El 63% de las empresas que tratan datos biométricos o de salud en España nunca ha realizado una Evaluación de Impacto en Protección de Datos. Un descuido que puede costar decenas de miles de euros en sanciones de la Agencia Española de Protección de Datos (AEPD). Si tu empresa en Valencia recoge datos sensibles de clientes o empleados, este artículo puede ahorrarte una multa muy cara.
¿Qué es una EIPD y por qué existe?
La Evaluación de Impacto en la Protección de Datos (EIPD), también llamada DPIA por sus siglas en inglés, es un análisis obligatorio previo al tratamiento de datos que puedan suponer un alto riesgo para los derechos y libertades de las personas. Está regulada en el artículo 35 del RGPD y su objetivo es identificar, evaluar y minimizar esos riesgos antes de que se materialicen.
No se trata de un trámite burocrático más: es una herramienta de gestión del riesgo que obliga a las organizaciones a pensar antes de actuar cuando los datos en juego son especialmente sensibles.
¿Cuándo es obligatoria una EIPD?
El RGPD establece que la EIPD es obligatoria cuando el tratamiento pueda suponer un alto riesgo. La AEPD ha publicado una lista orientativa con los supuestos más habituales:
Casos en los que la EIPD es obligatoria
- Datos biométricos para identificar a personas (control de acceso por huella, reconocimiento facial)
- Datos de salud tratados a gran escala (hospitales, aseguradoras, plataformas de salud digital)
- Elaboración de perfiles a gran escala que evalúen aspectos personales de individuos
- Datos de menores tratados con fines comerciales o de perfilado
- Videovigilancia a gran escala en espacios públicos
- Transferencias internacionales de datos a países sin nivel de protección adecuado
- Datos de categorías especiales (origen étnico, religión, ideología, vida sexual) a gran escala
Si tu actividad encaja en alguno de estos supuestos y no tienes una EIPD realizada, estás incumpliendo el RGPD.
Los 9 pasos para hacer una EIPD correctamente
Una EIPD no puede improvisarse. Estos son los pasos que reconoce la propia AEPD:
- Describir el tratamiento: qué datos se recogen, con qué finalidad, quién tiene acceso y durante cuánto tiempo.
- Evaluar la necesidad y proporcionalidad: ¿realmente necesitas todos esos datos para el fin declarado?
- Identificar los riesgos: acceso no autorizado, pérdida de datos, uso inadecuado, discriminación.
- Evaluar la probabilidad e impacto de cada riesgo identificado.
- Definir medidas para mitigar los riesgos: cifrado, seudonimización, control de accesos.
- Consultar al Delegado de Protección de Datos (DPD) si tu organización tiene uno.
- Documentar todo el proceso en un registro formal.
- Revisar y actualizar la EIPD cuando cambien las circunstancias del tratamiento.
- Consultar a la autoridad de control si los riesgos residuales siguen siendo altos tras las medidas.
Casos reales de sanciones por no realizar la EIPD
Gimnasio multado con 96.000€ por control de acceso biométrico sin EIPD
La AEPD sancionó a una cadena de gimnasios con 96.000 euros por implementar un sistema de control de acceso mediante huella dactilar sin haber realizado previamente una Evaluación de Impacto en la Protección de Datos. Los datos biométricos son una categoría especial de datos según el artículo 9 del RGPD y requieren siempre una EIPD previa. La empresa tampoco había obtenido el consentimiento explícito de los socios ni ofrecía una alternativa no biométrica para el acceso.
Este caso es especialmente relevante para negocios en Valencia que utilizan sistemas de fichaje biométrico para empleados o control de acceso para clientes: la obligación es la misma independientemente del tamaño de la empresa.
Hospital sancionado con 70.000€ por tratamiento de datos de salud sin EIPD
Un hospital privado fue sancionado con 70.000 euros por la AEPD tras compartir historiales médicos de pacientes con una empresa de investigación clínica sin haber realizado una EIPD ni contar con el consentimiento adecuado de los afectados. El expediente evidenció que el hospital tampoco había documentado la base legal del tratamiento ni informado correctamente a los pacientes sobre el uso secundario de sus datos.
¿Qué pasa si no haces la EIPD cuando es obligatoria?
Las consecuencias son múltiples y acumulables:
- Sanción económica de hasta 10 millones de euros o el 2% de la facturación global anual (la cifra mayor)
- Orden de suspensión del tratamiento hasta que se subsane el incumplimiento
- Responsabilidad civil frente a los afectados si sufren daños
- Daño reputacional por la publicación de la resolución en la web de la AEPD
Checklist para saber si necesitas una EIPD
- Mi empresa trata datos biométricos de empleados o clientes
- Proceso datos de salud o histórico clínico a cualquier escala
- Utilizo sistemas de videovigilancia avanzada con reconocimiento de personas
- Realizo perfilado automatizado con consecuencias significativas para los interesados
- Trato datos de menores de edad con fines comerciales
- Gestiono datos de categorías especiales (ideología, religión, origen étnico)
- Comparto datos con terceros en países fuera del Espacio Económico Europeo
- He documentado por escrito la EIPD antes de iniciar el tratamiento
- He revisado la EIPD en el último año o tras cambios en el tratamiento
- Cuento con el informe del DPD validando el proceso
Si has marcado alguno de los tres primeros puntos sin haber completado los dos últimos, tu empresa tiene un riesgo real de sanción. En Protección de Datos Valencia ayudamos a empresas y autónomos de la Comunitat Valenciana a realizar evaluaciones de impacto rigurosas, documentadas y alineadas con los criterios actuales de la AEPD. Solicita una consulta gratuita hoy mismo a través de nuestro formulario de contacto y analizaremos sin compromiso tu situación concreta.
Fuentes: Reglamento General de Protección de Datos (UE) 2016/679, Art. 35 | AEPD – Lista de tratamientos que requieren EIPD (actualizada) | AEPD – Resolución PS/00382/2021 (biometría en gimnasios) | AEPD – Guía práctica para las Evaluaciones de Impacto en la Protección de Datos (2018) | Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD)
¿Necesitas cumplir con el RGPD?
Habla con nuestros expertos en protección de datos en Valencia. Consulta gratuita y sin compromiso.