EIPD RGPD: cuándo iniciarla, cómo llevarla a cabo y qué entregar

EIPD: definición y obligaciones

La EIPD, o evaluación de impacto relativa a la protección de datos, es la herramienta que permite evaluar de antemano los riesgos para las personas cuando se implementa un tratamiento potencialmente sensible. Con demasiada frecuencia, la EIPD se percibe como un trámite jurídico. En realidad, es un instrumento de decisión. Bien realizada, ayuda a encontrar un equilibrio entre los objetivos del negocio, la viabilidad técnica y un nivel de riesgo aceptable.

El principio es sencillo: antes de desplegar un tratamiento de alto impacto, se documenta el contexto, se evalúan los riesgos, se definen las medidas de mitigación y se decide si el nivel residual es aceptable. También se deja constancia de las decisiones y sus justificaciones. Esta lógica es muy similar a un enfoque de calidad o a la gestión de riesgos de un proyecto. Por eso, la EIPD se integra de forma natural en el acompañamiento del negocio en proyectos de sistemas de información.

En los organismos públicos, la EIPD suele ser necesaria para tratamientos que implican grandes volúmenes, categorías sensibles o decisiones con efectos significativos sobre la ciudadanía. En las pymes y empresas medianas, los casos más frecuentes afectan a los programas de RR. HH., la relación con los clientes, la videovigilancia, el análisis del comportamiento o la interconexión de varias herramientas en la nube.

La obligación no es "punitiva". Protege a la organización frente a errores de diseño que resultan costosos al final del proyecto: reconfiguraciones tardías, suspensión del uso, fricción para los usuarios y riesgos reputacionales. También permite profesionalizar el diálogo entre las áreas de negocio, el departamento de TI, los equipos jurídicos y de seguridad, y la dirección.

Casos que requieren una EIPD

El enfoque adecuado consiste en analizar un conjunto de criterios. Por lo general, una EIPD es necesaria cuando el tratamiento combina varios factores de riesgo: evaluación sistemática de personas, decisiones automatizadas, vigilancia, datos sensibles, combinación de conjuntos de datos, tratamiento a gran escala o un impacto elevado en caso de incidente.

Por ejemplo, un proyecto interno de puntuación de RR. HH., incluso sin inteligencia artificial, puede requerir una EIPD si se basa en datos individuales detallados e influye en decisiones sobre la trayectoria profesional. Del mismo modo, un portal ciudadano que combine autenticación reforzada, historiales de uso y datos sobre la situación personal puede necesitar una EIPD en función del alcance de los tratamientos.

La mejor forma de evitar omisiones es establecer un filtro de detección en una fase muy temprana, durante la definición inicial del proyecto. Un cuestionario de entre 10 y 15 preguntas suele ser suficiente para orientar la decisión: EIPD obligatoria, recomendada o innecesaria. Esta decisión debe quedar registrada tanto en el registro de actividades de tratamiento como en el expediente del proyecto.

Método de ejecución en 6 etapas

Etapa 1 - Definir el tratamiento y la finalidad

Defina con precisión la necesidad del negocio, el alcance funcional, las partes interesadas y las poblaciones afectadas. Evite las formulaciones demasiado amplias. Una finalidad bien redactada constituye por sí misma una protección: limita los usos oportunistas y aclara los controles esperados.

Etapa 2 - Mapear los datos y los flujos

Identifique las categorías de datos, sus fuentes, las transformaciones aplicadas, los destinatarios y las posibles transferencias. Esta etapa debe incluir las interfaces, exportaciones, registros y procesos por lotes que suelen pasarse por alto. Sin un mapa de flujos, el análisis de riesgos quedará incompleto.

Etapa 3 - Evaluar la necesidad y la proporcionalidad

Plantee la pregunta central: ¿se recopila únicamente lo necesario para alcanzar el objetivo? ¿Existen alternativas menos intrusivas? Esta etapa suele ser la más rentable, ya que permite simplificar el tratamiento antes incluso de invertir en controles técnicos.

Etapa 4 - Evaluar los riesgos para las personas

Elabore una matriz clara: escenario, gravedad, probabilidad, puntuación inicial, medidas previstas y puntuación residual. Tenga en cuenta las consecuencias concretas: discriminación, exclusión de un servicio, vulneración de la confidencialidad, suplantación de identidad, daños reputacionales o estrés administrativo. La EIPD analiza los riesgos para las personas, no solo para la empresa.

Etapa 5 - Definir y priorizar las medidas

Combine medidas técnicas, organizativas y contractuales: minimización de datos, seudonimización, gestión granular de los accesos, limitación de las exportaciones, registros de auditoría, revisiones periódicas, cláusulas para encargados del tratamiento y formación de los usuarios. Priorícelas en función de su impacto y esfuerzo. Cada medida debe tener una persona responsable y una fecha objetivo.

Etapa 6 - Validar, decidir y realizar el seguimiento

La decisión final puede adoptar tres formas: despliegue autorizado, despliegue condicionado o suspensión a la espera de medidas adicionales. Esta decisión debe validarse formalmente. A continuación, integre el seguimiento en el comité del proyecto: la EIPD no termina con la firma del documento, sino que continúa durante la ejecución y la operación.

Entregables esperados y pruebas de auditoría

Un expediente de EIPD sólido incluye: documento de definición inicial, mapa de flujos, evaluación de la necesidad y la proporcionalidad, matriz de riesgos, plan de tratamiento, decisión formal y registro de las revisiones. Los auditores no buscan la perfección formal. Buscan coherencia entre los riesgos identificados, las decisiones adoptadas y las medidas efectivamente desplegadas.

En concreto, debe poder demostrar:

• La fecha y el contexto del análisis.
• Las partes interesadas involucradas.
• Las hipótesis adoptadas.
• Las decisiones y los compromisos alcanzados.
• Las acciones pendientes y su seguimiento.

Esta capacidad probatoria supone una ventaja operativa. Facilita las conversaciones con grandes clientes, autoridades, aseguradoras de riesgos cibernéticos y socios institucionales. También refuerza la madurez interna, ya que los equipos comprenden mejor por qué existen determinadas reglas.

Cómo integrar la EIPD en la gestión de proyectos de sistemas de información

El error más frecuente consiste en iniciar la EIPD demasiado tarde, cuando las decisiones técnicas ya están cerradas. En ese caso, el análisis se vuelve defensivo y genera costes de retrabajo. La buena práctica consiste en integrarlo en el ciclo de gestión de proyectos de sistemas de información desde la fase de definición inicial.

En la fase previa al proyecto, el cuestionario de detección determina si se requiere una EIPD. Durante el diseño, los requisitos de protección de datos se integran en el backlog y en los criterios de aceptación. Durante las pruebas de aceptación, se verifican los controles derivados de la EIPD. En la fase operativa, un seguimiento trimestral controla las desviaciones.

Este funcionamiento crea un lenguaje común entre las áreas de negocio, el departamento de TI y los equipos de cumplimiento. Reduce los conflictos de "último kilómetro" y protege los plazos. Resulta especialmente eficaz para programas de ERP, RR. HH., relación con la ciudadanía, plataformas de datos y modernización de portales.

Modelo de plan de acción posterior a la EIPD

Un buen plan posterior a la EIPD debe caber en una página y ser ejecutable. Para cada acción, debe incluir: objetivo, responsable, plazo, dependencias, indicador de finalización y prueba esperada. Evite formulaciones abstractas como "reforzar la seguridad". Prefiera acciones medibles: "activar la MFA para todos los perfiles de administrador antes del 30 de junio", "eliminar las exportaciones sin trazabilidad" o "implementar un registro de acceso en la tabla X".

Estructura recomendada:

• Resultados rápidos, 0-30 días: correcciones sencillas de alto impacto.
• Estabilización, 30-90 días: controles estructurales y documentación.
• Industrialización, 90-180 días: automatización, monitorización y formación.

Añada una breve revisión mensual y una revisión trimestral de alto nivel. Este ritmo mantiene el impulso y evita que la EIPD quede en papel mojado.

Aplicación de una EIPD a un proyecto de RR. HH.

Para una herramienta de RR. HH. en la nube que centralice evaluaciones, movilidad y planes de formación, la EIPD permite examinar los riesgos para las personas con las áreas de negocio, TI, RR. HH., los representantes de los trabajadores y el Delegado de Protección de Datos.

El análisis debe documentar las finalidades, los campos necesarios, los permisos de acceso, los plazos de conservación y el registro de consultas sensibles.

El plan de acción recoge las medidas seleccionadas, sus responsables y las condiciones de validación para continuar el proyecto.

Preguntas frecuentes

¿La EIPD está reservada a los grandes grupos?

No. Las pymes y empresas medianas también pueden verse afectadas cuando un tratamiento presenta un riesgo elevado para las personas.

¿Es necesario rehacer la EIPD con cada cambio?

No por completo. Debe realizarse una revisión del impacto ante cada cambio significativo y actualizarse las secciones afectadas.

¿Quién firma la decisión final?

La dirección o el responsable del tratamiento, con el apoyo de los análisis de las áreas de negocio, el departamento de TI, seguridad y el Delegado de Protección de Datos.

Para saber más

Puede complementar esta guía con nuestra página de consultoría sobre el RGPD y, a continuación, articular sus proyectos mediante nuestra asesoría en proyectos de sistemas de información. Si sus retos incluyen la seguridad operativa, consulte también Ciberseguridad. Para definir un servicio de acompañamiento, contacte con nosotros a través de Contacto OLING.