Una Evaluación de Impacto relativa a la Protección de Datos (DPIA) conforme al Artículo 35 del RGPD es obligatoria siempre que un tratamiento entrañe probablemente un alto riesgo para los derechos y libertades de las personas físicas. El Grupo de Trabajo del Artículo 29 (ahora EDPB) estableció nueve criterios — cuando se cumplen dos o más, realice una DPIA.

Una DPIA defendible consta de cinco fases: describir el tratamiento, evaluar la necesidad y la proporcionalidad, identificar los riesgos, identificar las medidas de mitigación y, por último, aprobar formalmente y programar la revisión. La metodología de la ICO y las Directrices del EDPB coinciden estrechamente en esta estructura.

Bien hecha, una DPIA es un artefacto que da forma al producto — no un ritual de cumplimiento. Saca a la luz el riesgo de forma temprana y obliga a tomar decisiones sobre minimización de datos, conservación y acceso. Las mejores DPIA se completan antes de la primera línea de código.

El Artículo 35(1) exige una DPIA cuando un tratamiento "entrañe probablemente un alto riesgo". El Artículo 35(3) enumera tres casos obligatorios:

1. Evaluación sistemática y exhaustiva de aspectos personales basada en un tratamiento automatizado, como la elaboración de perfiles, que produzca efectos jurídicos o efectos significativos de modo similar.
2. Tratamiento a gran escala de categorías especiales de datos (Artículo 9) o de datos relativos a condenas e infracciones penales (Artículo 10).
3. Observación sistemática a gran escala de una zona de acceso público.

La mayoría de las autoridades de control publican listas nacionales (Artículo 35(4)) de tratamientos adicionales que siempre requieren una DPIA. Consulte las listas de su autoridad de control principal y de cualquier autoridad de control de cuyo Estado miembro trate datos de residentes.

Cuando no esté claro, aplique la prueba de los nueve criterios. Dos o más = DPIA obligatoria.

1. Evaluación o puntuación — elaboración de perfiles, análisis comportamental.
2. Toma de decisiones automatizada con efecto jurídico o significativo de modo similar.
3. Observación sistemática — observación de zonas públicas, vigilancia de empleados, seguimiento web.
4. Datos sensibles o de carácter muy personal — categorías especiales, datos penales, pero también financieros, de localización y de comunicaciones electrónicas.
5. Datos tratados a gran escala.
6. Cotejo o combinación de conjuntos de datos — incluidos los procedentes de distintos responsables o para fines diferentes.
7. Datos relativos a interesados vulnerables — menores, empleados, personas con enfermedad mental, solicitantes de asilo.
8. Uso innovador o aplicación de nuevas soluciones tecnológicas u organizativas — IA, biometría, IoT.
9. Impide a los interesados ejercer un derecho o utilizar un servicio / contrato.

El fundamento de toda DPIA es una descripción precisa de lo que realmente hace con los datos. Documente:

• Naturaleza — categorías de datos personales, fuentes, destinatarios, conservación, seguridad técnica, transferencias transfronterizas.
• Alcance — volumen de datos, número de interesados, extensión geográfica y temporal.
• Contexto — naturaleza de la relación con los interesados, control que tienen, sensibilidad del contexto (entorno laboral, salud).
• Fines — qué se pretende lograr, resultados previstos, valor para el negocio.

Combine esto con un diagrama de flujo de datos. Las descripciones en texto libre pasan por alto detalles que los diagramas de flujo de datos sí captan.

• Base jurídica — Artículo 6(1)(a)–(f). Si se trata de categorías especiales, también la condición del Artículo 9(2).
• Alternativas menos intrusivas consideradas — ¿podría lograr el fin con menos datos, datos anonimizados, datos agregados o un período de conservación más corto?
• Limitación de la finalidad — ¿cada categoría de datos respalda realmente el fin declarado?
• Minimización de datos — lista explícita de campos y una razón documentada para cada uno.
• Calidad y exactitud — ¿qué mecanismos mantienen los datos actualizados?
• Conservación y supresión — períodos exactos, con la justificación jurídica o de negocio.
• Información y derechos — ¿cómo informa a los interesados y cómo ejercen ellos sus derechos?

Para cada riesgo identificable, documente:

• Descripción del riesgo (en lenguaje claro y sencillo).
• Origen del riesgo.
• Probabilidad de que la amenaza se materialice (baja / media / alta).
• Gravedad del daño para los interesados (baja / media / alta).
• Puntuación global del riesgo.

Tipos de amenaza que conviene cubrir de forma rutinaria: acceso no autorizado (interno, atacante externo), modificación (pérdida de integridad), pérdida (destrucción, indisponibilidad), discriminación, robo de identidad, perjuicio económico, daño reputacional, pérdida de confidencialidad, pérdida de control sobre los datos, reidentificación de datos seudonimizados.

Para cada riesgo, identifique el tratamiento previsto:

• Aceptar — el riesgo residual es aceptable. Documente por qué y quién lo aprobó.
• Reducir — controles aplicados (cifrado, gestión de accesos, formación, reducción de la conservación).
• Evitar — modificar el tratamiento para eliminar el riesgo (usar datos anonimizados en su lugar, suprimir una funcionalidad).
• Transferir — asignación contractual (poco común para riesgos primarios; habitual para la responsabilidad residual mediante seguros o condiciones del proveedor).

Vuelva a puntuar el riesgo residual tras los controles previstos. Si el riesgo residual sigue siendo alto, debe consultar a la Autoridad de Control antes de iniciar el tratamiento (Artículo 36).

• Asesoramiento del DPO (Artículo 35(2)) — debe consultarse al DPO; el responsable puede apartarse del asesoramiento, pero debe documentar el razonamiento.
• Consulta a las partes interesadas — el Artículo 35(9) recomienda consultar a los interesados o a sus representantes cuando proceda.
• Autoridad de aprobación — normalmente el responsable de alto nivel con rendición de cuentas del responsable del tratamiento (CISO, COO o CEO en tratamientos críticos para la empresa).
• Publicación — no exigida por el RGPD, pero la ICO y muchas Autoridades de Control recomiendan publicar resúmenes redactados de la DPIA como señal de confianza.
• Ciclo de revisión — el Artículo 35(11) exige revisión cuando se produce un cambio en el riesgo que representan las operaciones de tratamiento. Establezca una revisión programada como mínimo anual.

La consulta previa del Artículo 36 es obligatoria cuando, tras aplicar las medidas de mitigación, el riesgo residual para los derechos y libertades sigue siendo alto.

La Autoridad de Control recibe:

• La propia DPIA.
• Las responsabilidades del responsable y de cualquier corresponsable o encargado del tratamiento.
• Los fines y medios del tratamiento previsto.
• Las medidas y garantías.
• Los datos de contacto del DPO.
• Cualquier otra información que solicite la Autoridad de Control.

Plazo de respuesta de la Autoridad de Control: 8 semanas (prorrogable en 6 semanas en casos complejos). El tratamiento no puede iniciarse durante este período sin autorización.

Escenario: Una empresa de logística planea introducir el fichaje de entrada y salida mediante reconocimiento facial para 4.500 trabajadores de almacén repartidos en 12 centros de Alemania y España.

Prueba de umbral: Datos sensibles (datos biométricos del Artículo 9 para identificación) + gran escala + interesados vulnerables (empleados) + uso innovador = territorio claro de DPIA. Las listas de las Autoridades de Control alemana y española también incluyen la identificación biométrica en el lugar de trabajo como DPIA obligatoria.

Descripción (Etapa 1): Plantillas faciales derivadas de una cámara frontal en la entrada del centro; cotejadas con la plantilla registrada almacenada en un dispositivo por centro; las coincidencias se registran con marca de tiempo e ID del trabajador; las plantillas biométricas se conservan durante el período de empleo + 30 días; los registros de coincidencia se conservan 3 años.

Necesidad (Etapa 2): Base jurídica Artículo 6(1)(b) contrato de trabajo + 9(2)(b) obligación de derecho laboral (Alemania) y consentimiento explícito (España, con cogestión del comité de empresa). Alternativas consideradas: fichaje con tarjeta PIN (rechazada — fichaje fraudulento por terceros), credencial con NFC (rechazada — lo mismo), huella dactilar (rechazada — higiene). Justificada la necesidad de las plantillas faciales frente a las alternativas.

Riesgos (Etapa 3): (a) La centralización de las plantillas biométricas crea un objetivo atractivo para las brechas. (b) Falsa no coincidencia que provoca una deducción salarial. (c) Desviación de la finalidad — datos de fichaje usados para la evaluación del desempeño. (d) Coacción al empleado: negarse a la recogida biométrica obliga a una exclusión voluntaria hacia peores condiciones.

Tratamiento (Etapa 4): (a) Dispositivo local por centro; plantillas cifradas con claves gestionadas por HSM; sin copia en la nube. (b) Flujo de anulación manual para las no coincidencias; nómina no puede deducir basándose únicamente en un fallo de fichaje. (c) Prohibición contractual + separación técnica entre los datos de fichaje y los sistemas de desempeño de RR. HH. (d) Vía de exclusión voluntaria genuina (alternativa con credencial) sin perjuicio, documentada en el acuerdo con el comité de empresa.

Aprobación: Se obtuvo el asesoramiento del DPO — recomendó la supresión de las plantillas faciales 7 días después del cese del empleo en lugar de 30. El responsable lo aceptó. Se obtuvo la cogestión del comité de empresa. Riesgo residual: medio-bajo. No se requiere consulta a la Autoridad de Control.

• Omitir la prueba de umbral. Se realizó una DPIA de forma prematura; más tarde se comprobó que no era necesaria. Lo contrario (no realizarla y que una inspección descubra la necesidad) es mucho peor.
• Tratar la necesidad como un mero trámite. «Alternativas menos intrusivas consideradas» es la sección que los reguladores leen con más atención. Las menciones simbólicas no sobreviven a una auditoría.
• Ambigüedad en el responsable del riesgo. Los riesgos sin una persona nombrada como responsable tienden a quedar sin tratar.
• Omitir el paso de consulta a los interesados. Cuando proceda (empleados, gran base de usuarios), la consulta del Artículo 35(9) refuerza la capacidad de defensa.
• No volver a puntuar el riesgo residual. Si no vuelve a puntuar tras el tratamiento, no puede demostrar si se activa el Artículo 36.
• Tratar la DPIA como un artefacto puntual. Los cambios sustanciales (nueva categoría de datos, nuevo encargado, nueva jurisdicción, nueva finalidad) vuelven a activar la evaluación.
• Dejar que ingeniería complete la DPIA por sí misma. El Artículo 35(2) exige la participación de un profesional de la privacidad. Sin ella, la evaluación carece de fundamento jurídico.