¿Qué es una DPIA (evaluación del impacto de la protección de datos)?

El RGPD establece, en el Artículo 35, que una DPIA debe contener al menos cuatro elementos:

1. Una descripción clara de las actividades de procesamiento de datos planificadas y los fines del procesamiento.
    

2. Una evaluación de la necesidad y la proporcionalidad (es decir, ¿el alcance del procesamiento de datos es proporcional a los objetivos de la organización?).
    

3. Un análisis de los riesgos para la protección de datos de las personas afectadas (denominadas “interesados” en el reglamento).
    

4. Medidas documentadas para reducir esos riesgos.

Aunque el RGPD es relativamente nuevo, las empresas llevan décadas realizando evaluaciones de impacto y evaluaciones de riesgos de diversa índole, a menudo para cumplir con los requisitos legales.

La legislación estadounidense ha exigido evaluaciones de impacto ambiental desde la década de 1970; las leyes de privacidad de la década de 1990 extendieron la idea a la noción de evaluaciones de impacto de la privacidad (PIA). Las leyes de protección de datos ahora amplían la idea de que las empresas deben anticipar y mitigar los posibles daños a los ámbitos de los datos y la privacidad de datos.

La UE se toma en serio el RGPD y su requisito de DPIA relacionado, imponiendo multas a las organizaciones que no implementen las DPIA o exhiban incumplimientos.

En 2019, por ejemplo, una escuela secundaria en el norte de Suecia se enfrentó a una multa, la primera en Suecia, cuando implementó un piloto para pasar lista mediante el uso de tecnología biométrica de reconocimiento facial. Lo hizo sin realizar una DPIA. Finalmente, la escuela fue multada con 19 000 euros, aunque algunos observadores señalaron que la multa máxima podría ascender a casi un millón de euros.¹ (Las sanciones previstas en el RGPD alcanzan hasta 20 millones de euros o el 4 % de los ingresos globales anuales de una empresa, lo que sea mayor).

Un sitio web rastrea las multas del RGPD. Hasta abril de 2026, se habían contabilizado más de 3000 multas. Muchas de estas multas citan específicamente el Artículo 35 del RGPD (que se refiere a las DPIA) como contribuyente a la multa. En un ejemplo de diciembre de 2025, una empresa francesa fue multada con 3.5 millones de euros, y se citó una infracción del Artículo 35. La mayor multa del RGPD de la historia fue emitida a Meta por la Comisión de Protección de Datos de Irlanda en 2023 por 1.2 mil millones de euros, aunque ese caso se centró en transferencias de datos, no en evaluaciones de impacto. 

GDPR.eu ofrece orientación sobre cómo realizar correctamente una DPIA, con una plantilla completa. Sin embargo, cabe señalar que realizar una DPIA suele ser solo el comienzo de un proceso exhaustivo de gestión de riesgos. A veces se imponen multas cuando una DPIA identifica riesgos y vulnerabilidades potenciales, pero la falta de mitigaciones reales hace que la DPIA sea un mero ejercicio. 

En el peor de los casos, una DPIA puede servir como prueba documental que demuestre que una empresa conocía los riesgos y no los abordó de manera adecuada. En France Travail, la agencia nacional de empleo, las medidas de seguridad que se detallan en las DPIA nunca se implementaron, lo que llevó a una importante filtración de datos. En enero de 2026, los organismos reguladores multaron a France Travail con 5 millones de euros.²

Según el RGPD, tres situaciones siempre activan una DPIA. 

Primero: cuando la toma de decisiones automatizada afecta significativamente a las personas. Un ejemplo sería el algoritmo de un banco que rechaza automáticamente una aplicación basada en perfiles, donde se analiza la base legal de la decisión.  

Segundo: procesamiento a gran escala de datos sensibles, que incluye datos biométricos, opiniones políticas y otro tipo de datos que revelan detalles íntimos de la vida de una persona. 

Tercero: monitoreo sistemático de áreas públicas a gran escala (como grandes redes de cámaras en estaciones de tren o centros comerciales). 

Más allá de estos desencadenantes automáticos, la guía de la UE establece nueve criterios para identificar actividades de procesamiento de datos de alto riesgo que podrían requerir DPIA. Estos criterios incluyen la evaluación o puntuación de personas, el uso innovador de las nuevas tecnologías, el procesamiento de datos sobre personas vulnerables (como menores de edad) y la combinación de conjuntos de datos de diferentes fuentes. 

Muchas empresas siguen una pauta básica: si las operaciones de procesamiento cumplen dos o más de estos criterios, sería prudente realizar una DPIA. 

El proceso de DPIA comienza determinando si se justifica una evaluación completa, generalmente durante las primeras etapas de la planificación del proyecto. 

Cuando se requiere una evaluación, las organizaciones suelen mapear sus actividades de procesamiento de datos relevantes en detalle. Estos mapas capturan cómo se recopilan los datos personales, de quién, los propósitos del procesamiento y cuánto tiempo se retienen los datos. 

A continuación se realiza un análisis de riesgos, con cada daño potencial derivado de los datos (pérdida financiera, discriminación, daño a la reputación o incluso peligro físico) evaluado en cuanto a probabilidad y gravedad. 

Para cada riesgo identificado, la organización documenta una mitigación. Las mitigaciones pueden incluir protecciones técnicas como cifrado o controles de acceso y pasos organizativos como capacitación del personal u opciones generales de diseño del proyecto. El RGPD ordena a las empresas adoptar el principio de protección de datos por diseño. En otras palabras: la protección de datos debe integrarse en todo lo que hace una empresa en lugar de agregarse como una ocurrencia tardía.   

Después de la mitigación, queda lo que los organismos reguladores llaman “riesgo residual”, el riesgo que persiste incluso después de medidas razonables. Si el riesgo residual sigue siendo alto, la organización debe informar a su autoridad nacional de supervisión. 

Según el RGPD, algunas organizaciones deben nombrar un responsable de protección de datos (DPO), es decir, un responsable corporativo independiente encargado del cumplimiento del RGPD. Cuando existen DPO, a menudo impulsan el proceso de DPIA, o al menos son consultados en todo momento. 

Los stakeholders afectados por el procesamiento generalmente opinan cuando es factible. Algunos organismos reguladores tienen herramientas que ayudan a agilizar el proceso de DPIA. En el caso de la Oficina del Comisionado de Información (ICO) del Reino Unido, por ejemplo, existe una plantilla de DPIA gratuita y descargable organizada en torno a siete pasos. (Aunque el Reino Unido ya no es un estado miembro de la UE, el Reino Unido tiene una legislación muy similar al RGPD de la UE, llamado RGPD del Reino Unido). El equivalente francés (CNIL, para “Commission nationale de l'informatique et des libertés”) lanzó software de código abierto. La autoridad española ha publicado en su sitio distintas plantillas para agencias públicas y empresas privadas, así como una extensa guía de gestión de riesgos. 

En términos generales, estas herramientas y guías subrayan que un proceso eficaz de DPIA comienza temprano y aborda la privacidad y los riesgos de privacidad de las personas desde el principio.