Su EIPD siguiendo
el método publicado por la CNIL
El RGPD exige una Evaluación de Impacto relativa a la Protección de Datos para todo tratamiento que pueda entrañar un riesgo elevado para los derechos y libertades de las personas. SYAGA DPIA-Express estructura y documenta su EIPD según la metodología del artículo 35 y las directrices del CEPD, sin improvisación y sin jerga.
La obligación
Determinar si su tratamiento debe someterse a una EIPD, y luego realizarla conforme a las reglas
El artículo 35 del RGPD exige una EIPD
Todo tratamiento que pueda entrañar un riesgo elevado para los derechos y libertades de las personas físicas debe ser objeto de una Evaluación de Impacto relativa a la Protección de Datos antes de su puesta en marcha (RGPD, art. 35).
La regla CNIL de los «2 de 9 criterios»
El CEPD (antiguo G29, directrices WP248 rev.01) definió 9 criterios de riesgo elevado. En cuanto un tratamiento cumple al menos dos de estos criterios, en principio debe realizarse una EIPD: basta con identificar mal un solo elemento para que el expediente quede incompleto.
Listas CNIL que hay que contrastar artículo por artículo
La CNIL (autoridad francesa de protección de datos) publica listas de tratamientos para los que la EIPD es obligatoria o no. Determinar con precisión dónde se sitúa su tratamiento exige una lectura rigurosa, no una impresión general.
Sin método, el riesgo es doble
Realizar una EIPD con demasiada premura expone a la incompletud ante una autoridad de control; no realizarla cuando es obligatoria expone a la organización a un incumplimiento del artículo 35. El método CNIL estructura esta decisión y la documenta.
El método: DPIA-Express
La estructura exigida por el artículo 35.7 del RGPD, aplicada a su tratamiento, con una conclusión motivada en cada etapa
¿Está su tratamiento realmente sujeto a la EIPD?
Análisis frente a los 3 supuestos del artículo 35.3, la tabla de los 9 criterios del CEPD (WP248 rev.01) y las listas CNIL de tratamientos obligatorios o no obligatorios. Conclusión motivada, sea la EIPD finalmente obligatoria o no.
Descripción sistemática del tratamiento
Finalidades, categorías de datos e interesados, destinatarios, plazos de conservación: la cartografía completa exigida por el artículo 35.7.a, coherente con su registro de actividades de tratamiento (art. 30).
Necesidad y proporcionalidad
Verificación de que cada dato recogido es necesario para la finalidad perseguida, de que la base jurídica (art. 6) está identificada para cada tratamiento, y de que se respeta el principio de minimización de datos (art. 5.1.c).
Evaluación de los riesgos para las personas
Para cada riesgo identificado: gravedad, probabilidad, medidas ya implantadas, riesgo residual, presentado en forma de tabla utilizable por su dirección o su DPO.
Medidas y conclusión documentada
Medidas técnicas y organizativas previstas (art. 32), conclusión motivada y justificación documentada en virtud del principio de responsabilidad proactiva (accountability, art. 5.2), utilizable en caso de inspección de la CNIL.
Lo que usted recibe
Un documento estructurado, con fuentes, y honesto sobre lo que aún debe validar su asesor jurídico o su DPO
Informe EIPD estructurado
El documento completo siguiendo el artículo 35.7 (a a d), con una conclusión motivada.
- Descripción sistemática del tratamiento
- Análisis de necesidad y proporcionalidad
- Tabla de riesgos (gravedad/probabilidad/medidas)
- Conclusión y justificación documentada (art. 5.2)
Tabla de determinación
El análisis previo que determina si su tratamiento entra en el ámbito de la obligación.
- Los 3 supuestos del artículo 35.3
- Los 9 criterios CEPD (WP248 rev.01)
- Contraste con las listas CNIL
- Conclusión motivada y con fuentes
Coherencia con el registro art. 30
La EIPD se apoya en la misma base que su registro de actividades de tratamiento.
- Finalidades y bases jurídicas
- Categorías de datos e interesados
- Destinatarios y encargados del tratamiento
- Plazos de conservación por categoría
Puntos a validar por su asesor jurídico/DPO
Cada punto de incertidumbre se señala explícitamente, nunca se decide en su lugar.
- Calificación responsable / encargado del tratamiento
- Bases jurídicas por finalidad
- Transferencias fuera de la UE identificadas
- Designación de un DPO (art. 37), en su caso
Fuentes y trazabilidad
Cada afirmación jurídica está sustentada en fuentes, no afirmada de memoria.
- Texto consolidado del RGPD (CELEX 32016R0679)
- Páginas y listas CNIL (EIPD, registro)
- Directrices CEPD (WP248 rev.01)
- URL verificables citadas en el documento
Documento editable
Entregado en un formato editable, reutilizable por su DPO o su asesor jurídico.
- Estructura conforme al artículo 35.7
- Reutilizable para sus futuros tratamientos
- Listo para completarse antes de la validación final
- Sin formato fijo impuesto
Referencias utilizadas
Un método basado en los textos y las autoridades, no en interpretaciones propias
RGPD - Artículo 35
Evaluación de impacto relativa a la protección de datos. Texto consolidado del Reglamento (UE) 2016/679 (EUR-Lex, CELEX 32016R0679).
Directrices WP248 rev.01
Los 9 criterios de riesgo elevado del CEPD (antiguo G29), adoptados por la CNIL como método de referencia para determinar la obligación de EIPD.
Listas y método CNIL
Listas de tratamientos para los que la EIPD es obligatoria o no, y método CNIL para realizar una evaluación de impacto.
RGPD - Artículo 30
Registro de actividades de tratamiento: la base de coherencia (finalidades, datos, plazos) en la que se apoya toda EIPD.
Una EIPD a medida, sin precios ocultos
El alcance depende del número de tratamientos, de su complejidad y de lo que ya esté documentado en su organización. Presupuesto elaborado tras un primer contacto.
Oferta reservada a profesionales (empresas y organizaciones), no destinada a consumidores.
Determinación de la obligación
No sabe si su tratamiento está afectado
- Tabla de los 9 criterios CEPD
- Contraste con el artículo 35.3
- Verificación de las listas CNIL
- Conclusión motivada y con fuentes
EIPD completa
Tratamiento identificado de riesgo elevado
- Todo lo de Determinación de la obligación +
- Descripción sistemática (art. 35.7.a)
- Necesidad y proporcionalidad (35.7.b)
- Análisis de riesgos (35.7.c)
- Medidas previstas (35.7.d)
- Puntos enumerados para su asesor jurídico/DPO
Programa plurianual
Varios tratamientos de riesgo por cubrir
- Todo lo de EIPD completa +
- Marco metodológico común
- Revisión periódica (art. 35.11)
- Coherencia mantenida con el registro (art. 30)
Una EIPD nunca es definitiva
El artículo 35.11 del RGPD obliga a revisar el análisis en caso de cambio significativo del tratamiento (nuevo encargado del tratamiento, cambio de alojamiento, ampliación del alcance de la recogida). El presupuesto de revisión se establece caso por caso.
Preguntas frecuentes
Vigilancia reglamentaria - fuentes oficiales
Lo que dice realmente el texto, explicado en lenguaje sencillo. Cada punto conserva su enlace al documento oficial.
¿Qué es una EIPD, en términos sencillos?
Una EIPD es simplemente un trabajo de evaluación: se analizan los riesgos que un tratamiento de datos supone para las personas, antes de ponerlo en marcha. La CNIL la define como «un proceso formal que permite evaluar los riesgos relacionados con el tratamiento de datos personales». No es un trámite administrativo más, es una herramienta de sentido común que el RGPD convierte en obligatoria en determinados casos. Fuente: CNIL →
Quién está realmente afectado: la regla de los «2 de 9 criterios»
No hace falta ser una gran empresa para estar afectado. La CNIL considera que una EIPD es obligatoria en cuanto un tratamiento cumple al menos dos de estas nueve situaciones: calificar o evaluar a personas, tomar una decisión automatizada que tenga un efecto real sobre ellas, vigilarlas de forma sistemática, recopilar datos sensibles (salud, origen, etc.), recopilar a gran escala, cruzar varias bases de datos, dirigirse a personas vulnerables (empleados, pacientes, menores...), utilizar una tecnología nueva, o privar a alguien de un derecho o de un servicio. Fuente: CNIL →
Dos listas de la CNIL que a menudo responden por usted
Para evitar tener que adivinar, la CNIL ha publicado dos listas oficiales: una lista de 14 tipos de tratamientos en los que la EIPD es obligatoria (datos de salud, evaluación de RR. HH., vigilancia de empleados, geolocalización a gran escala...), y una lista de 12 tipos en los que no se requiere (nómina y gestión de personal de menos de 250 empleados sin evaluación, gestión de proveedores, historial de un paciente de un profesional sanitario que ejerce solo...). Estas listas no cubren todos los casos, pero ya responden a muchas situaciones habituales. Fuente: lista CNIL de los tratamientos exigidos →
Lo que el análisis debe contener realmente
El RGPD (artículo 35) no pide una novela, sino cuatro elementos precisos: describir el tratamiento y su finalidad, comprobar que es realmente necesario y proporcionado, evaluar los riesgos para las personas afectadas, y por último enumerar las medidas previstas para reducir esos riesgos. Una conclusión clara al final: si el tratamiento es aceptable, y en qué condiciones. Fuente: RGPD, artículo 35 →
El papel de su DPO (si dispone de uno)
Si su organización ha designado un Delegado de Protección de Datos, el RGPD exige pedirle consejo en el momento de realizar la EIPD, y encargarle que verifique que el análisis se ha llevado a cabo correctamente. Es una salvaguarda, no una simple casilla que marcar: consultar al DPO sigue siendo el reflejo correcto antes de validar una conclusión. Fuente: RGPD, artículos 35 y 39 →
¿Y si el riesgo sigue siendo elevado después del análisis?
Si, a pesar de las medidas previstas, el tratamiento sigue presentando un riesgo elevado para las personas, el RGPD exige consultar a la CNIL antes de iniciarlo. Esta dispone entonces de ocho semanas para emitir su dictamen por escrito (ampliable en seis semanas si el expediente es complejo). Un dato tranquilizador: este caso sigue siendo la excepción, no la regla. Fuente: RGPD, artículo 36 →
Las sanciones, sin dramatismo
La CNIL recuerda que las multas del RGPD pueden alcanzar hasta 10 millones de euros o el 2% de la facturación anual mundial, según cuál sea el importe más elevado. Es un tope legal, no una fatalidad: una EIPD bien elaborada es precisamente lo que permite demostrar, en caso de inspección, que la cuestión se tomó en serio. Fuente: CNIL →
Una actualidad europea a seguir
El Comité Europeo de Protección de Datos (CEPD/EDPB) sometió a consulta pública, del 14 de abril al 9 de junio de 2026, un proyecto de modelo único de EIPD destinado a armonizar las prácticas entre los países europeos. La consulta ya está cerrada; seguimos el curso de este proyecto para informar a nuestros clientes en el momento oportuno. Fuente: EDPB →
¿Quién está realmente afectado por la EIPD?
Antes de saber cómo realizar una EIPD, hay que saber si uno está afectado. Este es el alcance exacto, tal como lo definen el RGPD y la CNIL, sin suspense innecesario.
El único criterio que importa: el riesgo, no el tamaño
El RGPD no fija ningún umbral de plantilla para la obligación de EIPD. Su artículo 35 impone este análisis al «responsable del tratamiento», cualquiera que sea su forma (asociación, autónomo, pyme, entidad pública, gran grupo), en cuanto un tratamiento «entrañe probablemente un alto riesgo para los derechos y libertades de las personas físicas». Trampa frecuente que evitar: el umbral de 250 empleados existe efectivamente en el RGPD, pero se refiere a una dispensa parcial del registro de actividades de tratamiento (artículo 30), no a la EIPD. Una empresa de 5 empleados puede estar afectada; un grupo de 2000 empleados puede no estarlo: todo depende del tratamiento, nunca del tamaño de la estructura. Fuente: RGPD, artículo 35 (reproducido por la CNIL) →
Público o privado: nadie queda excluido del alcance
El artículo 35 se refiere al «responsable del tratamiento» en sentido amplio: tanto una empresa privada como una administración, una entidad local, una asociación o un centro sanitario. El texto contempla incluso explícitamente el caso de una «observación sistemática a gran escala de una zona de acceso público», que típicamente se refiere a un ayuntamiento o una entidad de vivienda social que instala videovigilancia en la vía pública, no solo a una empresa comercial. Fuente: RGPD, artículo 35, apartado 3 →
El detonante concreto: 2 de 9 criterios
La CNIL y el antiguo Grupo del artículo 29 (convertido en Comité Europeo, EDPB) fijaron nueve criterios en sus directrices de referencia (WP248). En cuanto un tratamiento reúne al menos dos, la EIPD se vuelve obligatoria: calificar o evaluar a personas, decidir automáticamente algo que las afecte, vigilarlas de forma sistemática, tratar datos sensibles, tratar a gran escala, cruzar ficheros, dirigirse a personas vulnerables (empleados, pacientes, menores), utilizar una tecnología nueva, o privar a alguien de un derecho o de un contrato. Fuente: CNIL, directrices GT29/EDPB (WP248) →
Ejemplos concretos de perfiles afectados
En la práctica, la doctrina de la CNIL vincula típicamente a estos criterios: una consulta médica o una clínica que trata datos de salud a gran escala, un departamento de RR. HH. que utiliza una herramienta de calificación o evaluación de empleados, una empresa equipada con tarjetas de acceso y videovigilancia sistemática de sus locales abiertos al público, una entidad de crédito o de recobro que practica el scoring, o un dispositivo conectado de salud que recopila datos de hábitos de vida. Fuente: CNIL, lista de los 14 tratamientos con EIPD obligatoria →
¿Y si no estoy afectado, cómo puedo saberlo?
La CNIL también ha publicado una lista de 12 tipos de tratamientos para los que NO se requiere la EIPD: por ejemplo la nómina y la gestión de personal de una entidad de menos de 250 empleados (sin evaluación), el historial de un paciente de un profesional sanitario que ejerce solo, o la gestión habitual de proveedores. Un dato tranquilizador para muchas microempresas: tener empleados o clientes no basta, por sí solo, para desencadenar la obligación. Fuente: CNIL, lista de los 12 tratamientos sin EIPD →
Las preguntas que un directivo realmente se plantea sobre la EIPD
Sin jerga de abogados: respuestas sencillas, cada una respaldada por el texto oficial que la fundamenta.
El calendario de la EIPD, en claro
Las fechas que realmente importan, con sus fuentes, para saber qué es ya obligatorio hoy y qué está por llegar.
Ya en vigor hoy
El RGPD es aplicable desde el 25 de mayo de 2018, en toda Europa. La obligación de realizar una EIPD (artículo 35), las dos listas de la CNIL que indican cuándo es obligatoria o no, y las directrices europeas que explican cómo llevarla a cabo: todo esto está en vigor, es estable, y no depende de ninguna reforma futura. Es la base sobre la que puede apoyarse desde ahora mismo.
A seguir, aún sin cerrar
El Comité Europeo de Protección de Datos (CEPD) trabaja en un modelo único de EIPD para armonizar las prácticas entre países europeos. La consulta pública sobre este proyecto finalizó el 9 de junio de 2026; todavía no se ha comunicado ninguna fecha de publicación del modelo final. Nada obliga a esperar: el método de la CNIL sigue siendo válido mientras tanto.
El RGPD es adoptado y después publicado en el Diario Oficial de la UE
El Parlamento Europeo y el Consejo adoptan el Reglamento 2016/679 el 27 de abril de 2016. Se publica en el Diario Oficial de la Unión Europea (DO L119) el 4 de mayo de 2016, y entra en vigor veinte días después, el 24 de mayo de 2016, sin ser todavía aplicable. Fuente: EUR-Lex, referencia oficial del reglamento →
El RGPD se vuelve aplicable: la EIPD se convierte en una obligación real
Dos años después de su adopción, el reglamento se aplica por fin en toda Europa (artículo 99.2). Ese día es cuando la obligación de EIPD del artículo 35 se vuelve exigible, y cuando el Comité Europeo de Protección de Datos (CEPD) se constituye por primera vez, asumiendo las directrices sobre la EIPD ya redactadas (WP248 rev.01). Fuente: EUR-Lex, ficha del reglamento (artículo 99) → Fuente: CEPD, directrices asumidas →
La CNIL publica su lista de los 14 tratamientos en los que la EIPD es obligatoria
Unos meses después de la entrada en aplicación del RGPD, la CNIL adopta su deliberación n.º 2018-327: una lista concreta de 14 tipos de tratamientos (datos de salud, evaluación de RR. HH., vigilancia de empleados...) para los que la EIPD debe realizarse sistemáticamente. Se acabó adivinar caso por caso. Fuente: CNIL →
La CNIL publica la lista inversa: cuándo la EIPD no es necesaria
Un año después, la CNIL completa su doctrina con la deliberación n.º 2019-118: una lista de los tratamientos para los que NO se requiere una EIPD (nómina de menos de 250 empleados sin evaluación, gestión de proveedores, historial de un profesional que ejerce solo...). Las dos listas de la CNIL, juntas, ya responden a mucha situaciones habituales sin tener que decidir uno mismo. Fuente: CNIL →
El CEPD consulta sobre un modelo único de EIPD europeo
El CEPD sometió a consulta pública un proyecto de modelo de EIPD común, destinado a armonizar las prácticas entre los países europeos (hoy en día, cada autoridad nacional tiene un poco su propia plantilla). La consulta está cerrada desde el 9 de junio de 2026; todavía no es un texto aplicable, solo un proyecto en fase de examen. Fuente: CEPD →
La finalización del modelo del CEPD, sin plazo conocido
El propio CEPD indica que el modelo «se finalizará, sujeto a las modificaciones oportunas», tras lo cual las autoridades nacionales iniciarán las gestiones para adoptarlo como modelo único, o como «metamodelo» compatible con los modelos ya existentes (entre ellos el de la CNIL). Hasta la fecha no se ha comunicado ninguna fecha: seguimos este asunto para avisar a nuestros clientes en cuanto haya algo concreto, sin anticipar nada. Fuente: CEPD →
Las sanciones del RGPD, en claro
Quién sanciona, cuánto, y con qué criterios. Sin dramatismo: la gran mayoría de los expedientes no tienen nada que ver con los importes que acaparan los titulares.
Quién decide, en Francia: la formation restreinte de la CNIL
Es un órgano especializado de la CNIL, distinto del colegio que controla y asesora a diario, el que impone las sanciones. Dispone de varias herramientas graduales, no solo la multa: llamada al orden, apercibimiento, requerimiento formal (con o sin multa coercitiva), orden imperativa, limitación temporal o definitiva del tratamiento. La multa no es más que el último peldaño de la escala. Fuente: CNIL, las sanciones impuestas →
Dos topes legales, no un importe único
El RGPD (artículo 83) fija dos topes, reteniéndose el más elevado de los dos: hasta 10 millones de euros o el 2 % de la facturación mundial del ejercicio anterior por los incumplimientos de las obligaciones organizativas (seguridad, registro, DPO, evaluación de impacto...); hasta 20 millones de euros o el 4 % por las vulneraciones de los principios de fondo (base legal, consentimiento, derechos de las personas, transferencias fuera de la UE). Son topes, no importes automáticos. Fuente: RGPD, artículo 83 →
Cómo se fija realmente el importe
El artículo 83.2 exige a la autoridad tener en cuenta: la gravedad y la duración del incumplimiento, el carácter intencionado o la mera negligencia, las medidas ya adoptadas para limitar el daño, el grado de responsabilidad, los antecedentes, la cooperación con la autoridad, y la sensibilidad de los datos afectados. En la práctica: una organización que ha documentado su proceso (registro, EIPD, medidas de seguridad) y coopera se juzga de forma distinta a la que no ha hecho nada. Fuente: RGPD, artículo 83.2 →
Un caso real donde la falta de EIPD tuvo peso: Discord
El 10 de noviembre de 2022, la formation restreinte de la CNIL impuso una multa de 800.000 euros a Discord. Entre los incumplimientos apreciados: un plazo de conservación excesivo, un fallo de seguridad, y, en relación con el artículo 35 del RGPD, la falta de evaluación de impacto pese a que el tratamiento, a gran escala y que afectaba a menores, la requería. Es el ejemplo más directo del vínculo entre «sin EIPD documentada» y sanción impuesta. Fuente: deliberación SAN-2022-020, Légifrance →
Los importes elevados existen, pero siguen siendo raros
Criteo fue sancionada con 40 millones de euros el 15 de junio de 2023, por no haber podido demostrar un consentimiento válido para la instalación de cookies publicitarias. Clearview AI fue sancionada con 20 millones de euros el 17 de octubre de 2022, por una recopilación masiva de fotografías sin base legal. Estos importes se refieren a tratamientos internacionales a muy gran escala, no al caso de una pyme que documenta su proceso. Fuente: deliberación SAN-2023-009, Légifrance →
La realidad de la mayoría de los expedientes de la CNIL
En la misma página oficial de la CNIL que enumera las deliberaciones, una parte importante de las sanciones publicadas se cuenta en miles de euros, no en millones: una agencia de publicidad sancionada con 3.000 euros, dos médicos con 3.000 y 6.000 euros, un servicio de reparto de comidas con 20.000 euros. La sanción es proporcional al tamaño y a la gravedad, no un hachazo uniforme. Fuente: CNIL, las sanciones impuestas →
Lo que hay que recordar
Una EIPD bien elaborada no vuelve intocable a una organización: constituye la prueba, en caso de inspección, de que el asunto se tomó en serio. Es precisamente lo que el artículo 83.2 del RGPD pide tener en cuenta para fijar, o no fijar, una multa.
Su autoridad de control, según su país
En Europa, cada país tiene sus propias autoridades. A continuación, para los 30 países del Espacio Económico Europeo, encontrará la autoridad de protección de datos (su interlocutor en materia de RGPD) y la autoridad nacional de ciberseguridad. Cada nombre enlaza con el sitio oficial.
Fuentes: sitios oficiales de las autoridades y lista de miembros del EDPB (edpb.europa.eu), consultados el 18 de julio de 2026. Autoridades de protección de datos confirmadas: 30/30. Autoridades de ciberseguridad confirmadas: 28/30. Las menciones «por confirmar» indican una fuente oficial aún no consolidada a día de hoy.
¿Listo para documentar su EIPD?
Descríbanos su tratamiento y nos pondremos en contacto con un presupuesto personalizado.
Su propio Microsoft 365: la puntuación gratuita
SYAGA Audit lee la configuración de seguridad de su Microsoft 365 y le entrega una puntuación gratuita, punto por punto. Es solo lectura: dentro de los límites de los derechos que Microsoft permite conceder para la lectura pura, e incluso cuando un derecho permitiera actuar, nosotros solo leemos. Esta puntuación describe hechos de configuración; no garantiza la conformidad.