Objetivo de una EIPD
Una evaluación de impacto estudia anticipadamente cómo un tratamiento puede afectar derechos y libertades y qué medidas reducen esos riesgos. Debe realizarse antes de consolidar decisiones difíciles de revertir.
Indicadores de mayor riesgo
Datos sensibles, menores, monitoreo sistemático, gran escala, perfilamiento, decisiones automatizadas, combinación de fuentes y tecnologías nuevas son señales que merecen análisis. La concurrencia de varias señales aumenta la necesidad de una revisión formal.
Etapas y participantes
Describa el tratamiento, evalúe necesidad y proporcionalidad, identifique amenazas e impactos, valore riesgos, seleccione medidas, documente riesgo residual y obtenga aprobación. Involucre negocio, privacidad, legal, seguridad, tecnología y proveedores relevantes.
Seguimiento
La evaluación no termina con la aprobación. Defina condiciones, responsables, evidencia y eventos de revisión. Un cambio de modelo, datos, finalidad o proveedor puede exigir actualizarla.
Cuándo la EIPD es obligatoria
El artículo 15 ter exige una evaluación previa cuando sea probable que el tratamiento, por su naturaleza, alcance, contexto, tecnología o fines, produzca alto riesgo para los derechos. La ley la requiere siempre, entre otros supuestos, ante evaluación sistemática basada en tratamiento o decisiones automatizadas con efectos jurídicos significativos, tratamiento masivo o a gran escala, observación o monitoreo sistemático de zonas de acceso público y tratamiento de datos sensibles o especialmente protegidos en los casos legales.
La lista debe contrastarse con el texto consolidado vigente y futuras instrucciones de la Agencia. Si existen dudas, documente el análisis de umbral y por qué se realiza o descarta la EIPD.
Contenido mínimo de una evaluación útil
Describa finalidad, operación, datos, titulares, fuentes, sistemas, actores y flujos. Evalúe necesidad y proporcionalidad: base de licitud, minimización, información, derechos, conservación y alternativas menos intrusivas. Identifique impactos sobre personas —discriminación, exclusión, exposición, fraude, vigilancia o pérdida de control— y sus causas.
Valore probabilidad y gravedad con criterios definidos; asigne medidas, responsables y fechas; determine el riesgo residual y registre la aprobación. Una lista de controles de ciberseguridad no reemplaza el análisis de consecuencias para los titulares.
Ejemplo: biometría para control de asistencia
Antes de implementar reconocimiento facial, describa por qué se propone, qué plantilla biométrica se crea, dónde se almacena, quién provee la solución y qué ocurre ante un falso rechazo. Compare alternativas menos intrusivas. Revise la regla especial aplicable a datos biométricos y el contexto laboral, donde la libertad de elección puede estar limitada.
Analice suplantación, uso secundario, filtración irreversible y exclusión; defina medidas y determine si el riesgo residual permite continuar, exige rediseño o hace improcedente el proyecto.
Decisión, consulta y revisión
La EIPD debe terminar en una decisión: aprobar, aprobar con condiciones, rediseñar o no realizar el tratamiento. Si el riesgo alto no puede mitigarse razonablemente, revise el mecanismo legal aplicable y las instrucciones sobre consulta previa a la Agencia.
Reevalúe cuando cambien modelos, datos, escala, finalidad, proveedor, población afectada o amenazas. Vincule las medidas con tickets, contratos, pruebas y responsables; una promesa sin evidencia no reduce el riesgo.
Preguntas frecuentes
¿La EIPD se hace antes o después del proyecto?
Debe realizarse antes de iniciar el tratamiento de alto riesgo y suficientemente temprano para influir en el diseño. Después debe revisarse ante cambios relevantes.
¿Es lo mismo que una evaluación de ciberseguridad?
No. Se complementan, pero la EIPD analiza necesidad, proporcionalidad e impactos sobre derechos, además de amenazas y controles técnicos.
Fuentes oficiales
Las afirmaciones jurídicas deben verificarse contra los textos oficiales vigentes.