# Evaluación de impacto (EIPD) en protección de datos: cuándo es obligatoria y cómo hacerla
URL: https://pulsaiq.com/es/guias/evaluacion-impacto-proteccion-datos/
Última revisión: 2026-11-04
Idioma: es
Base jurídica: RGPD, arts. 35 y 36
La dirección quiere poner en marcha un sistema nuevo y alguien ha preguntado si «esto necesita una EIPD». Con esta guía podrá responder en diez minutos y, si la respuesta es sí, hacer la evaluación de impacto con un método que cabe en una semana de trabajo y con la fuente de cada norma a mano.
## En dos minutos
- **Haga la EIPD antes de empezar el tratamiento**, nunca después. Es obligatoria cuando sea probable que el tratamiento entrañe un alto riesgo para las personas, sobre todo si usa tecnologías nuevas. Art. 35, apartado 1
- **Para saber si la necesita, pase por tres filtros:** los tres supuestos del art. 35, apartado 3, los once criterios de la lista de la AEPD y los nueve criterios europeos. Si el tratamiento cumple dos criterios, en la mayoría de los casos necesitará una EIPD.
- **La EIPD tiene cuatro partes obligatorias:** describir el tratamiento, valorar si es necesario y proporcionado, evaluar los riesgos para las personas y decidir las medidas que los reducen. Art. 35, apartado 7
- **La hace el responsable del tratamiento.** El DPO da su opinión, el proveedor aporta la información técnica y, cuando proceda, se recaba la opinión de las personas afectadas. Art. 35, apartados 2 y 9
- **Si el riesgo sigue siendo alto después de las medidas, consulte a la AEPD antes de empezar.** La AEPD tiene hasta ocho semanas para responder, prorrogables seis más. Art. 36
## Para quién es esta guía
Para quien, en una pyme, tiene que decidir si un proyecto nuevo necesita una evaluación de impacto, y para los delegados de protección de datos (DPD o DPO) y consultores que acompañan a clientes y quieren un método que puedan repetir. Si lleva varios clientes, la guía del DPO externo con varios clientes explica cómo dar su opinión sin quedarse con la decisión.
**Para quién no es.** Para quien necesita un dictamen jurídico sobre un caso concreto. Aquí encontrará las normas y un método práctico, no un asesoramiento profesional.
## La clínica que quería reconocimiento facial en la entrada
La Clínica Sorriso es una clínica dental con 22 trabajadores. Hace un mes, el director llamó a Inês, la DPO externa de la clínica: «Vamos a poner reconocimiento facial en la entrada. Encárguese usted de la evaluación de impacto y fírmela, que nos fiamos de usted».
Inês no la firmó. Le explicó que la evaluación corresponde a la clínica, le pasó un modelo y se comprometió a dar su opinión por escrito. Esta mañana, Sofia, la directora de administración, abre el modelo por primera vez. Tiene un presupuesto del proveedor del sistema, una reunión con la dirección dentro de tres semanas y ni idea de por dónde empezar.
Vamos a hacer la evaluación con ella, paso a paso.
La Clínica Sorriso, Sofia, Inês y el resto de personajes son ficticios. Las normas, las listas y las directrices citadas son reales.
## Qué es una EIPD
Una evaluación de impacto relativa a la protección de datos (EIPD) es un análisis por escrito, hecho antes de empezar un tratamiento, que responde a cuatro preguntas: qué vamos a hacer con los datos, si de verdad necesitamos hacerlo así, qué puede salir mal para las personas y qué hacemos para evitarlo (art. 35, apartado 7).
El RGPD sustituyó la antigua obligación de notificar todos los tratamientos a la autoridad por esta evaluación, centrada en los tratamientos de alto riesgo (considerandos 89 y 90). Por eso la EIPD no se envía a la AEPD (Agencia Española de Protección de Datos): se guarda en la organización por si la Agencia la pide, y solo le llega cuando el riesgo no se puede reducir, con la consulta previa que explicamos más adelante.
En la práctica, una EIPD bien hecha ahorra dinero. Cambiar un proyecto sobre el papel sale más barato que desconectar un sistema ya comprado porque la AEPD lo ha considerado ilícito.
## ¿Tiene que hacer una? Los tres filtros
Pase el tratamiento por los tres filtros, en este orden. Si alguno da positivo, haga la EIPD.
### Filtro 1: los tres supuestos del RGPD
La EIPD es obligatoria (art. 35, apartado 3), entre otros casos, cuando hay:
1. una evaluación sistemática y exhaustiva de aspectos personales, basada en un tratamiento automatizado (incluida la elaboración de perfiles), sobre la que se toman decisiones con efectos jurídicos para la persona o que le afectan significativamente de modo similar. Ejemplo: un sistema que deniega un crédito a partir de una puntuación automática;
2. un tratamiento a gran escala de categorías especiales de datos (salud, biometría, origen étnico, entre otros) o de datos sobre condenas e infracciones penales;
3. una observación sistemática a gran escala de una zona de acceso público, como la videovigilancia de un centro comercial.
No se considera «a gran escala» el tratamiento de los datos de pacientes o clientes que hace un médico, otro profesional sanitario o un abogado a título individual. En esos casos, la EIPD no debería ser obligatoria (considerando 91).
### Filtro 2: la lista de la AEPD
La AEPD ha publicado la [lista de tipos de tratamientos que requieren una EIPD](https://www.aepd.es/documento/listas-dpia-es-35-4.pdf) en España (art. 35, apartado 4). La presentó en mayo de 2019, tras el dictamen favorable del Comité Europeo de Protección de Datos (CEPD). En vez de tratamientos concretos, recoge once criterios, con una regla: si el tratamiento cumple dos o más, en la mayoría de los casos necesitará una EIPD, salvo que figure en la lista de tratamientos exentos que verá más abajo. Cuantos más criterios cumpla, mayor es el riesgo.
Estos son los criterios, contados en lenguaje sencillo:
1. Elaborar perfiles o valorar a las personas, con datos de distintos ámbitos de su vida (trabajo, personalidad, comportamiento) o de sus hábitos. Ejemplo: puntuar a los clientes de un gimnasio según lo que compran y cuándo vienen.
2. Tomar decisiones automatizadas, o contribuir de forma importante a ellas, incluidas las que impiden ejercer un derecho o acceder a un bien, un servicio o un contrato. Ejemplo: un formulario web que rechaza solicitudes de alquiler sin que nadie las revise.
3. Observar, monitorizar, geolocalizar o controlar a las personas de forma sistemática y exhaustiva, también a través de redes, aplicaciones o zonas de acceso público. Ejemplo: el GPS de las furgonetas de reparto usado para controlar las rutas de cada conductor.
4. Usar categorías especiales de datos (art. 9, apartado 1), datos penales (art. 10), datos sobre la situación financiera o la solvencia, o datos de los que se pueda deducir una categoría especial. Ejemplo: un historial de tratamientos dentales.
5. Usar datos biométricos para identificar a una persona de forma única. Ejemplo: la huella dactilar para fichar.
6. Usar datos genéticos, para cualquier fin. Ejemplo: un laboratorio que ofrece test de ancestros.
7. Tratar datos a gran escala. Ejemplo: la base de clientes de una cadena de supermercados.
8. Asociar, combinar o enlazar registros de tratamientos con fines distintos o de responsables distintos. Ejemplo: cruzar la base de socios de un club con una lista de compradores obtenida de otra empresa.
9. Tratar datos de personas vulnerables o en riesgo de exclusión social, como menores de 14 años, personas mayores con algún grado de discapacidad, personas con discapacidad, usuarios de servicios sociales y víctimas de violencia de género, con sus descendientes y las personas bajo su guarda y custodia. Ejemplo: el expediente de los usuarios de un centro de día.
10. Usar tecnologías nuevas o dar un uso innovador a tecnologías consolidadas, a una nueva escala, con un nuevo objetivo o combinadas con otras. Ejemplo: reconocimiento facial para controlar entradas.
11. Impedir a las personas ejercer sus derechos, usar un servicio o celebrar un contrato, por ejemplo cuando se tratan datos obtenidos de otro responsable sin poder informarles. Ejemplo: una lista comprada que se usa para decidir a quién se ofrece un seguro.
Los ejemplos son nuestros. El texto exacto de cada criterio está en el documento de la AEPD (enlace en las fuentes). La AEPD advierte de que la lista es orientativa y «debe entenderse como una lista no exhaustiva»: puede haber otros tratamientos de alto riesgo que no encajen en ella.
En España hay que sumar la LOPDGDD (Ley Orgánica 3/2018): al valorar el riesgo, el responsable debe tener en cuenta una serie de supuestos de mayor riesgo, como el tratamiento no meramente incidental de categorías especiales de datos, la evaluación de aspectos personales, los datos de grupos especialmente vulnerables o el tratamiento masivo de datos de un gran número de personas (LOPDGDD, art. 28.2).
La AEPD también ha publicado la **lista inversa**, la [lista orientativa de tratamientos que no requieren EIPD](https://www.aepd.es/documento/listasdpia-35.5l.pdf) (art. 35, apartado 5), de septiembre de 2019. En ella están, por ejemplo, los tratamientos de profesionales que trabajan por su cuenta de forma individual (médicos, profesionales sanitarios, abogados), la gestión interna de personal que la ley exige a las pymes (contabilidad, nóminas, Seguridad Social, prevención de riesgos laborales), los de las comunidades de propietarios y los de colegios profesionales y entidades sin ánimo de lucro con los datos de sus propios miembros y donantes, sin categorías especiales. Cada supuesto tiene sus condiciones, así que léalas en el documento antes de apoyarse en él. Y estar en esa lista no exime del resto de obligaciones del RGPD.
### Filtro 3: los nueve criterios europeos
Si el tratamiento no ha dado positivo en los filtros 1 y 2, use los nueve criterios de las directrices europeas sobre la EIPD (WP248), que el CEPD hizo suyas y en las que se basa la lista de la AEPD:
1. evaluar o puntuar a las personas, incluida la elaboración de perfiles y la predicción;
2. decisiones automatizadas con efectos jurídicos o igual de significativos;
3. observación sistemática de las personas;
4. datos sensibles o de carácter muy personal;
5. datos tratados a gran escala;
6. asociar o combinar conjuntos de datos recogidos con fines distintos;
7. datos de personas vulnerables, como niños, empleados, pacientes o personas mayores;
8. soluciones tecnológicas u organizativas innovadoras, como «combinar el uso de huella dactilar y reconocimiento facial para mejorar el control físico de acceso»;
9. tratamientos que impiden a la persona ejercer un derecho, usar un servicio o ejecutar un contrato.
La regla práctica de las directrices: «En la mayoría de los casos, un responsable del tratamiento puede considerar que un tratamiento que cumpla dos criterios requerirá la realización de una EIPD». Un solo criterio también puede bastar si el riesgo salta a la vista.
Los trabajadores cuentan como personas vulnerables por el desequilibrio de poder con la empresa. Por eso casi cualquier proyecto que vigile o mida a la plantilla reúne de entrada dos criterios.
### Algunos casos, pasados por los filtros
- **Reconocimiento facial en la entrada del personal de la Clínica Sorriso.** Sí. Lista de la AEPD, criterios 5 y 10. Criterios europeos 4, 7 y 8.
- **Software que registra la actividad de los trabajadores en el ordenador y en internet.** Probablemente sí. Criterios europeos 3 y 7.
- **Criba automática de candidaturas que descarta candidatos sin revisión humana.** Sí. Art. 35, apartado 3, letra a). Criterios europeos 1, 2 y 7.
- **Pulseras que envían las constantes vitales de los residentes de una residencia de mayores al equipo.** Sí. Lista de la AEPD, criterios 3 y 4. Criterios europeos 4 y 7.
- **Fichero de pacientes de una consulta con un solo médico.** No es obligatoria (considerando 91; lista de exentos de la AEPD). Cumple los criterios europeos 4 y 7, pero no es a gran escala.
- **Boletín mensual para clientes que lo han pedido.** No. Ningún criterio.
Son ejemplos ilustrativos: la decisión depende de las circunstancias concretas de cada tratamiento.
### Si concluye que no la necesita, escriba por qué
Cuando un tratamiento cumple algún criterio y usted concluye que no hay alto riesgo, deje por escrito la justificación y la opinión del DPO, como piden las directrices europeas. En el registro de actividades de tratamiento, una columna «¿Necesita evaluación de impacto?» con «No, porque…» y la fecha es un buen sitio para hacerlo.
## Quién hace qué
- **Responsable del tratamiento.** Se asegura de que la EIPD se haga y decide. Puede encargarla a otra persona, de dentro o de fuera de la organización, pero sigue respondiendo de ella (art. 35, apartado 2).
- **DPO, si lo hay.** Opina sobre si la EIPD es necesaria, qué método usar y si las conclusiones cumplen el RGPD. Su opinión y las decisiones tomadas quedan por escrito en la EIPD (art. 35, apartado 2; art. 39, apartado 1, letra c).
- **Encargado del tratamiento (el proveedor del sistema).** Facilita la información que el responsable necesita para hacer la evaluación (art. 28, apartado 3, letra f).
- **Personas afectadas o sus representantes.** Cuando proceda, dan su opinión sobre el tratamiento previsto (art. 35, apartado 9).
- **Equipos internos (informática, seguridad, quienes van a usar el sistema).** Explican cómo funciona el sistema y qué riesgos ven en el día a día.
El director de la Clínica Sorriso quería que Inês la hiciera y la firmara. Las directrices europeas dicen que la EIPD es del responsable del tratamiento y que la opinión del DPO solo sirve si es independiente. Así que Sofia la hace, Inês opina y la dirección decide.
## El método en seis pasos
Para un tratamiento como el de la Clínica Sorriso, calcule una semana de trabajo repartida en dos o tres semanas de calendario, porque habrá que esperar las respuestas del proveedor. Para un tratamiento sencillo bastan dos o tres días.
### 1. Describa el tratamiento como si se lo explicara a alguien que nunca lo ha visto
Escriba la finalidad en una frase, qué datos se recogen, de quién son, de dónde vienen, dónde se guardan, quién accede a ellos, durante cuánto tiempo y qué proveedores intervienen. Si la base jurídica es el interés legítimo, indique cuál es (art. 35, apartado 7, letra a). Un dibujo sencillo del recorrido de los datos, de la cámara al servidor, ayuda más que una página de texto.
Sofia pide al proveedor tres respuestas por escrito: ¿el sistema guarda fotografías o solo un modelo matemático del rostro? ¿Dónde se guarda ese modelo? ¿Quién tiene acceso al registro de entradas? Descubre que, en la versión presupuestada, los modelos de los 22 rostros se guardan en un servidor del proveedor, fuera de la clínica.
### 2. Pregúntese si de verdad hace falta hacerlo así
Explique qué problema resuelve el tratamiento y por qué no hay una forma menos intrusiva de resolverlo (art. 35, apartado 7, letra b). Compruebe también la base jurídica, que los datos sean solo los necesarios, el plazo de conservación y cómo va a informar a las personas.
El problema de la clínica son las tarjetas de acceso que se prestan entre compañeros o se pierden. Una tarjeta con código personal lo resolvería casi todo. Además, en España pesa el criterio de la AEPD. Según su [guía sobre control de presencia mediante sistemas biométricos](https://www.aepd.es/documento/guia-control-presencia-biometrico-nov-2023.pdf) (noviembre de 2023), para usar la biometría de los trabajadores en el control de presencia o de acceso hace falta una norma con rango de ley que lo autorice de forma específica (art. 9, apartado 2, letra b), y la AEPD no encuentra hoy en el derecho español una autorización suficientemente específica. El consentimiento de la plantilla tampoco sirve, por el desequilibrio entre empresa y trabajador. Además, si una tarjeta, una clave o un sistema sin contacto bastan, el tratamiento biométrico deja de ser necesario. Sofia lo anota: aunque la seguridad estuviera resuelta, al reconocimiento facial le faltaría base jurídica.
### 3. Evalúe los riesgos desde el punto de vista de las personas
El riesgo que cuenta aquí es el de las personas cuyos datos se tratan, no el de la empresa (art. 35, apartado 7, letra c). Para cada riesgo, piense qué puede pasar, con qué probabilidad y con qué gravedad. Tres preguntas ayudan a no dejarse nada: ¿y si alguien sin autorización accede a los datos? ¿Y si los datos se alteran o quedan mal? ¿Y si desaparecen o dejan de estar disponibles?
La lista de Sofia:
- una fuga de los modelos faciales es grave, porque una cara no se cambia como una contraseña;
- el sistema podría acabar usándose para vigilar horarios y pausas sin que nadie lo haya decidido;
- el sistema puede no reconocer a alguien y dejarlo en la puerta;
- un trabajador que no quiera pasar la cara por el sistema puede sentir que no tiene elección.
### 4. Decida las medidas que reducen cada riesgo
Para cada riesgo, anote la medida, quién la aplica y para cuándo (art. 35, apartado 7, letra d). Las medidas más eficaces suelen cambiar el diseño del tratamiento, más que añadir seguridad por encima.
Las medidas que Sofia propone, por si la dirección sigue adelante:
- el modelo facial se guarda en la tarjeta de cada trabajador y solo se compara en el lector de la puerta, sin base de datos central y sin fotografías (la propia AEPD recomienda evitar el almacenamiento centralizado de las plantillas biométricas);
- el contrato de encargo con el proveedor (art. 28) establece que el registro de entradas solo sirve para controlar el acceso;
- la puerta también se abre con tarjeta y código, para quien el sistema no reconozca o no quiera usar la cara;
- los trabajadores reciben la información del art. 13 antes de que el sistema empiece a funcionar, y la clínica recoge su opinión en una reunión (art. 35, apartado 9).
### 5. Cierre la EIPD con una decisión firmada
Después de las medidas, valore el riesgo que queda. Adjunte la opinión del DPO y, si la dirección no la sigue, el motivo. La decisión final la toma quien dirige la organización, y queda por escrito con nombre y fecha.
Si el riesgo que queda sigue siendo alto, no empiece el tratamiento: consulte antes a la AEPD.
En la Clínica Sorriso, Inês deja por escrito su opinión: con el modelo en la tarjeta y la alternativa de tarjeta y código, el riesgo para la plantilla baja mucho, pero el reconocimiento facial sigue sin base jurídica según el criterio de la AEPD, y la tarjeta con código resuelve el problema por sí sola. La dirección aprueba la versión con tarjeta y código personal y aparca el reconocimiento facial. Si la conclusión hubiera sido que el riesgo seguía siendo alto, la clínica tendría que haber consultado a la AEPD antes de encender el sistema.
### 6. Fije la próxima revisión
La EIPD acompaña al tratamiento mientras exista. Revísela, como mínimo, cuando cambien los riesgos: un proveedor nuevo, más datos, una finalidad nueva, un incidente (art. 35, apartado 11). Las directrices europeas piden que la EIPD sea «continuamente revisada y reevaluada con regularidad», sin fijar un plazo. Una revisión al año y otra con cada cambio relevante es una rutina razonable.
## Qué tiene que incluir la EIPD
Use esta lista para comprobar que su EIPD está completa. Los cuatro primeros puntos son el mínimo legal; los demás vienen de las directrices europeas.
- **Descripción.** Finalidad, datos, personas afectadas, destinatarios, plazos de conservación, sistemas y proveedores (art. 35, apartado 7, letra a).
- **Necesidad y proporcionalidad.** Base jurídica, datos mínimos, plazos, información a las personas y cómo ejercen sus derechos (art. 35, apartado 7, letra b).
- **Riesgos.** Cada riesgo con su origen, su probabilidad y su gravedad para las personas (art. 35, apartado 7, letra c).
- **Medidas.** Medidas, garantías y procedimientos, con responsable y plazo (art. 35, apartado 7, letra d).
- **Opinión del DPO.** Por escrito, con fecha, y lo que decidió la dirección al respecto.
- **Opinión de las personas afectadas.** Cómo se recabó o por qué no procedía.
- **Decisión.** Riesgo residual, aprobación con nombre y fecha y consulta a la AEPD si procede.
- **Revisión.** Fecha de la próxima revisión y qué la adelantaría.
Una sola EIPD puede cubrir varios tratamientos similares con riesgos altos similares (art. 35, apartado 1). Una red de clínicas con el mismo sistema en todas sus entradas puede hacer una única evaluación.
## Seis errores que dejan la EIPD en papel mojado
- **Hacerla después de comprar el sistema.** A esas alturas nadie quiere oír que el proyecto debería cambiar. La ley pide la EIPD antes del tratamiento.
- **Evaluar el riesgo para la empresa.** La EIPD no mide multas ni daños a la reputación: mide lo que les puede pasar a las personas.
- **Saltarse la necesidad.** Muchas EIPD describen el sistema y pasan directamente a la seguridad, sin preguntarse si había una forma menos intrusiva de llegar al mismo resultado.
- **Copiar la documentación del proveedor.** El proveedor conoce su producto. Su empresa, su plantilla y sus clientes los conoce usted.
- **Poner al DPO a hacerla y firmarla.** El DPO opina. Si hace la evaluación, ya no puede supervisarla con independencia.
- **Archivarla y olvidarse.** Una EIPD de 2021 sobre un sistema que desde entonces ha cambiado de proveedor y de finalidad ya no describe nada.
## Cuando el riesgo no baja: la consulta previa a la AEPD
Si la EIPD muestra que el tratamiento entrañaría un alto riesgo si el responsable no tomara medidas, y las medidas no bastan para reducirlo, tiene que consultar a la AEPD **antes** de empezar el tratamiento (art. 36, apartado 1; considerando 94).
La consulta la firma el responsable del tratamiento y se presenta por la sede electrónica de la AEPD, en el canal de consulta previa. Los requisitos están en la [Instrucción 1/2021 de la AEPD](https://www.boe.es/eli/es/ins/2021/11/02/1/con) (BOE de 5 de noviembre de 2021, apartado quinto): la solicitud incluye la información del art. 36, apartado 3, y la EIPD completa, con las medidas previstas, hecha según la guía de la AEPD sobre gestión del riesgo y evaluación de impacto. Si está obligado a tener DPO, debe haberlo designado y comunicado a la AEPD antes de enviar la consulta.
La página de [consulta previa de la AEPD](https://www.aepd.es/derechos-y-deberes/cumple-tus-deberes/medidas-de-cumplimiento/consulta-previa) recuerda que la consulta no sirve para pedir asesoramiento general ni para que la AEPD apruebe el tratamiento. Ni la Instrucción ni esa página mencionan ninguna tasa.
Si la AEPD considera que el tratamiento infringiría el RGPD, le dará asesoramiento por escrito en un plazo de ocho semanas como máximo desde que recibe la solicitud. En tratamientos complejos, el plazo puede prorrogarse seis semanas más, y la AEPD le informará de la prórroga en el plazo de un mes. Los plazos se suspenden mientras la AEPD espera información que haya pedido (art. 36, apartado 2).
Con la prórroga, la respuesta puede tardar hasta 14 semanas, sin contar las suspensiones. Planifique la puesta en marcha con ese margen y no empiece el tratamiento mientras espera.
## Modelos y herramientas gratuitos
No hace falta inventarse un formulario. Estos son los modelos de fuentes oficiales:
- **[CEPD, modelo de EIPD](https://www.edpb.europa.eu/public-consultations/template-for-data-protection-impact-assessment_en)** (Word, con nota explicativa). Pensado como base común para las autoridades europeas. El CEPD dice que las autoridades lo adoptarán como modelo único o como «metamodelo» para los nacionales. Solo está publicado en inglés. Es la versión 1, de abril de 2026; la consulta pública se cerró el 9 de junio y la versión final aún no se ha publicado. No es obligatorio.
- **AEPD, guía y modelo.** La guía [Gestión del riesgo y evaluación de impacto en tratamientos de datos personales](https://www.aepd.es/guias/gestion-riesgo-y-evaluacion-impacto-en-tratamientos-datos-personales.pdf) (junio de 2021), el [modelo de informe de EIPD para el sector privado](https://www.aepd.es/documento/modelo-informe-eipd-sector-privado.rtf) y la [lista de verificación de la EIPD y de la consulta previa](https://www.aepd.es/documento/lista-verificacion-eipd-consulta-previa.docx). Es el método que la AEPD espera ver si algún día le presenta una consulta previa.
- **[CNIL, software PIA](https://www.cnil.fr/fr/outil-pia-telechargez-et-installez-le-logiciel-de-la-cnil)**. Programa de código abierto que guía la EIPD paso a paso, disponible en español. Sigue el método de la CNIL (la autoridad francesa de protección de datos).
- **CNIL, guías PIA:** [método](https://www.cnil.fr/sites/default/files/atoms/files/cnil-pia-1-fr-methode.pdf), [modelos](https://www.cnil.fr/sites/default/files/atoms/files/cnil-pia-2-fr-modeles.pdf) y [bases de conocimiento](https://www.cnil.fr/sites/default/files/atoms/files/cnil-pia-3-fr-basesdeconnaissances.pdf). Ejemplos de riesgos y de medidas para inspirar el análisis. En francés.
- **[Directrices WP248](https://www.aepd.es/documento/wp248rev01-es.pdf)** (versión en español en la web de la AEPD). Los nueve criterios y la lista de lo que debe tener una EIPD aceptable (anexo 2). No son un modelo para rellenar.
Si es DPO y lleva varios clientes, elija un modelo y úselo con todos. El del CEPD es el candidato natural, porque es el que las autoridades europeas van a usar como base.
Todavía no tenemos un kit de Pulsaiq para la EIPD. De momento, el kit de registro de actividades de tratamiento tiene la columna «¿Necesita evaluación de impacto?», que es el punto de partida para saber qué tratamientos evaluar primero.
## Las listas podrían pasar a ser europeas. Todavía no es ley.
El Digital Omnibus, propuesto por la Comisión Europea en noviembre de 2025 (COM(2025) 837), prevé listas comunes en la UE de tratamientos que requieren, y que no requieren, evaluación de impacto. En el mandato de negociación aprobado el 21 de octubre de 2026, el Consejo va más allá: una lista única en la UE sustituiría a las listas nacionales y pasaría a existir obligatoriamente una lista de tratamientos exentos (considerando 40 del mandato, documento 14756/26). El Parlamento Europeo aún no ha adoptado su posición.
**Qué significa para usted hoy:** mientras no se publique un texto definitivo en el Diario Oficial, valen las listas de la AEPD y los criterios europeos de esta guía. Lo que más cambia con el Omnibus está en el artículo sobre el Digital Omnibus.
**¿Y la inteligencia artificial?** Si va a usar un sistema de IA de alto riesgo, el AI Act le obliga a usar la información que le da el proveedor para hacer la EIPD (Reglamento (UE) 2024/1689, art. 26, apartado 9). Algunos usuarios, como los organismos públicos y quienes usan IA para evaluar la solvencia, tienen además que hacer una evaluación de impacto sobre los derechos fundamentales (art. 27). Estas normas se aplican a partir del 2 de diciembre de 2027 en los ámbitos del anexo III. El artículo sobre el AI Act explica el resto.
## Checklist: ¿está lista su EIPD?
- Ha pasado el tratamiento por los tres filtros y ha anotado el resultado, también cuando la respuesta fue no.
- La EIPD se hizo antes de que empezara el tratamiento.
- La descripción dice qué datos, de quién, para qué, dónde se guardan, quién accede y durante cuánto tiempo.
- Ha explicado por qué no hay una forma menos intrusiva de llegar al mismo resultado.
- Los riesgos están escritos desde el punto de vista de las personas, con probabilidad y gravedad.
- Cada riesgo tiene una medida, un responsable y un plazo.
- El proveedor ha dado por escrito la información técnica que necesitaba.
- El DPO ha dado su opinión por escrito y consta qué decidió la dirección al respecto.
- Se ha recabado la opinión de las personas afectadas o de sus representantes, o consta por qué no procedía.
- La decisión final lleva nombre y fecha y dice si el riesgo residual es alto.
- Si el riesgo sigue siendo alto, la consulta previa a la AEPD se hizo antes de la puesta en marcha.
- Hay fecha para la próxima revisión.
## Preguntas frecuentes
### ¿Una pyme tiene que hacer evaluaciones de impacto?
Solo para los tratamientos de alto riesgo, y el tamaño de la empresa no cuenta. Una clínica de 22 personas que quiere usar reconocimiento facial necesita una EIPD; una multinacional que envía un boletín a quien lo ha pedido no la necesita para ese tratamiento.
### ¿Tengo que enviar la EIPD a la AEPD?
No. La EIPD se queda en la organización. Solo la envía cuando hace una consulta previa, porque el riesgo sigue siendo alto, o cuando la AEPD se la pide.
### ¿Puede el DPO hacer la EIPD?
No debería. La EIPD corresponde al responsable del tratamiento y el DPO da su opinión sobre ella (art. 35, apartado 2, y art. 39, apartado 1, letra c). Puede facilitar el modelo y acompañar el trabajo, pero la decisión es de la organización y así tiene que constar.
### ¿Cada cuánto tengo que revisar la EIPD?
La ley no fija un plazo. Obliga a revisarla al menos cuando cambian los riesgos (art. 35, apartado 11), y las directrices europeas piden reevaluarla con regularidad. Una revisión anual y otra con cada cambio relevante cubren las dos cosas.
### ¿Una EIPD puede servir para varios tratamientos?
Sí, si son similares y tienen riesgos altos similares (art. 35, apartado 1). Es útil para quien usa el mismo sistema en varias tiendas, clínicas u oficinas.
### ¿Tengo que publicar la EIPD?
No es obligatorio. Las directrices europeas sugieren publicar al menos un resumen o las conclusiones, porque así las personas ven que el riesgo se ha pensado.
### ¿Puedo usar ya el modelo del CEPD?
Sí. El CEPD anima a las organizaciones a usarlo y dice que no es obligatorio. Está en la versión 1, de abril de 2026, y la versión final puede traer cambios.
## Fuentes
### Legislación
- [Reglamento (UE) 2016/679 (RGPD)](https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32016R0679), artículos 9, 13, 28, 35, 36 y 39 y considerandos 89, 90, 91 y 94 (EUR-Lex)
- [Ley Orgánica 3/2018 (LOPDGDD)](https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673), art. 28 (BOE)
- [Reglamento (UE) 2024/1689 (AI Act)](https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32024R1689), artículos 26 y 27 (EUR-Lex)
- [Instrucción 1/2021, de 2 de noviembre, de la AEPD, sobre la función consultiva de la Agencia](https://www.boe.es/eli/es/ins/2021/11/02/1/con), BOE núm. 265, de 5 de noviembre de 2021
### Autoridades de control
- [AEPD, lista de tipos de tratamientos que requieren EIPD (art. 35.4)](https://www.aepd.es/documento/listas-dpia-es-35-4.pdf), presentada en mayo de 2019
- [AEPD, lista orientativa de tratamientos que no requieren EIPD (art. 35.5)](https://www.aepd.es/documento/listasdpia-35.5l.pdf), presentada en septiembre de 2019
- [AEPD, Realización de evaluaciones de impacto de protección de datos](https://www.aepd.es/derechos-y-deberes/cumple-tus-deberes/medidas-de-cumplimiento/evaluaciones-de-impacto)
- [AEPD, Consulta previa](https://www.aepd.es/derechos-y-deberes/cumple-tus-deberes/medidas-de-cumplimiento/consulta-previa)
- [AEPD, Guía sobre tratamientos de control de presencia mediante sistemas biométricos](https://www.aepd.es/documento/guia-control-presencia-biometrico-nov-2023.pdf), noviembre de 2023
- [AEPD, Gestión del riesgo y evaluación de impacto en tratamientos de datos personales](https://www.aepd.es/guias/gestion-riesgo-y-evaluacion-impacto-en-tratamientos-datos-personales.pdf), junio de 2021
- [AEPD, modelo de informe de EIPD para el sector privado](https://www.aepd.es/documento/modelo-informe-eipd-sector-privado.rtf)
- [AEPD, lista de verificación de la EIPD y de la consulta previa](https://www.aepd.es/documento/lista-verificacion-eipd-consulta-previa.docx)
- [Grupo de Trabajo del Artículo 29, Directrices sobre la evaluación de impacto relativa a la protección de datos (WP248 rev.01)](https://www.aepd.es/documento/wp248rev01-es.pdf), versión en español, revisadas el 4 de octubre de 2017 y adoptadas por el CEPD
- [CEPD, noticia sobre el modelo de EIPD](https://www.edpb.europa.eu/news/enhancing-compliance-and-consistency-edpb-adopts-dpia-template_en), 14 de abril de 2026 (en inglés)
- [CEPD, consulta pública sobre el modelo de EIPD](https://www.edpb.europa.eu/public-consultations/template-for-data-protection-impact-assessment_en), con el modelo y la nota explicativa (en inglés)
- [CNIL, software PIA](https://www.cnil.fr/fr/outil-pia-telechargez-et-installez-le-logiciel-de-la-cnil) (en francés)
- [CNIL, Ce qu'il faut savoir sur l'AIPD](https://www.cnil.fr/fr/ce-quil-faut-savoir-sur-lanalyse-dimpact-relative-la-protection-des-donnees-aipd) (en francés)
### Cambios en curso
- [Comisión Europea, propuesta COM(2025) 837](https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:52025PC0837), Digital Omnibus
- [Consejo de la UE, mandato de negociación, documento 14756/26](https://data.consilium.europa.eu/doc/document/ST-14756-2026-INIT/en/pdf), 22 de octubre de 2026 (en inglés)
- [Dictamen conjunto CEPD-SEPD 2/2026 sobre el Digital Omnibus](https://www.edpb.europa.eu/system/files/documents/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdf) (en inglés)
**Última revisión:** 4 de noviembre de 2026. Revisamos esta guía siempre que cambian la ley o las directrices de las autoridades.
Esta guía es información general sobre el RGPD y no constituye asesoramiento jurídico. Para decisiones sobre un caso concreto, consulte a un profesional cualificado. Los personajes y las empresas de los ejemplos son ficticios.