El Artículo 35(1) del RGPD exige una EIPD cuando el tratamiento "es probable que entrañe un alto riesgo para los derechos y libertades de las personas físicas". El EDPB (WP248 rev.01) publica nueve criterios — cumplir dos o más activa la obligación.
Una EIPD aceptada por la AEPD debe contener cuatro secciones obligatorias conforme al Artículo 35(7). Omitir cualquier sección invalida la evaluación.
El Artículo 36 obliga a la consulta previa cuando la EIPD muestre que el tratamiento entrañaría un alto riesgo residual sin medidas de mitigación. La guía AEPD es estricta aquí — esperan una presentación formal con la EIPD completa, la visión de riesgo del responsable, el dictamen del DPD y un plan de mitigación.
En nuestro ciclo de auditoría 2025, el 73% de las EIPD de PYME revisadas tenían al menos uno de estos defectos. Cada uno es sancionable de forma independiente.
Nuestra plantilla DOCX editable incluye las cuatro secciones, una matriz probabilidad × gravedad alineada con metodología ENISA, un mapeo al registro de actividades de tratamiento y un registro de riesgos conforme EDPB. La hemos usado en 80+ EIPDs PYME en España, Francia y Países Bajos sin rechazo de las autoridades.
Contáctenos para obtener asistencia personalizada con este problema.