Evaluación de Impacto en la Protección de Datos (DSFA) según el Art. 35 DSGVO — guía práctica

La Evaluación de Impacto en la Protección de Datos (DSFA) según el Art. 35 DSGVO es el instrumento central para detectar a tiempo los riesgos para los interesados. Quien emplea procedimientos especialmente arriesgados —por ejemplo procedimientos de perfilado a gran escala, evaluaciones con IA o el tratamiento de volúmenes de datos sensibles— debe evaluar sistemáticamente los riesgos y adoptar medidas. Esta guía explica cuándo es necesaria una DSFA, qué debe contener y cómo la redacción automática de documentos reduce eficazmente el riesgo.

¿Qué es una Evaluación de Impacto en la Protección de Datos?

La Evaluación de Impacto en la Protección de Datos (DSFA, en inglés: Data Protection Impact Assessment, DPIA) es un proceso estructurado conforme al Art. 35 apdo. 1 DSGVO. Sirve para evaluar sistemáticamente los efectos de operaciones de tratamiento previstas o existentes sobre los derechos y libertades de las personas físicas y para definir a tiempo medidas de mitigación del riesgo.

A diferencia del registro de actividades de tratamiento (Art. 30 DSGVO), que se limita a documentar lo que se trata, la DSFA examina concretamente los riesgos de ese tratamiento: ¿qué amenazas existen? ¿cuán probables son? ¿qué daños pueden producirse? ¿y qué medidas técnicas y organizativas mitigan los riesgos? El resultado no es un fin en sí mismo, sino una base para la decisión: ¿permanece el riesgo residual aceptable, o debe adaptarse el tratamiento —en caso de duda no llevarse a cabo—?

¿Cuándo es necesaria una DSFA?

El Art. 35 apdo. 1 DSGVO exige una DSFA siempre que una forma de tratamiento presente probablemente un alto riesgo para los derechos y libertades de las personas físicas. Esto se concreta en el Art. 35 apdo. 3 DSGVO mediante tres catálogos legales en los que una DSFA es obligatoria:

• Evaluación sistemática y exhaustiva de aspectos personales: Cuando las operaciones de tratamiento se basan en un tratamiento automatizado —incluido el perfilado— y constituyen la base de decisiones que producen efectos jurídicos sobre el interesado o lo afectan de manera similarmente relevante.
• Tratamiento extensivo de categorías especiales de datos: Cuando se tratan a gran escala datos conforme al Art. 9 apdo. 1 DSGVO —esto es, datos de salud, datos biométricos o genéticos, datos sobre la vida sexual o las opiniones políticas, la afiliación sindical, el origen étnico o las convicciones religiosas—.
• Vigilancia sistemática a gran escala: Cuando se vigilan de forma extensa y sistemática zonas de acceso público —por ejemplo mediante videovigilancia, sensores o captura automatizada de matrículas—.

El Comité Europeo de Protección de Datos (CEPD) ha definido además en sus directrices sobre DSFA (WP248 rev.01) una serie de criterios que, individualmente o en combinación, pueden fundamentar un alto riesgo: evaluación o predicción del comportamiento, vigilancia sistemática, datos sensibles o datos de alta intimidad, datos sobre personas vulnerables (niños, empleados), grandes volúmenes de datos, combinación o cruce de conjuntos de datos, tecnologías innovadoras (p. ej. IA, biometría), exclusión del ejercicio de derechos y muchos más. En cuanto coinciden dos de estos criterios, una DSFA es por regla general obligatoria.

En Alemania, el § 35 BDSG complementa los requisitos. Para tratamientos que no exigen un acceso habitual a expedientes o a información corporal y que no se realizan total o parcialmente de forma automatizada a gran escala, una DSFA solo es necesaria cuando el tratamiento presenta probablemente un alto riesgo para los derechos y libertades de los interesados. En la práctica se cita a menudo una regla orientativa según la cual un indicador de riesgo en el orden de magnitud de al menos 75 empleados con tratamiento automatizado de forma regular puede servir como punto de partida para un examen más detallado —pero no se trata de un umbral legal rígido—. La decisión corresponde al responsable y debe justificarse, en caso de duda, ante la autoridad de control.

¿Qué debe contener una DSFA?

Según el Art. 35 apdo. 7 DSGVO, toda Evaluación de Impacto en la Protección de Datos debe comprender al menos tres elementos:

1. Descripción sistemática de las operaciones de tratamiento y sus finalidades. ¿Qué se trata exactamente, de dónde provienen los datos, a quién se transmiten, durante cuánto tiempo se almacenan, qué técnica se emplea? Ya este inventario obliga al responsable a la precisión y a menudo pone al descubierto componentes del tratamiento que antes no estaban completamente capturados.

2. Evaluación de la necesidad y la proporcionalidad. ¿Son las operaciones de tratamiento realmente necesarias para la finalidad? ¿Existen alternativas más respetuosas con la protección de datos (economía de datos)? ¿Es el tratamiento adecuado en relación con la finalidad? Aquí entran los principios del Art. 5 DSGVO —en especial la minimización de datos (Art. 5 apdo. 1 let. c) y la limitación del almacenamiento—.

3. Evaluación de los riesgos para los derechos y libertades de los interesados. ¿Qué amenazas son concebibles para los interesados —por ejemplo robo de identidad, discriminación, daño financiero, daño reputacional, pérdida de control sobre los propios datos—? ¿Cuán probable es su ocurrencia y cuán grave sería el daño? Esta evaluación de riesgos se realiza típicamente en una matriz de probabilidad y gravedad.

Adicionalmente exige el Art. 35 apdo. 7 let. d DSGVO las medidas para gestionar los riesgos —es decir, medidas técnicas y organizativas (TOM), garantías y procedimientos—. Justo aquí es donde entra la redacción automática como medida eficaz.

La redacción como medida de minimización del riesgo

Cuando en el marco de un procedimiento de alto riesgo se tratan documentos con datos personales —por ejemplo en solicitudes de información (Art. 15 DSGVO), accesos a expedientes, peticiones IFG, divulgación de informes o la entrega de expedientes personales—, la redacción automática es una de las medidas más eficaces de mitigación del riesgo. Interviene en varios puntos:

Minimización de datos según el Art. 5 apdo. 1 let. c DSGVO. Quien redacta sistemáticamente antes de la transmisión reduce el volumen de datos personales revelados a lo estrictamente necesario para la finalidad. Con ello disminuye drásticamente el riesgo para los interesados —y a la vez la probabilidad de una infracción de protección de datos para el responsable—.

Protección de datos desde el diseño (Art. 25 DSGVO). Privacy by Design exige que los sistemas se diseñen de modo que desde el principio solo se traten los datos necesarios. La integración de un reconocimiento y una redacción automáticos en el flujo de trabajo de liberación es un ejemplo clásico de una medida de protección integrada.

Medida eficaz según el Art. 32 DSGVO. El DSGVO exige medidas técnicas "adecuadas" para garantizar la integridad y confidencialidad. Una redacción irreversible que elimina el texto físicamente del PDF —y no solo lo cubre ópticamente— es una de esas medidas. Una simple barra negra no basta, porque el texto subyacente permanece en el content-stream del PDF y puede reconstruirse con medios sencillos.

Datenmaske apoya a los responsables justamente en este punto: la detección automática de datos personales (nombres, IBAN, direcciones de correo electrónico, números de teléfono, direcciones, números de la seguridad social) combinada con la eliminación irreversible del PDF reduce de forma documentable el riesgo de una transmisión inadmisible en el sentido de la DSFA. El protocolo de redacción cifrado y seguro sirve así como prueba de las medidas adoptadas ante las autoridades de control. En caso necesario, la redacción puede inscribirse directamente en el análisis de riesgos de la DSFA como medida de control.

Consejo práctico: vincule la DSFA con un proceso de liberación claro. Antes de que los documentos salgan al exterior, se comprueban automáticamente en busca de PII, las propuestas las confirma un especialista, se exporta el PDF redactado y se documenta la operación. Así surge un proceso trazable que satisface tanto los requisitos del DSGVO como las exigencias de una DSFA. Pruebe el Free-Check para vivir la detección automática en un documento concreto y lea la detallada guía DSGVO de redacción para integrarla en su proceso de cumplimiento.

Consulta a la autoridad de control según el Art. 36 DSGVO

Si tras la realización de la DSFA permanece un alto riesgo residual que el responsable no puede mitigar con medidas propias, el Art. 36 DSGVO exige la consulta a la autoridad de control. Esta decide si el tratamiento se ajusta al Reglamento y qué condiciones aplican. En la práctica este caso es raro cuando la mitigación del riesgo se implementa de forma consecuente —por ejemplo mediante TOM robustas como el cifrado, la seudonimización y, desde luego, la redacción—. La DSFA no es, pues, solo una obligación, sino también protección: quien la realiza y documenta cuidadosamente dispone, en caso de daño, de un importante documento exonerador.

Conclusión

La Evaluación de Impacto en la Protección de Datos no es un ejercicio burocrático, sino una herramienta pragmática de gestión del riesgo. Quien responde de procedimientos de alto riesgo se beneficia de una clara documentación de los riesgos y de las medidas. La redacción automática de documentos desempeña en ello un papel central: minimiza el volumen de datos en la transmisión, satisface el Art. 5 apdo. 1 let. c (minimización de datos) y el Art. 25 DSGVO (Privacy by Design) y es documentable como medida técnica según el Art. 32 DSGVO. Con ello la DSFA se convierte en un cimiento sólido del cumplimiento de la protección de datos —y no en un mero ejercicio de papel—.