Evaluación de impacto en protección de datos (DPIA): cuándo la exige la ley

1. Qué es una DPIA

La evaluación de impacto en protección de datos —Data Protection Impact Assessment— es el análisis previo a la puesta en marcha de un tratamiento de datos que probablemente entrañe alto riesgo para los derechos de las personas. La regula el artículo 35 del Reglamento General de Protección de Datos y su función es identificar los riesgos y las medidas para mitigarlos antes de tratar los datos, no después.

1.1. Análisis previo, no informe posterior

La palabra clave del artículo 35 es «previo». La DPIA se realiza antes de empezar el tratamiento, no cuando ya está en marcha y aparece un incidente. Documentar un tratamiento en curso mediante DPIA no repara la falta de análisis previo aunque sirva para regularizar hacia adelante, y esa distinción tiene consecuencias en el régimen sancionador si aparece una denuncia.

1.2. Función clínica de la DPIA

La DPIA no es un ejercicio administrativo para complacer a la AEPD: es una herramienta de gestión que revela riesgos concretos del propio tratamiento y obliga a decidir medidas específicas. Un tratamiento con DPIA bien hecha entra en producción con menos incidencias previsibles que uno arrancado sin ese análisis, y la diferencia se nota más cuando aparece el primer conflicto real.

1.3. Lo que este artículo no cubre

Este artículo no ofrece asesoría jurídica de caso concreto ni sustituye la valoración del delegado de protección de datos. Cuenta cuándo la norma exige DPIA, qué contiene habitualmente y cómo se documenta. La decisión sobre si un tratamiento concreto la exige y cómo se realiza en una clínica específica es de dirección clínica con el DPO, tratado en DPO en clínicas sanitarias.

2. Cuándo es obligatoria

El artículo 35 del RGPD y las guías que la AEPD publica sobre su aplicación identifican los supuestos concretos en los que la DPIA es obligatoria. En clínica sanitaria varios de esos supuestos aparecen con frecuencia sin que la dirección los identifique como tales.

2.1. Tratamiento a gran escala de datos de salud

El tratamiento a gran escala de categorías especiales —los datos de salud lo son— exige DPIA. La expresión «gran escala» se ha ido acotando por la doctrina de las autoridades de control europeas: número de pacientes atendidos, volumen de datos, alcance geográfico, duración del tratamiento. Una consulta unipersonal difícilmente cumple el criterio; una policlínica multisede con miles de pacientes, sí.

2.2. Uso de tecnologías nuevas sobre datos sensibles

La introducción de sistemas de inteligencia artificial para asistir al diagnóstico o al triaje, la implantación de reconocimiento facial en el acceso, el uso de dispositivos de monitorización remota del paciente. Cada una de esas incorporaciones dispara la obligación de DPIA por el simple hecho de introducir una tecnología nueva sobre datos sensibles, con independencia del volumen.

2.3. Monitorización sistemática de la actividad del paciente

Cuando la clínica implementa monitorización continua de constantes, seguimiento remoto de tratamientos, aplicación móvil que envía datos periódicos, el tratamiento adquiere carácter sistemático y exige DPIA. La distinción con el simple seguimiento clínico ordinario es que el análisis periódico y no puntual convierte la operativa en tratamiento sujeto al artículo 35.

3. Datos sensibles y la DPIA

Los datos de salud son categoría especial. La DPIA se apoya en esa clasificación para valorar.

Los datos de salud son categoría especial por definición del RGPD y su tratamiento se somete a un régimen reforzado. La DPIA se apoya en esa clasificación para valorar el nivel de riesgo del tratamiento concreto que se analiza.

3.1. Qué eleva el riesgo dentro de datos ya sensibles

Aunque los datos de salud son sensibles por defecto, algunos tratamientos elevan el riesgo aún más: datos genéticos, datos biométricos usados para identificación, datos sobre la vida sexual, datos sobre salud mental, datos de menores. Cada uno de esos matices exige valoración específica dentro de la DPIA y puede llevar a medidas de protección adicionales sobre las generales de la clínica.

3.2. La distinción entre datos de salud y datos administrativos

La misma clínica trata datos de salud —historia clínica, diagnósticos, tratamientos— y datos administrativos —facturación, gestión de citas, comunicaciones—. Cada categoría tiene su propia base legal y su propio análisis de riesgo. Una DPIA sobre la historia clínica es más exigente que una sobre la agenda de citas, aunque ambas sean tratamientos que la clínica realiza y ambas figuren en el RAT.

3.3. La ponderación de los interesados

El análisis de riesgo tiene que ponderar quién es el interesado y qué consecuencias concretas puede sufrir. Un paciente adulto en tratamiento ambulatorio ordinario no corre el mismo tipo de riesgo que un menor en tratamiento de salud mental; la DPIA tiene que reflejar esa diferencia con medidas concretas de mitigación, no con fórmulas genéricas aplicables por igual.

4. Metodología habitual

El artículo 35 del RGPD no impone metodología concreta. En la práctica, la AEPD publica guías con estructura recomendada y varias autoridades de control europeas mantienen plantillas ampliamente utilizadas. La estructura habitual sigue un patrón reconocible.

4.1. Descripción del tratamiento

Descripción sistemática del tratamiento y de las finalidades, incluida la base legal, los interesados afectados, las categorías de datos, los flujos entre sistemas, los encargados que intervienen y las medidas técnicas y organizativas ya implementadas. Esta primera parte es descriptiva y no valorativa.

4.2. Evaluación del riesgo

Análisis de los riesgos concretos para los derechos y libertades de los interesados, con identificación de amenazas específicas y valoración cualitativa o cuantitativa de probabilidad e impacto. La evaluación es la parte técnica de la DPIA y la que exige criterio experto: un formulario relleno con casillas por defecto no es evaluación de riesgo.

4.3. Medidas de mitigación

Medidas concretas para mitigar los riesgos identificados: cifrado, control de accesos, seudonimización, retención acotada, formación específica del personal, protocolos de respuesta a incidentes. Cada medida tiene que responder a un riesgo concreto identificado en el paso anterior y quedar vinculada a él en el documento.

5. El registro del DPO

La DPIA se realiza recabando el asesoramiento del delegado de protección de datos, cuando la clínica tiene DPO designado. El DPO no la firma —la firma el responsable del tratamiento— pero interviene en su realización y su opinión queda registrada.

5.1. Consulta al DPO antes de arrancar

El artículo 35 exige recabar el asesoramiento del DPO al realizar la DPIA. Ese asesoramiento se produce antes de la puesta en marcha del tratamiento y se documenta en el propio informe. La ausencia de intervención documentada del DPO en una DPIA obligatoria es una laguna que la AEPD identifica en auditoría con relativa facilidad.

5.2. El registro de DPIA como herramienta interna

El DPO mantiene un registro interno de las DPIA realizadas, con su fecha, el tratamiento analizado, las medidas de mitigación propuestas y el estado de implantación. Ese registro es una herramienta de gestión útil para la revisión periódica del cumplimiento del centro y para la coordinación con los cambios en el RAT.

5.3. La revisión periódica de la DPIA

Una DPIA no es un documento estático: exige revisión cuando cambia el tratamiento analizado o cuando se detectan riesgos que la evaluación original no anticipó. La revisión es responsabilidad conjunta de la clínica y del DPO, y la práctica habitual es documentar la revisión con un anexo que actualice las partes afectadas sin reemplazar el documento original.

6. Consulta previa a la AEPD

Cuando la DPIA concluye que el tratamiento entrañaría un alto riesgo que la clínica no puede mitigar suficientemente con las medidas a su alcance, el artículo 36 obliga a consultar previamente a la Agencia Española de Protección de Datos antes de iniciar el tratamiento.

6.1. Cuándo hay que consultar

La consulta previa procede cuando la DPIA concluye alto riesgo residual pese a las medidas de mitigación consideradas. No procede cuando la DPIA concluye que las medidas mitigan el riesgo a niveles aceptables. La distinción es técnica y la doctrina del DPO y de las autoridades europeas ayudan a aplicarla en cada caso concreto.

6.2. Qué se le entrega a la AEPD

La consulta va acompañada de la DPIA completa, la descripción del tratamiento y sus fines, las medidas de mitigación consideradas, los datos de contacto del DPO cuando exista, y cuanta información adicional pueda solicitar la Agencia durante el procedimiento. La consulta se dirige al servicio específico de la AEPD por los canales oficiales.

6.3. Plazo de respuesta y efectos

La AEPD dispone de plazo para responder con recomendaciones sobre el tratamiento propuesto. Durante ese plazo la clínica no puede iniciar el tratamiento consultado. La consulta previa es un mecanismo poco frecuente en la clínica sanitaria ordinaria pero exigible cuando aparece, y la valoración de su procedencia es una de las decisiones más delicadas del DPO cuando se enfrenta a la DPIA.

7. Retención del documento

La DPIA es documento interno de la clínica y se conserva mientras dure el tratamiento evaluado, con las revisiones que se hayan realizado. No es documento público ni se entrega salvo requerimiento de la autoridad de control.

7.1. Conservación durante la vigencia del tratamiento

Mientras el tratamiento sigue en curso, la DPIA se conserva con todas sus revisiones. La versión original y sus actualizaciones sucesivas forman parte del expediente de cumplimiento del tratamiento y viven en el sistema documental de la clínica junto con el RAT y los contratos con encargados.

7.2. Conservación tras el fin del tratamiento

Cuando el tratamiento evaluado termina —por cambio de operativa, por sustitución tecnológica, por fin de servicio—, la DPIA se conserva durante un plazo razonable posterior por la eventualidad de reclamaciones o de auditorías retrospectivas. La práctica habitual es conservar cinco años como referencia, aunque el plazo concreto depende de la valoración jurídica del centro.

7.3. La accesibilidad a la AEPD

La DPIA es accesible a la AEPD en el momento en que la Agencia la requiera en el ejercicio de sus funciones de inspección o de tramitación de un procedimiento sancionador. La entrega es en formato electrónico legible; no es documento de publicación obligatoria, tema tratado en auditoría RGPD para clínicas: checklist paso a paso.

8. Sanción por no hacerla

Una DPIA seria separa una respuesta ordenada de una improvisación bajo presión.

El régimen sancionador del RGPD contempla la falta de DPIA cuando era obligatoria como infracción autónoma. La AEPD la tipifica y la sanciona con las cuantías que la propia norma establece, con las agravantes correspondientes.

8.1. La ausencia como infracción

Iniciar un tratamiento que exigía DPIA sin haberla realizado es infracción del artículo 35 sancionable con multa administrativa. La cuantía depende del régimen aplicable —artículo 83 del RGPD— y se pondera con las circunstancias del caso concreto: gravedad, duración, medidas adoptadas, cooperación con la Agencia.

8.2. La DPIA formal pero vacía

La AEPD ha aplicado en varias resoluciones la doctrina de que una DPIA meramente formal —hecha para cumplir el trámite pero sin criterio técnico real ni intervención del DPO— no cumple la obligación del artículo 35. La sanción por DPIA vacía es asimilable a la sanción por ausencia de DPIA cuando el análisis no aporta valor real de protección.

8.3. El efecto sobre otras posibles infracciones

La ausencia de DPIA suele salir a la luz cuando aparece una incidencia sobre el tratamiento no evaluado —brecha de seguridad, denuncia del paciente, requerimiento AEPD por otro motivo—. En ese contexto, la falta de DPIA agrava la valoración de las otras posibles infracciones, tema tratado en sanciones de la AEPD a clínicas sanitarias.

9. Qué aporta obeliOmed

La DPIA es responsabilidad de la clínica y no la realiza el software clínico. Lo que sí aporta un sistema clínico bien construido es información técnica sobre los tratamientos que el propio software realiza como encargado, información que el centro y su DPO necesitan para redactar una DPIA con precisión sobre los tratamientos que involucran al sistema.

9.1. La información técnica que el DPO necesita

En obeliOmed el responsable de la clínica dispone de la información necesaria para redactar la DPIA sobre los tratamientos que apoyan el software: qué datos trata el sistema, qué medidas técnicas aplica —cifrado, control de accesos, trazabilidad—, en qué infraestructura viven los datos —servidores en España—, qué encargados intervienen en el circuito. Esa información se entrega al centro y al DPO cuando revisan la evaluación, sin exigir reconstrucción manual. La DPIA sigue siendo de la clínica; lo que el sistema aporta es no dejarla sin los datos que necesita para valorar el riesgo con criterio.

9.2. Con qué se combina

La DPIA se apoya en el resto del despliegue del RGPD: RAT actualizado, contratos con encargados, medidas de seguridad. Todo eso vive en el mismo circuito, sostenido por el pilar del cumplimiento en RGPD en clínicas privadas.