El RGPD exige una Evaluación de Impacto relativa a la Protección de Datos para todo tratamiento que pueda entrañar un riesgo elevado para los derechos y libertades de las personas. SYAGA DPIA-Express estructura y documenta su EIPD según la metodología del artículo 35 y las directrices del CEPD, sin improvisación y sin jerga.
Determinar si su tratamiento debe someterse a una EIPD, y luego realizarla conforme a las reglas
Todo tratamiento que pueda entrañar un riesgo elevado para los derechos y libertades de las personas físicas debe ser objeto de una Evaluación de Impacto relativa a la Protección de Datos antes de su puesta en marcha (RGPD, art. 35).
El CEPD (antiguo G29, directrices WP248 rev.01) definió 9 criterios de riesgo elevado. En cuanto un tratamiento cumple al menos dos de estos criterios, en principio debe realizarse una EIPD: basta con identificar mal un solo elemento para que el expediente quede incompleto.
La CNIL (autoridad francesa de protección de datos) publica listas de tratamientos para los que la EIPD es obligatoria o no. Determinar con precisión dónde se sitúa su tratamiento exige una lectura rigurosa, no una impresión general.
Realizar una EIPD con demasiada premura expone a la incompletud ante una autoridad de control; no realizarla cuando es obligatoria expone a la organización a un incumplimiento del artículo 35. El método CNIL estructura esta decisión y la documenta.
La estructura exigida por el artículo 35.7 del RGPD, aplicada a su tratamiento, con una conclusión motivada en cada etapa
Análisis frente a los 3 supuestos del artículo 35.3, la tabla de los 9 criterios del CEPD (WP248 rev.01) y las listas CNIL de tratamientos obligatorios o no obligatorios. Conclusión motivada, sea la EIPD finalmente obligatoria o no.
Finalidades, categorías de datos e interesados, destinatarios, plazos de conservación: la cartografía completa exigida por el artículo 35.7.a, coherente con su registro de actividades de tratamiento (art. 30).
Verificación de que cada dato recogido es necesario para la finalidad perseguida, de que la base jurídica (art. 6) está identificada para cada tratamiento, y de que se respeta el principio de minimización de datos (art. 5.1.c).
Para cada riesgo identificado: gravedad, probabilidad, medidas ya implantadas, riesgo residual, presentado en forma de tabla utilizable por su dirección o su DPO.
Medidas técnicas y organizativas previstas (art. 32), conclusión motivada y justificación documentada en virtud del principio de responsabilidad proactiva (accountability, art. 5.2), utilizable en caso de inspección de la CNIL.
Un documento estructurado, con fuentes, y honesto sobre lo que aún debe validar su asesor jurídico o su DPO
El documento completo siguiendo el artículo 35.7 (a a d), con una conclusión motivada.
El análisis previo que determina si su tratamiento entra en el ámbito de la obligación.
La EIPD se apoya en la misma base que su registro de actividades de tratamiento.
Cada punto de incertidumbre se señala explícitamente, nunca se decide en su lugar.
Cada afirmación jurídica está sustentada en fuentes, no afirmada de memoria.
Entregado en un formato editable, reutilizable por su DPO o su asesor jurídico.
Un método basado en los textos y las autoridades, no en interpretaciones propias
Evaluación de impacto relativa a la protección de datos. Texto consolidado del Reglamento (UE) 2016/679 (EUR-Lex, CELEX 32016R0679).
Los 9 criterios de riesgo elevado del CEPD (antiguo G29), adoptados por la CNIL como método de referencia para determinar la obligación de EIPD.
Listas de tratamientos para los que la EIPD es obligatoria o no, y método CNIL para realizar una evaluación de impacto.
Registro de actividades de tratamiento: la base de coherencia (finalidades, datos, plazos) en la que se apoya toda EIPD.
El alcance depende del número de tratamientos, de su complejidad y de lo que ya esté documentado en su organización. Presupuesto elaborado tras un primer contacto.
No sabe si su tratamiento está afectado
Tratamiento identificado de riesgo elevado
Varios tratamientos de riesgo por cubrir
Una EIPD nunca es definitiva
El artículo 35.11 del RGPD obliga a revisar el análisis en caso de cambio significativo del tratamiento (nuevo encargado del tratamiento, cambio de alojamiento, ampliación del alcance de la recogida). El presupuesto de revisión se establece caso por caso.
Lo que dice realmente el texto, explicado en lenguaje sencillo. Cada punto conserva su enlace al documento oficial.
Una EIPD es simplemente un trabajo de evaluación: se analizan los riesgos que un tratamiento de datos supone para las personas, antes de ponerlo en marcha. La CNIL la define como «un proceso formal que permite evaluar los riesgos relacionados con el tratamiento de datos personales». No es un trámite administrativo más, es una herramienta de sentido común que el RGPD convierte en obligatoria en determinados casos. Fuente: CNIL →
No hace falta ser una gran empresa para estar afectado. La CNIL considera que una EIPD es obligatoria en cuanto un tratamiento cumple al menos dos de estas nueve situaciones: calificar o evaluar a personas, tomar una decisión automatizada que tenga un efecto real sobre ellas, vigilarlas de forma sistemática, recopilar datos sensibles (salud, origen, etc.), recopilar a gran escala, cruzar varias bases de datos, dirigirse a personas vulnerables (empleados, pacientes, menores...), utilizar una tecnología nueva, o privar a alguien de un derecho o de un servicio. Fuente: CNIL →
Para evitar tener que adivinar, la CNIL ha publicado dos listas oficiales: una lista de 14 tipos de tratamientos en los que la EIPD es obligatoria (datos de salud, evaluación de RR. HH., vigilancia de empleados, geolocalización a gran escala...), y una lista de 12 tipos en los que no se requiere (nómina y gestión de personal de menos de 250 empleados sin evaluación, gestión de proveedores, historial de un paciente de un profesional sanitario que ejerce solo...). Estas listas no cubren todos los casos, pero ya responden a muchas situaciones habituales. Fuente: lista CNIL de los tratamientos exigidos →
El RGPD (artículo 35) no pide una novela, sino cuatro elementos precisos: describir el tratamiento y su finalidad, comprobar que es realmente necesario y proporcionado, evaluar los riesgos para las personas afectadas, y por último enumerar las medidas previstas para reducir esos riesgos. Una conclusión clara al final: si el tratamiento es aceptable, y en qué condiciones. Fuente: RGPD, artículo 35 →
Si su organización ha designado un Delegado de Protección de Datos, el RGPD exige pedirle consejo en el momento de realizar la EIPD, y encargarle que verifique que el análisis se ha llevado a cabo correctamente. Es una salvaguarda, no una simple casilla que marcar: consultar al DPO sigue siendo el reflejo correcto antes de validar una conclusión. Fuente: RGPD, artículos 35 y 39 →
Si, a pesar de las medidas previstas, el tratamiento sigue presentando un riesgo elevado para las personas, el RGPD exige consultar a la CNIL antes de iniciarlo. Esta dispone entonces de ocho semanas para emitir su dictamen por escrito (ampliable en seis semanas si el expediente es complejo). Un dato tranquilizador: este caso sigue siendo la excepción, no la regla. Fuente: RGPD, artículo 36 →
La CNIL recuerda que las multas del RGPD pueden alcanzar hasta 10 millones de euros o el 2% de la facturación anual mundial, según cuál sea el importe más elevado. Es un tope legal, no una fatalidad: una EIPD bien elaborada es precisamente lo que permite demostrar, en caso de inspección, que la cuestión se tomó en serio. Fuente: CNIL →
El Comité Europeo de Protección de Datos (CEPD/EDPB) sometió a consulta pública, del 14 de abril al 9 de junio de 2026, un proyecto de modelo único de EIPD destinado a armonizar las prácticas entre los países europeos. La consulta ya está cerrada; seguimos el curso de este proyecto para informar a nuestros clientes en el momento oportuno. Fuente: EDPB →
Antes de saber cómo realizar una EIPD, hay que saber si uno está afectado. Este es el alcance exacto, tal como lo definen el RGPD y la CNIL, sin suspense innecesario.
El RGPD no fija ningún umbral de plantilla para la obligación de EIPD. Su artículo 35 impone este análisis al «responsable del tratamiento», cualquiera que sea su forma (asociación, autónomo, pyme, entidad pública, gran grupo), en cuanto un tratamiento «entrañe probablemente un alto riesgo para los derechos y libertades de las personas físicas». Trampa frecuente que evitar: el umbral de 250 empleados existe efectivamente en el RGPD, pero se refiere a una dispensa parcial del registro de actividades de tratamiento (artículo 30), no a la EIPD. Una empresa de 5 empleados puede estar afectada; un grupo de 2000 empleados puede no estarlo: todo depende del tratamiento, nunca del tamaño de la estructura. Fuente: RGPD, artículo 35 (reproducido por la CNIL) →
El artículo 35 se refiere al «responsable del tratamiento» en sentido amplio: tanto una empresa privada como una administración, una entidad local, una asociación o un centro sanitario. El texto contempla incluso explícitamente el caso de una «observación sistemática a gran escala de una zona de acceso público», que típicamente se refiere a un ayuntamiento o una entidad de vivienda social que instala videovigilancia en la vía pública, no solo a una empresa comercial. Fuente: RGPD, artículo 35, apartado 3 →
La CNIL y el antiguo Grupo del artículo 29 (convertido en Comité Europeo, EDPB) fijaron nueve criterios en sus directrices de referencia (WP248). En cuanto un tratamiento reúne al menos dos, la EIPD se vuelve obligatoria: calificar o evaluar a personas, decidir automáticamente algo que las afecte, vigilarlas de forma sistemática, tratar datos sensibles, tratar a gran escala, cruzar ficheros, dirigirse a personas vulnerables (empleados, pacientes, menores), utilizar una tecnología nueva, o privar a alguien de un derecho o de un contrato. Fuente: CNIL, directrices GT29/EDPB (WP248) →
En la práctica, la doctrina de la CNIL vincula típicamente a estos criterios: una consulta médica o una clínica que trata datos de salud a gran escala, un departamento de RR. HH. que utiliza una herramienta de calificación o evaluación de empleados, una empresa equipada con tarjetas de acceso y videovigilancia sistemática de sus locales abiertos al público, una entidad de crédito o de recobro que practica el scoring, o un dispositivo conectado de salud que recopila datos de hábitos de vida. Fuente: CNIL, lista de los 14 tratamientos con EIPD obligatoria →
La CNIL también ha publicado una lista de 12 tipos de tratamientos para los que NO se requiere la EIPD: por ejemplo la nómina y la gestión de personal de una entidad de menos de 250 empleados (sin evaluación), el historial de un paciente de un profesional sanitario que ejerce solo, o la gestión habitual de proveedores. Un dato tranquilizador para muchas microempresas: tener empleados o clientes no basta, por sí solo, para desencadenar la obligación. Fuente: CNIL, lista de los 12 tratamientos sin EIPD →
Sin jerga de abogados: respuestas sencillas, cada una respaldada por el texto oficial que la fundamenta.
Las fechas que realmente importan, con sus fuentes, para saber qué es ya obligatorio hoy y qué está por llegar.
El RGPD es aplicable desde el 25 de mayo de 2018, en toda Europa. La obligación de realizar una EIPD (artículo 35), las dos listas de la CNIL que indican cuándo es obligatoria o no, y las directrices europeas que explican cómo llevarla a cabo: todo esto está en vigor, es estable, y no depende de ninguna reforma futura. Es la base sobre la que puede apoyarse desde ahora mismo.
El Comité Europeo de Protección de Datos (CEPD) trabaja en un modelo único de EIPD para armonizar las prácticas entre países europeos. La consulta pública sobre este proyecto finalizó el 9 de junio de 2026; todavía no se ha comunicado ninguna fecha de publicación del modelo final. Nada obliga a esperar: el método de la CNIL sigue siendo válido mientras tanto.
El Parlamento Europeo y el Consejo adoptan el Reglamento 2016/679 el 27 de abril de 2016. Se publica en el Diario Oficial de la Unión Europea (DO L119) el 4 de mayo de 2016, y entra en vigor veinte días después, el 24 de mayo de 2016, sin ser todavía aplicable. Fuente: EUR-Lex, referencia oficial del reglamento →
Dos años después de su adopción, el reglamento se aplica por fin en toda Europa (artículo 99.2). Ese día es cuando la obligación de EIPD del artículo 35 se vuelve exigible, y cuando el Comité Europeo de Protección de Datos (CEPD) se constituye por primera vez, asumiendo las directrices sobre la EIPD ya redactadas (WP248 rev.01). Fuente: EUR-Lex, ficha del reglamento (artículo 99) → Fuente: CEPD, directrices asumidas →
Unos meses después de la entrada en aplicación del RGPD, la CNIL adopta su deliberación n.º 2018-327: una lista concreta de 14 tipos de tratamientos (datos de salud, evaluación de RR. HH., vigilancia de empleados...) para los que la EIPD debe realizarse sistemáticamente. Se acabó adivinar caso por caso. Fuente: CNIL →
Un año después, la CNIL completa su doctrina con la deliberación n.º 2019-118: una lista de los tratamientos para los que NO se requiere una EIPD (nómina de menos de 250 empleados sin evaluación, gestión de proveedores, historial de un profesional que ejerce solo...). Las dos listas de la CNIL, juntas, ya responden a mucha situaciones habituales sin tener que decidir uno mismo. Fuente: CNIL →
El CEPD sometió a consulta pública un proyecto de modelo de EIPD común, destinado a armonizar las prácticas entre los países europeos (hoy en día, cada autoridad nacional tiene un poco su propia plantilla). La consulta está cerrada desde el 9 de junio de 2026; todavía no es un texto aplicable, solo un proyecto en fase de examen. Fuente: CEPD →
El propio CEPD indica que el modelo «se finalizará, sujeto a las modificaciones oportunas», tras lo cual las autoridades nacionales iniciarán las gestiones para adoptarlo como modelo único, o como «metamodelo» compatible con los modelos ya existentes (entre ellos el de la CNIL). Hasta la fecha no se ha comunicado ninguna fecha: seguimos este asunto para avisar a nuestros clientes en cuanto haya algo concreto, sin anticipar nada. Fuente: CEPD →
Quién sanciona, cuánto, y con qué criterios. Sin dramatismo: la gran mayoría de los expedientes no tienen nada que ver con los importes que acaparan los titulares.
Es un órgano especializado de la CNIL, distinto del colegio que controla y asesora a diario, el que impone las sanciones. Dispone de varias herramientas graduales, no solo la multa: llamada al orden, apercibimiento, requerimiento formal (con o sin multa coercitiva), orden imperativa, limitación temporal o definitiva del tratamiento. La multa no es más que el último peldaño de la escala. Fuente: CNIL, las sanciones impuestas →
El RGPD (artículo 83) fija dos topes, reteniéndose el más elevado de los dos: hasta 10 millones de euros o el 2 % de la facturación mundial del ejercicio anterior por los incumplimientos de las obligaciones organizativas (seguridad, registro, DPO, evaluación de impacto...); hasta 20 millones de euros o el 4 % por las vulneraciones de los principios de fondo (base legal, consentimiento, derechos de las personas, transferencias fuera de la UE). Son topes, no importes automáticos. Fuente: RGPD, artículo 83 →
El artículo 83.2 exige a la autoridad tener en cuenta: la gravedad y la duración del incumplimiento, el carácter intencionado o la mera negligencia, las medidas ya adoptadas para limitar el daño, el grado de responsabilidad, los antecedentes, la cooperación con la autoridad, y la sensibilidad de los datos afectados. En la práctica: una organización que ha documentado su proceso (registro, EIPD, medidas de seguridad) y coopera se juzga de forma distinta a la que no ha hecho nada. Fuente: RGPD, artículo 83.2 →
El 10 de noviembre de 2022, la formation restreinte de la CNIL impuso una multa de 800.000 euros a Discord. Entre los incumplimientos apreciados: un plazo de conservación excesivo, un fallo de seguridad, y, en relación con el artículo 35 del RGPD, la falta de evaluación de impacto pese a que el tratamiento, a gran escala y que afectaba a menores, la requería. Es el ejemplo más directo del vínculo entre «sin EIPD documentada» y sanción impuesta. Fuente: deliberación SAN-2022-020, Légifrance →
Criteo fue sancionada con 40 millones de euros el 15 de junio de 2023, por no haber podido demostrar un consentimiento válido para la instalación de cookies publicitarias. Clearview AI fue sancionada con 20 millones de euros el 17 de octubre de 2022, por una recopilación masiva de fotografías sin base legal. Estos importes se refieren a tratamientos internacionales a muy gran escala, no al caso de una pyme que documenta su proceso. Fuente: deliberación SAN-2023-009, Légifrance →
En la misma página oficial de la CNIL que enumera las deliberaciones, una parte importante de las sanciones publicadas se cuenta en miles de euros, no en millones: una agencia de publicidad sancionada con 3.000 euros, dos médicos con 3.000 y 6.000 euros, un servicio de reparto de comidas con 20.000 euros. La sanción es proporcional al tamaño y a la gravedad, no un hachazo uniforme. Fuente: CNIL, las sanciones impuestas →
Lo que hay que recordar
Una EIPD bien elaborada no vuelve intocable a una organización: constituye la prueba, en caso de inspección, de que el asunto se tomó en serio. Es precisamente lo que el artículo 83.2 del RGPD pide tener en cuenta para fijar, o no fijar, una multa.
En Europa, cada país tiene sus propias autoridades. A continuación, para los 30 países del Espacio Económico Europeo, encontrará la autoridad de protección de datos (su interlocutor en materia de RGPD) y la autoridad nacional de ciberseguridad. Cada nombre enlaza con el sitio oficial.
Fuentes: sitios oficiales de las autoridades y lista de miembros del EDPB (edpb.europa.eu), consultados el 18 de julio de 2026. Autoridades de protección de datos confirmadas: 30/30. Autoridades de ciberseguridad confirmadas: 28/30. Las menciones «por confirmar» indican una fuente oficial aún no consolidada a día de hoy.
Descríbanos su tratamiento y nos pondremos en contacto con un presupuesto personalizado.
Gratis: su puntuación + sus brechas. El informe detallado y el certificado: 499 EUR sin IVA, solo si usted lo decide.
contact@syaga.eu Repasar el método CNIL