Fundamentos

Evaluación de impacto en la privacidad: qué es y para qué sirve

Por Daniel Sardá · Publicado el 22 de octubre de 2026 a las 22:05 UTC

7 min de lectura1.348 palabras

Una explicación práctica de cómo anticipar los efectos de un tratamiento de datos, valorar su proporcionalidad y decidir salvaguardas antes de ponerlo en marcha.

Una organización quiere instalar reconocimiento facial para controlar el acceso a un edificio. Otra aplicación combina la ubicación del teléfono con hábitos de consumo para personalizar sus servicios. En ambos casos, la pregunta no debería ser solo si la tecnología funciona o si sus datos están protegidos contra intrusos. También importa qué consecuencias tendrá para las personas y si el tratamiento se justifica.

La evaluación de impacto en la privacidad sirve para formular esas preguntas antes de que las decisiones sean difíciles de revertir. Es un proceso anticipado y documentado que describe cómo un proyecto, sistema o política recopila, usa, comparte y conserva información personal; identifica posibles efectos sobre la vida privada y otros derechos; y orienta medidas para prevenir o reducir daños.

No es un sello de aprobación ni una garantía de riesgo cero. Su utilidad consiste en mejorar una decisión: hacer visible lo que puede salir mal, comprobar si el tratamiento es necesario y modificarlo cuando su coste para las personas resulta desproporcionado.

Idea clave: Evaluar el impacto no consiste en justificar una decisión ya tomada, sino en conservar la posibilidad real de cambiarla.

Privacidad, datos personales y dos siglas que no siempre significan lo mismo

La privacidad protege una esfera de autonomía personal: permite decidir, dentro de límites legítimos, qué aspectos de la propia vida quedan expuestos y ante quién. La protección de datos se ocupa de las reglas y garantías aplicables al tratamiento de información sobre personas. Ambas ideas se relacionan, pero no son idénticas.

Por eso una evaluación no debería limitarse al riesgo de una filtración. Un sistema técnicamente seguro también puede facilitar vigilancia excesiva, decisiones injustas, pérdida de anonimato, exclusión o usos secundarios que las personas no esperan. La pregunta central es cómo afecta el tratamiento a quienes quedan sujetos a él, no solo cuánto dinero o reputación podría perder la organización.

El vocabulario cambia según la institución y el marco jurídico:

• PIA, por las siglas inglesas de Privacy Impact Assessment, suele usarse para una familia amplia de evaluaciones de privacidad. Por ejemplo, la NCUA estadounidense emplea este enfoque para examinar la recopilación, el uso, el intercambio y la conservación de información identificable dentro de su ámbito institucional.
• EIPD o DPIA designa, en el Reglamento General de Protección de Datos de la Unión Europea (RGPD), una evaluación de impacto relativa a la protección de datos con un umbral y un contenido jurídicos específicos.

Comparten una lógica preventiva, pero no son sinónimos universales. El nombre, la obligatoriedad y los requisitos concretos dependen del régimen aplicable.

Cuándo tiene sentido evaluar

Como práctica de buen gobierno, una evaluación resulta especialmente valiosa cuando un proyecto introduce un tratamiento nuevo, amplía de manera relevante uno existente o puede afectar intensamente la autonomía y los derechos de las personas. El volumen de información, su carácter delicado, la escala, la observación sistemática o el uso de tecnologías poco probadas pueden elevar la preocupación, pero no conviene convertir estos indicios en una fórmula automática fuera de su contexto legal.

En el marco europeo, la regla es más precisa: el artículo 35 del RGPD exige una EIPD antes de un tratamiento que probablemente entrañe un alto riesgo para los derechos y libertades de las personas físicas. El propio artículo identifica ciertos supuestos, y las autoridades de control publican listas y orientaciones complementarias. Esta obligación pertenece al RGPD; no debe extrapolarse como si rigiera igual en todos los países.

La evaluación debe comenzar temprano. Si se realiza cuando el sistema ya está contratado, construido y desplegado, cualquier cambio importante parecerá demasiado costoso. Integrarla durante el diseño permite comparar alternativas, recoger menos información o descartar funciones antes de que creen dependencias.

De describir el tratamiento a tomar una decisión

Aunque la forma concreta varía, una evaluación razonada suele avanzar por una secuencia reconocible.

1. Entender qué se hará con los datos

El punto de partida es describir el tratamiento: qué información se obtiene, de quién, para qué finalidad, por qué medios, durante cuánto tiempo, con quién se comparte y qué decisiones dependen de ella. Una descripción vaga produce riesgos vagos y salvaguardas poco útiles.

También conviene identificar a las personas afectadas y escuchar perspectivas que el equipo promotor quizá no vea. Quien diseña un control biométrico puede pensar en rapidez de acceso; un trabajador puede experimentar la misma medida como seguimiento constante y falta de una alternativa efectiva.

2. Examinar necesidad y proporcionalidad

No basta con que el objetivo sea conveniente. Hay que preguntar si tratar esos datos contribuye realmente a una finalidad legítima, si existe una alternativa menos intrusiva y si la intensidad del tratamiento guarda proporción con el beneficio esperado.

En una EIPD sujeta al RGPD, la evaluación de necesidad y proporcionalidad forma parte del contenido mínimo. La Agencia Española de Protección de Datos resume además los otros componentes: describir las operaciones y fines, valorar los riesgos y establecer medidas para afrontarlos.

Idea clave: La proporcionalidad puede exigir proteger mejor los datos, pero también recopilar menos, limitar usos o renunciar al tratamiento.

3. Identificar riesgos para las personas

Un análisis serio estudia tanto la probabilidad como la gravedad de posibles consecuencias. Entre ellas pueden estar el acceso indebido, la revelación de información íntima, la discriminación, la manipulación de decisiones, la imposibilidad de actuar de forma anónima o la pérdida de control sobre usos posteriores.

Esto obliga a separar dos planos. Las sanciones, los costes y el daño reputacional son riesgos para la organización. Importan para su gestión, pero no sustituyen la evaluación de efectos sobre las personas, sus libertades y su derecho a la privacidad.

4. Elegir salvaguardas y decidir

Las medidas pueden ser técnicas —como reducir, separar o cifrar datos—, organizativas —limitar accesos, fijar responsabilidades y revisar proveedores— o sustantivas: restringir finalidades, ofrecer una alternativa, acortar la conservación o excluir una función especialmente invasiva.

La evaluación culmina en una decisión explicable. El proyecto puede continuar con cambios, quedar limitado, aplazarse o abandonarse. Dentro del RGPD, si persiste un alto riesgo que el responsable no puede mitigar suficientemente, el artículo 36 prevé la consulta previa a la autoridad de control. Eso no significa que toda evaluación reciba una “aprobación” administrativa.

5. Revisar durante el ciclo de vida

Los riesgos cambian cuando se añaden datos, se conectan sistemas, aparecen nuevos usos o las salvaguardas dejan de ser eficaces. Por eso la evaluación no termina al archivar un informe. El RGPD contempla la revisión cuando varía el riesgo, y la AEPD presenta la EIPD como un proceso de mejora continua.

Lo que una evaluación no sustituye

Una evaluación bien hecha aporta evidencia y disciplina, pero no crea por sí sola permiso para tratar información. No reemplaza una base jurídica válida, el consentimiento cuando corresponda, la atención de los derechos de las personas, una auditoría independiente ni las pruebas de seguridad.

Tampoco elimina la incertidumbre. Puede basarse en supuestos incompletos o degenerar en un formulario burocrático. Para evitarlo, debe asignar responsables, registrar desacuerdos, conectar cada riesgo con una respuesta verificable y volver sobre las medidas después de implantarlas.

Advertencia: Documentar un riesgo no equivale a mitigarlo, y obtener consentimiento no convierte en proporcionado cualquier uso de datos.

Una herramienta para poner límites antes del daño

Evaluar pronto tiene un coste, pero también evita rediseños tardíos y hace posible descubrir que una función innecesaria nunca debió construirse. Sobre todo, obliga a quienes concentran información —empresas, administraciones u otras organizaciones— a explicar por qué necesitan ejercer ese poder y bajo qué límites.

Ese es el valor institucional de la evaluación de impacto en la privacidad: desplaza la carga desde la persona afectada, que a menudo conoce el daño cuando ya ocurrió, hacia quien decide el tratamiento. Una evaluación responsable no pregunta cómo conseguir que el proyecto pase. Pregunta qué proyecto, con qué datos y con qué salvaguardas respeta mejor la autonomía de las personas; y admite que, algunas veces, la respuesta correcta es no continuar.