.
¿La DPIA es obligatoria para los datos biométricos?
No de forma automática en todos los casos. No obstante, el tratamiento biométrico puede presentar riesgos significativos y afectar además a categorías especiales de datos. Deben evaluarse el tratamiento real, la finalidad, la escala y los requisitos aplicables de las autoridades de control.
¿Puede una sola DPIA abarcar varias actividades de tratamiento?
Sí. El artículo 35 permite que una única evaluación aborde una serie de operaciones de tratamiento similares que entrañen altos riesgos similares.
¿Puede completarse una DPIA después de iniciado el tratamiento?
Lo normal es que la DPIA deba completarse antes de que comience el tratamiento en cuestión. Si una actividad de tratamiento existente ha cambiado o su perfil de riesgo ha aumentado, el responsable del tratamiento debe evaluar si ahora es necesaria una DPIA o si esta debe actualizarse. Una DPIA retrospectiva puede ayudar a subsanar una carencia de gobernanza existente, pero no borra un incumplimiento anterior.
¿Todas las DPIA requieren la aprobación del DPO?
No. Cuando se haya designado un DPO, el responsable del tratamiento debe recabar su asesoramiento. El responsable del tratamiento sigue respondiendo de la evaluación y de la decisión.
¿Todas las DPIA requieren consultar a la autoridad de control?
No. La consulta previa del artículo 36 es necesaria cuando la DPIA muestra que el tratamiento entrañaría un alto riesgo si no se toman medidas para mitigarlo.
¿Deben publicarse todas las DPIA?
No. El artículo 35 del GDPR no impone una obligación general de publicar la DPIA completa. Las organizaciones pueden optar por publicar un resumen u otra información cuando proceda, atendiendo a la confidencialidad, la seguridad y otras consideraciones.
¿Con qué frecuencia debe revisarse una DPIA?
El GDPR no establece una obligación universal de revisar la DPIA anualmente. Revísela cuando sea necesario y, como mínimo, cuando cambie el riesgo que representa el tratamiento. Las organizaciones pueden establecer ciclos adicionales de revisión periódica como medida de gobernanza.
Elabore una DPIA que respalde decisiones reales
Una DPIA debe ayudar a la organización a tomar mejores decisiones sobre cómo se recogen, utilizan, protegen, conservan y comunican los datos personales.
Las DPIA más eficaces:
- Empiezan pronto
- Implican a las partes interesadas adecuadas
- Se centran en los derechos y libertades de las personas físicas
- Evalúan la necesidad y la proporcionalidad
- Identifican riesgos concretos
- Asignan garantías prácticas
- Documentan el riesgo residual
- Dejan constancia de las decisiones y de las responsabilidades
- Se revisan cuando cambian el tratamiento o el riesgo
RegulatoryBridge puede ayudar a las organizaciones con las evaluaciones de umbral de la DPIA, la elaboración completa de la DPIA, la coordinación de las partes interesadas, la planificación de la subsanación y la consulta a la autoridad de control cuando se cumplan los requisitos del artículo 36.
Explore nuestros servicios de cumplimiento del GDPR o póngase en contacto con RegulatoryBridge para hablar de sus requisitos en materia de DPIA.