¿Qué es la DPIA (evaluación del impacto de la protección de datos)?

El RGPD detalla, en su artículo 35, que una DPIA debe contener al menos cuatro cosas:

1. Una descripción clara de las actividades de proceso de datos previstas y de los fines del proceso de datos.
    

2. Una evaluación de la necesidad y la proporcionalidad (es decir, ¿el alcance del proceso de datos es proporcional a los objetivos de la Organización?).
    

3. Un análisis de los riesgos para la protección de datos de las personas afectadas (denominadas “interesados” en el reglamento).
    

4. Medidas documentadas para reducir esos riesgos.

Aunque el RGPD es relativamente nuevo, las empresas llevan décadas realizando evaluaciones de impacto y de riesgo de varios tipos, a menudo para cumplir con los requisitos legales.

La ley estadounidense exige evaluaciones de impacto ambiental desde los años 70; Las leyes de privacidad de los años 90 ampliaron la idea a la noción de evaluaciones de impacto en la privacidad (PIA). Las leyes de protección de datos amplían ahora la idea de que las empresas deben anticipar y mitigar los posibles daños en el ámbito de los datos y la privacidad de los datos.

La UE se toma muy en serio el RGPD y su correspondiente requisito de DPIA, e impone multas a las organizaciones que no implementen las DPIA o que de otro modo muestren un incumplimiento.

En 2019, por ejemplo, una escuela secundaria en el norte de Suecia se enfrentó a una multa, la primera de Suecia, cuando implementó un piloto para pasar lista mediante el uso de tecnología biométrica de reconocimiento facial. Lo hizo sin realizar una DPIA. Finalmente, la escuela fue multada con 19 000 euros, aunque algunos observadores señalaron que la multa máxima podría haber ascendido a casi un millón de euros.¹ (Las sanciones previstas en el RGPD alcanzan hasta 20 millones de euros o el 4 % de los ingresos globales anuales de una empresa, lo que sea mayor).

Un sitio web hace un seguimiento de las multas por el RGPD. En abril de 2026, se habían contabilizado más de 3000 multas. Muchas de estas multas citan específicamente el artículo 35 del RGPD (que se refiere a la EIPD) como contribuyente a la multa. En un ejemplo de diciembre de 2025, una empresa francesa fue multada con 3,5 millones de euros, y se citó una infracción del artículo 35. La mayor multa del RGPD de la historia fue impuesta a Meta por la Comisión de Protección de Datos de Irlanda en 2023 por 1.200 millones de euros, aunque ese caso se centró en transferencias de datos, no en evaluaciones de impacto. 

RGPD.eu ofrece orientación sobre cómo realizar correctamente un DPIA, con una plantilla completa. Sin embargo, cabe señalar que llevar a cabo una DPIA suele ser solo el principio de un proceso exhaustivo de gestión de riesgos. A veces se producen multas cuando un DPIA identifica riesgos y vulnerabilidades potenciales, pero la falta de mitigaciones reales convierte al DPIA en un mero ejercicio. 

En los peores casos, un DPIA puede servir como un registro documental que demuestra que la empresa conocía los riesgos y no les dio dirección adecuada. En France Travail, la agencia nacional de empleo, nunca se implementaron medidas de seguridad establecidas en los DPIA, lo que provocó una vulneración de datos. En enero de 2026, los reguladores impusieron a France Travail una multa de 5 millones de euros.²

Según el RGPD, tres situaciones siempre activan una DPIA. 

Primero: cuando la toma de decisiones automatizada afecta significativamente a las personas. Un ejemplo sería el algoritmo de un banco que rechaza automáticamente una aplicación basándose en un perfilado, donde la base legal de la decisión queda bajo escrutinio.  

Segundo: procesamiento a gran escala de datos sensibles, que incluye datos biométricos , opiniones políticas y otros tipos de datos que revelan detalles íntimos de la vida de una persona. 

Tercero: monitorización sistemática de áreas públicas a gran escala (como grandes redes de cámaras en estaciones de entrenar o centros comerciales). 

Más allá de estos activadores automáticos, la guía de la UE establece nueve criterios para identificar las actividades de proceso de datos de alto riesgo que pueden requerir DPIA. Estos criterios incluyen la evaluación o puntuación de las personas, el uso innovador de las nuevas tecnologías, el procesamiento de datos sobre personas vulnerables (como los niños) y la combinación de conjuntos de datos de diferentes fuentes. 

Muchas empresas siguen una pauta básica: si las operaciones de procesamiento cumplen dos o más de estos criterios, sería prudente realizar un DPIA. 

El proceso de DPIA comienza por determinar si se justifica una evaluación completa, normalmente durante las primeras fases de la planificación del proyecto. 

Cuando se requiere una evaluación, las organizaciones suelen mapear en detalle sus actividades relevantes de procesamiento de datos. Estos mapas capturan cómo se recopilan los datos personales, de quién, los fines del procesamiento y cuánto tiempo se conservan los datos. 

A continuación se realiza un análisis de riesgos, en el que se evalúa la probabilidad y la gravedad de cada daño potencial derivado de los datos (pérdidas financieras, discriminación, daños a la reputación o incluso peligro físico). 

Para cada riesgo identificado, la organización documenta una mitigación. Las mitigaciones pueden incluir medidas de seguridad técnicas, como el cifrado o los controles de acceso, y medidas organizativas, como la formación del personal o las opciones generales de diseño del proyecto. El RGPD ordena a las empresas adoptar el principio de protección de datos desde el diseño. En otras palabras: la protección de datos debe estar integrada en todo lo que hace una empresa, en lugar de añadirla como una idea tardía.   

Después de la mitigación, queda lo que los reguladores denominan "riesgo residual", el riesgo que persiste incluso después de medidas razonables. Si el riesgo residual sigue siendo alto, la organización debe informar a su autoridad nacional de supervisión. 

Según el RGPD, algunas organizaciones deben nombrar un responsable de protección de datos (DPO), es decir, un responsable corporativo independiente encargado del cumplimiento del RGPD. Cuando existen DPO, suelen impulsar el proceso de DPIA o, al menos, se les consulta en todo momento. 

Las partes interesadas afectadas por el procesamiento generalmente intervienen cuando es posible. Algunos reguladores disponen de herramientas que ayudan a agilizar el proceso de DPIA. En el caso de la Oficina del Comisionado de Información (ICO) del Reino Unido, por ejemplo, hay una plantilla de DPIA gratuita y descargable organizada en siete pasos. (Aunque el Reino Unido ya no es un estado miembro de la UE, el Reino Unido tiene una legislación muy similar al RGPD de la UE, llamado RGPD del Reino Unido). El equivalente francés (CNIL, que significa "Commission nationale de l'informatique et des libertés") ha publicado software de código abierto. La autoridad española ha publicado en su sitio web plantillas distintas para organismos públicos y empresas privadas, así como una extensa guía sobre gestión de riesgos. 

En términos generales, estas herramientas y guías subrayan que un proceso de DPIA eficaz comienza pronto y dirección la privacidad y los riesgos de privacidad de las personas desde el principio.