Evaluación de impacto relativa a la protección de datos (DPIA)
En protección de datos europea, una evaluación de impacto relativa a la protección de datos (EIPD) es el análisis que el RGPD exige antes de un tratamiento que probablemente entrañe un alto riesgo para los derechos de las personas. Es el entregable que espera la autoridad de control, y el sitio donde una empresa técnica aporta el cuadro de riesgo real. En inglés se la conoce como DPIA.
Cómo funciona
Una EIPD es una evaluación estructurada que se hace antes de que empiece una actividad de tratamiento, cuando esa actividad probablemente suponga un alto riesgo para las personas: tratamiento a gran escala de datos sensibles, observación sistemática, tecnologías nuevas y supuestos parecidos. Describe el tratamiento y su finalidad, valora si es necesario y proporcionado, identifica los riesgos para las personas cuyos datos personales están en juego, y expone las medidas que reducen esos riesgos. La AEPD publica guías sobre cuándo hace falta una y cómo llevarla a cabo, y el delegado de protección de datos de la organización suele ser el dueño del proceso. Cuando el riesgo residual sigue siendo alto después de mitigar, puede ser necesario consultar a la autoridad antes de que el tratamiento empiece.
Qué sale mal
Las EIPD se escriben muchas veces como papeleo que describe el tratamiento sin evaluar de verdad el riesgo técnico, que es justo la parte que un equipo jurídico o de gobierno no está en condiciones de juzgar. El documento enumera salvaguardas («los datos se cifran», «el acceso está controlado») sin comprobar si esas salvaguardas aguantan, así que el análisis de riesgo descansa sobre supuestos. Desde el punto de vista de la seguridad, ahí está el hueco: la EIPD afirma que un control mitiga un riesgo y nadie lo ha verificado. Una actividad de tratamiento evaluada sobre el papel puede llevar encima una exposición real que nadie ha medido, y la evaluación que debía proteger a las personas acaba documentando un nivel de garantía falso.
Dónde aparece esto en una auditoría
Cuando hace falta una EIPD, una empresa técnica aporta la parte que el análisis jurídico no puede dar: una visión con evidencias de si las salvaguardas declaradas resisten un ataque, y de cuál sería el impacto realista sobre las personas si no resistieran. Probamos los controles en los que la EIPD se apoya y metemos los resultados en el análisis de riesgo, para que el documento refleje riesgo medido en vez de seguridad supuesta. En tratamientos de IA de alto riesgo esto se solapa con las obligaciones del EU AI Act. Esto forma parte de cómo aportamos el riesgo técnico de una EIPD.