MODELO DE INFORME DE EVALUACIÓN DE IMPACTO 
EN LA PROTECCIÓN DE DATOS (EIPD) 
PARA EL SECTOR PÚBLICO

Este modelo de informe está orientado a ayudar a los responsables a cumplir con las previsiones del Reglamento General de Protección de Datos cuando sea necesario realizar una Evaluación de Impacto para la Protección de Datos. 
El informe que se elabore por parte del responsable del tratamiento será una herramienta de trabajo para personas con distintos perfiles, entre ellas, personas que no estén habituadas a la terminología de protección de datos o, por otro lado, que no dominen aspectos técnicos del tratamiento. Por ello, el informe deberá de adaptarse en función de la audiencia a la que se dirija, de tal modo que podrá haber distintas versiones del informe en función de los distintos perfiles de los destinatarios. En cualquier caso, el lenguaje que se emplee, que deberá ser claro y explicativo, no ha de perder la precisión del análisis realizado.
Especial relevancia tendrá el lenguaje utilizado cuando el informe se destine a los gestores que, en base al mismo, tengan que aprobar y aplicar la EIPD y, en consecuencia, tomar decisiones relacionadas con el tratamiento o tratamientos de datos personales objeto de la EIPD. 
Este modelo contiene los capítulos y apartados mínimos que han de aparecer en la documentación de una EIPD. Dependiendo de su complejidad, la documentación de la EIPD podrá estar contenida en un único texto o en varios.
La EIPD es un proceso que se inserta dentro de la gestión del riesgo para los derechos y libertades de la ciudadanía. 
Partiendo de esta base, y en el marco de esa gestión del riesgo, el responsable del tratamiento debería proceder conforme a las recomendaciones que se señalan en la Guía práctica para la Gestión del riesgo y evaluación de impacto en tratamientos de datos personales sujetas al RGPD (en adelante la GUÍA).
De este modo, la EIPD ha de ir necesariamente mucho más allá de la mera cumplimentación del presente informe.
En ningún caso, los objetivos de una EIPD deberán entenderse de forma exclusiva en términos de cumplimiento sino en términos de gestión del riesgo para la protección de los derechos y libertades de las personas físicas.
Por otra parte, para el supuesto en que resulte necesario realizar una consulta a la AEPD con relación a la EIPD (RGPD Art. 36.1 y Considerando 94), el responsable de tratamiento deberá tener presente la lista de verificación (en adelante “la Lista”) publicada por la autoridad de control.
NOTA: Estos cuadros tienen el propósito de incluir una descripción de cada apartado del documento. No reemplazan a las Guías citadas y deberán eliminarse del informe final.
Versión de abril de 2022

I.	RESUMEN EJECUTIVO
En este apartado se deberán señalar los objetivos que se persiguen con la EIPD reflejando, de forma condensada, los aspectos más significativos de los capítulos que se desarrollan a lo largo de todo el documento. 
Este resumen contendrá la denominación de la actividad de tratamiento, la versión del documento, la identificación del responsable del tratamiento, de la unidad responsable en la organización, unidades gestoras de los datos que intervienen en alguna de las fases del tratamiento, encargados y subencargados del tratamiento y cesiones de datos previstas.
A su vez, incluirá una breve descripción del tratamiento, su finalidad, las principales categorías de datos, operaciones de tratamiento significativas y su planeada implementación, así como las conclusiones del análisis de necesidad, idoneidad y proporcionalidad del tratamiento y de las bases jurídicas que legitiman el tratamiento de los datos.
Finalmente, incluirá una breve descripción sobre el contexto de la EIPD y del proceso de gestión formal de los riesgos entre los que se incluirá una breve referencia a la metodología utilizada, la extensión y límites de la EIPD, los riesgos de privacidad identificados más significativos, las soluciones de gestión y técnicas planeadas, una síntesis del análisis del coste en privacidad con relación al beneficio para los sujetos de los datos y las conclusiones derivadas del riesgo residual y, en particular, la necesidad de realizar o no realizar una consulta previa a la AEPD.

II.	INDICE

I.	RESUMEN EJECUTIVO
II.	INDICE
III.	DATOS BÁSICOS
A.	Identificación del Responsable-RGPD
B.	Nombre y descripción del tratamiento
C.	Fecha prevista de inicio del tratamiento
D.	Fecha de fin del tratamiento o condiciones de caducidad
IV.	METODOLOGÍA DE LA EIPD
A.	Implicados en la ejecución de la EIPD
B.	Guías, herramientas, metodologías y normas utilizadas en la evaluación
C.	Extensión y límites de la EIPD: Identificar qué ha quedado fuera de la evaluación
D.	Proceso de aprobación del informe de la EIPD
V.	ANÁLISIS DE BASES JURÍDICAS DEL TRATAMIENTO Y CUMPLIMIENTO NORMATIVO
VI.	DESCRIPCIÓN DEL TRATAMIENTO
A.	Estudio a alto nivel del tratamiento
B.	Análisis estructurado del tratamiento
C.	Descripción del ciclo de vida de los datos
D.	Inventario de activos
E.	Casos de uso
VII.	IDENTIFICACIÓN Y ANÁLISIS DE LOS FACTORES DE RIESGO
A.	Identificación de los factores de riesgo
B.	Análisis de los factores de riesgo
C.	Análisis de los escenarios de brechas de datos personales
D.	Evaluación del riesgo intrínseco
VIII.	ANÁLISIS DE LA OBLIGACIÓN Y ANÁLISIS DE NECESIDAD DE REALIZAR UNA EIPD
A.	Inclusión del tratamiento en la lista de tratamientos exentos
B.	Aplicabilidad de la excepción prevista en el en el artículo 35.10 del RGPD
C.	Análisis de la inclusión del tratamiento en los casos de tratamientos obligados
IX.	CONTROLES PARA LA REDUCCIÓN DEL RIESGO
A.	Medidas sobre el concepto y diseño del tratamiento
B.	Medidas de gobernanza y las políticas de protección de datos
C.	Medidas de protección de datos desde el Diseño
D.	Medidas de Seguridad y de gestión de brechas de datos personales
E.	Reevaluación del riesgo
F.	Plan de acción de la gestión de riesgos
X.	ANÁLISIS DE LA NECESIDAD Y PROPORCIONALIDAD DEL TRATAMIENTO
A.	Juicio de idoneidad
B.	Juicio de necesidad
C.	Juicio de proporcionalidad en sentido estricto
XI.	NECESIDAD DE CONSULTA PREVIA
XII.	CONCLUSIONES Y RECOMENDACIONES
XIII.	MEMORANDO DEL DELEGADO DE PROTECCIÓN DE DATOS
A.	Visión del DPD
B.	Conclusiones y recomendaciones del DPD al responsable
XIV.	REFERENCIAS
XV.	ANEXOS

III.	DATOS BÁSICOS
A.	Identificación del Responsable-RGPD
Identificación de la Entidad Responsable-RGPD, y si procede identificación de corresponsables, así como del resto de intervinientes e implicados en el tratamiento con la definición inequívoca de sus obligaciones y tareas.
Breve descripción de la estructura de la organización, funciones y competencias. políticas, normas y estándares adoptados, objetivos de madurez de la organización y en general la cultura de la organización.
Señalar algunas de las características de la organización, como, por ejemplo, el número de personas implicadas en el tratamiento, sus perfiles, roles y la posible segregación de funciones a lo largo de todo el ciclo de vida del tratamiento. Identificación de todos los procesos de la organización que pueden estar relacionados o afectados por el tratamiento con relación al mapa de procesos de esta.
Identificación de un punto de contacto (POC) en la Entidad Responsable/corresponsable (si cabe DPD) así como cada uno de los responsables o POC de cada una de las unidades gestoras o unidades funcionales que intervienen en el tratamiento, con indicación expresa de la identidad y fecha de notificación del DPD a la autoridad de control en cumplimiento de las obligaciones que establece el Capítulo III de la LOPDGDD.
Detalles de la implicación del DPD en la EIPD en términos de asesoramiento, supervisión y ejecución.
Identificación de la unidad o unidades gestoras a cargo de la gestión del tratamiento dentro de la organización Responsable.
B.	Nombre y descripción del tratamiento
Nombre interno dado al tratamiento, denominación del mismo que se pretenda incluir en el Registro de Actividades de Tratamiento, en el inventario de actividades del tratamiento (LOPDGDD Art. 31.2), e identificación interna de la versión del tratamiento con indicación del historial de cambios y modificaciones realizadas sobre el tratamiento, si las hubiera, en cada una de las etapas del mismo.
Breve descripción del tratamiento, incluyendo la información establecida en el artículo 31 de la LOPDGDD (RGPD Art. 30) con relación al registro de actividades de tratamiento y al inventario de la actividad de tratamiento.
No hay que confundir un tratamiento con un fichero o una de las operaciones o técnicas empleadas en el tratamiento. El tratamiento está definido por su finalidad última (ver Apartado III.A de la GUÍA)
C.	Fecha prevista de inicio del tratamiento
Incluirá la fecha estimada en la que se prevé iniciar el tratamiento.
En caso de que el tratamiento se haya iniciado con anterioridad a la EIPD y/o a la consulta previa y se estime necesaria la consulta previa, se incluirá una justificación objetivamente motivada acerca de las razones por las que inicialmente no fue necesaria la EIPD o la consulta previa y de las razones por las que posteriormente se estimaron necesarias, de acuerdo con el apartado X.C de la GUÍA. Si el origen de la obligación de realizar una EIPD fuera un cambio normativo deberá señalarse la norma que lo motive.
D.	Fecha de fin del tratamiento o condiciones de caducidad
Se incluirá la fecha en la que se prevé finalizar el tratamiento y/o las condiciones de caducidad del mismo.
IV.	METODOLOGÍA DE LA EIPD
A.	Implicados en la ejecución de la EIPD 
De forma breve, se describirá el equipo de trabajo que ha realizado este informe y está implicado en la gestión del riesgo para los derechos y libertades, detallando sus roles, tareas, responsabilidades, etc. En este apartado podrá hacerse uso de una matriz RACI.
Si se ha recabado la opinión de los interesados o de sus representantes en el proceso de identificación y evaluación del riesgo para los derechos y libertades se deberá incluir describir su implicación en el proceso de la EIPD en línea con el capítulo XV de la GUÍA.
B.	Guías, herramientas, metodologías y normas utilizadas en la evaluación
Se detallarán las directrices, normas, guías y otro material de referencia utilizado en la realización de la EIPD. En particular, si fuera a dirigirse una Consulta Previa a la autoridad de control, se detallará su adecuación a lo establecido en la Instrucción 1/2021.
C.	Extensión y límites de la EIPD: Identificar qué ha quedado fuera de la evaluación
En el supuesto en que la EIPD fuera limitada, se deberán especificar los motivos de dicha limitación con relación a los fines, el ámbito o alcance del tratamiento, incluyendo aquellos aspectos que quedarían fuera de su análisis y los posibles riesgos asociados para los derechos y libertades de las personas, incluyendo la forma en la que podrían ser abordados y la identificación de los responsables de dichos riesgos.
D.	Proceso de aprobación del informe de la EIPD 
Identificación de la persona que coordine el equipo dispuesto para llevar a cabo la EIPD.
Proceso interno de aprobación.
Fecha, hora de aprobación del informe.
Versión o revisión de la realización del informe EIPD.
Histórico de cambios y modificaciones, en general cualquier elemento que pueda demostrar el seguimiento llevado a cabo por el responsable. 

V.	ANÁLISIS DE BASES JURÍDICAS DEL TRATAMIENTO Y CUMPLIMIENTO NORMATIVO
En este capítulo se dedica a la identificación y fundamentación jurídica de la base legal legitimadora del tratamiento de los datos, en base a lo dispuesto en el artículo 6 del RGPD y en los artículos del 6 al 8 de la LOPDGDD.
El análisis de las bases jurídicas se realizará con relación a cada uno de los fines del tratamiento, incluyendo fines secundarios o ulteriores. 
En el caso de que se traten categorías especiales de datos (RGPD Art. 9 y LOPDGDD Art. 9) se deberán señalar justificadamente los motivos que dieron lugar al levantamiento de la prohibición de tratar categorías especiales de datos. Si el levantamiento de la prohibición se lleva a cabo mediante el consentimiento, habrán de analizarse las condiciones de dicho consentimiento y si éste reúne los requisitos 6, 7 y 9.1 de la LOPDGDD.
En todo caso, debe tenerse presente que la ausencia de base jurídica legitimadora del tratamiento o la existencia de dudas sobre dicha base jurídica no puede sustituirse con la adopción de garantías derivadas de una gestión del riesgo para los derechos y libertades de los ciudadanos ya que el cumplimiento de deberes y principios, entre ellos el de “licitud, lealtad y transparencia” (RGPD Art. 5.1.a) resulta ineludible.

Para completar este apartado se recomienda consultar la Lista de Cumplimiento Normativo publicada por la AEPD en su página web.
VI.	DESCRIPCIÓN DEL TRATAMIENTO 
Una correcta gestión del riesgo para los derechos y libertades exige conocer los detalles del tratamiento, lo que implica la necesaria descripción sistemática del mismo.
La granularidad que se debe alcanzar en la descripción del tratamiento ha de ser la suficiente para que sea posible realizar dicha gestión. En este sentido, se recomiendan los siguientes niveles de detalle:
• Estudio a alto nivel del tratamiento.
• Análisis estructurado del tratamiento, o descomposición del tratamiento en fases para realizar el estudio individual de las mismas.
• Análisis del ciclo de vida de los datos.
Finalmente, a partir del análisis estructurado del tratamiento será posible obtener el Inventario de activos asociado a un tratamiento atendiendo a los diferentes casos de uso a los que el diseño del mismo debe dar respuesta. 
En todo caso, la descripción del tratamiento deberá incluir:
• El tipo de acuerdo, disposición o acto jurídico entre corresponsables implicados o terceros (RGPD Art.4.10) que intervienen en el tratamiento, así como el acto jurídico que les vincule con el tratamiento y que legitime su participación en el mismo y si dicho vínculo especifica y define las medidas y garantías de responsabilidad proactiva que hayan de implementar encargados y subencargados.
• La existencia de garantías jurídicas para garantizar la consulta al responsable por parte de encargados antes de abordar la contratación de subencargados.
• Las medidas previstas para garantizar y demostrar el cumplimiento del deber de información de los interesados.
• Los procedimientos dispuestos para garantizar los derechos de los interesados.
• Las cesiones de datos previstas.
• Las transferencias internacionales de datos previstas, incluida la identificación de dicho tercer país u organización internacional y, en su caso, las garantías adecuadas dispuestas.
• Los códigos de conducta, sellos, marcas y certificaciones aplicables en cada caso.
• Cualquier otra información que sea relevante.
A.	Estudio a alto nivel del tratamiento
Si la descripción del tratamiento se realiza mediante un estudio a alto nivel del mismo, en este apartado se deberán incluir todos los aspectos relevantes del análisis del tratamiento de una manera conjunta. 
Al menos, el estudio a alto nivel del tratamiento deberá incluir la información que se señala en el apartado V.A de la GUÍA con relación a la naturaleza, los fines, el alcance, el ámbito y el contexto del tratamiento.
En particular, y no únicamente, posibles relaciones con otros tratamientos de datos de la propia organización y elementos que pudieran ser compartidos, por ejemplo, fases de otros tratamientos de datos que sean comunes al tratamiento objeto de análisis, así como el contexto del sistema/s propuesto/s para la implementación del tratamiento y detalle de las tecnologías empleadas.
B.	Análisis estructurado del tratamiento
Si la descripción del tratamiento exige un mayor grado de detalle podrá realizarse mediante un análisis estructurado del tratamiento. En este apartado se incluirá la información del estudio a alto nivel del tratamiento y se identificarán las distintas operaciones de tratamiento que se lleven a cabo además del detalle de la relación existente entre las mismas teniendo en cuenta la naturaleza, los fines, el alcance,el ámbito y el contexto del tratamiento. El grado de descripción de cada operación tendría que ser acorde al impacto en el riesgo que podría tener dicha fase.
Se puede encontrar más detalle de cómo plantear el análisis estructurado en el apartado V.B de la GUÍA.
C.	Descripción del ciclo de vida de los datos
Finalmente, si para realizar la descripción sistemática del tratamiento se requiere un nivel de detalle mayor, es recomendable realizar un análisis global del ciclo de vida de los datos en el que se partirá del análisis a alto nivel y del análisis estructurado del mismo. 
El análisis del ciclo de vida supone estudiar, para un conjunto o categoría de datos, las distintas etapas de su vida, desde su recogida o generación hasta su destrucción. La descripción del ciclo de vida de los datos es un análisis complementario al análisis a alto nivel y al análisis estructurado del tratamiento.
En el apartado V.C de la GUÍA se puede encontrar información más detallada al respecto.
Asimismo, se aportará una descripción de las cesiones y destinatarios de las mismas, con relación a los fines, al ciclo de vida del tratamiento, al ciclo de vida del dato y las operaciones de tratamiento además de la descripción funcional en la que se llevan a cabo dichas cesiones para cada uno de los destinatarios. Se vincularán las cesiones de datos con las bases jurídicas que las legitimen.
D.	Inventario de activos
Partiendo del resultado del análisis estructurado o de la descripción del ciclo de vida de los datos en el tratamiento, será posible obtener la relación de todos los activos necesarios para abordar el inicio del tratamiento y una adecuada gestión de los riesgos para los derechos y libertades de las personas físicas.
Los activos deberán incluirse, organizarse y mantenerse actualizados, en lo que se denomina el inventario de activos del tratamiento. Activo se define como todo bien o recurso que puede ser necesario para implantar y mantener una operación de tratamiento en cualquier etapa de su ciclo de vida, desde su concepción y diseño hasta la retirada del tratamiento.
El nivel de detalle a incluir en el inventario de activos debería ser el necesario para identificar y gestionar el riesgo de manera eficiente y, al mismo tiempo, poder demostrar dicha gestión.
El inventario de activos se debe determinar a partir del análisis estructurado del tratamiento, o mediante cualquier otro procedimiento determinado por la entidad, de igual o mayor eficacia.
No disponer de un adecuado inventario de activos actualizado, puede implicar la toma de decisiones inadecuadas con relación al tratamiento y, en el caso de llevar a cabo una consulta previa, la Autoridad de Control podrá concluir que la información proporcionada es incompleta, incorrecta y, por tanto, inexacta, sin perjuicio del quebrantamiento de otros principios como el de transparencia.
En el apartado V.D de la GUÍA se describe la información necesaria para documentar los activos del tratamiento.
E.	Casos de uso
Atendiendo a la complejidad del tratamiento, pueden existir diferentes casos de uso del mismo a fin de dar respuesta a diferentes procesos de una organización.
En la descripción del tratamiento, en sus distintos niveles de detalle, se deberá identificar a qué caso de uso se refiere y marcar sus diferencias. Es posible que los casos de uso estén motivados en base a normas o leyes en las que el responsable actúa en el ámbito de sus competencias, en este caso deberá señalarse para cada caso de uso, la ley o norma a la que dicho caso da respuesta.
Asimismo, se deberán identificar y documentar las medidas de privacidad por defecto y su implementación para cada caso de uso.
La identificación de casos de uso, con ejemplos, se ha tratado en la Guía de Protección de Datos por Defecto. Y también se encuentra disponible online el Listado de medidas de Protección de Datos por Defecto. 

VII.	IDENTIFICACIÓN Y ANÁLISIS DE LOS FACTORES DE RIESGO
La identificación y el análisis de los factores de riesgo para los derechos y libertades de las personas físicas es el paso previo a la evaluación del nivel de riesgo inherente del tratamiento.
En el contexto de la responsabilidad activa, la identificación y análisis de factores de riesgo estará siempre documentada y justificada a fin de que el responsable pueda demostrar que las decisiones tomadas en cada momento con relación a la gestión del riesgo han sido las medidas más adecuadas en función de la información de la que se disponía (“accountability”).
Con el objeto de apoyar la realización de esta tarea, la AEPD pone a disposición de los responsables y encargados del tratamiento la herramienta EVALÚA_RIESGO RGPD que tiene como objeto servir de ayuda a responsables y encargados a identificar los factores de riesgo para los derechos y libertades de los interesados presentes en el tratamiento, haciendo una primera evaluación del riesgo intrínseco, ayudando a determinar si existe obligación de realizar una EIPD, a la vez que puede también servir en el proceso de gestión del riesgo residual del tratamiento.
En ningún caso EVALÚA_RIESGO RGPD representa la totalidad de los factores de riesgo de todo el conjunto posible de tratamientos sino una base y metodología para la identificación de los posibles factores de riesgo inherente de un tratamiento. En definitiva, no es una lista cerrada de factores de riesgo. Corresponde pues al responsable identificar el conjunto de los posibles factores de riesgo que pudieran afectar al tratamiento de datos personales que se pretende llevar a cabo en cada caso.
Con carácter general deberá tenerse en cuenta que un tratamiento realizado por una Administración será, por su contexto y naturaleza, un tratamiento a gran escala en los términos que se señalan en el documento WP243 del CEPD. Es decir, se entenderá que la mayor parte de tratamientos de las AA.PP. conllevan, de partida, un factor de riesgo inherente al que habrá que añadir otros factores que el responsable pudiera identificar. 
A.	Identificación de los factores de riesgo
En la gestión del riesgo y durante la fase de análisis, deben contemplarse los factores de riesgo que se contemplan en el RGPD, en la LOPDGDD, en la normativa especial y en las listas, guías y directrices aprobadas por las autoridades de protección de datos.
Junto a éstos, también se deben identificar y evaluar aquellos factores de riesgo que derivan del tratamiento concreto en función de su naturaleza, ámbito o extensión o los fines que persigue, sin olvidar, tampoco, aquellos otros que deriven del contexto presente (interno y externo a la organización) y futuro del tratamiento.
En los apartados VI.C y VI.E de la GUÍA se desarrollan en detalle una serie de listados de factores de riesgo identificados en la normativa.
B.	Análisis de los factores de riesgo
Para cada uno de los factores de riesgo identificados, el responsable deberá determinar el impacto inherente, es decir, aquel que resulta de no considerar las medidas y garantías para los derechos y libertades. Este impacto dependerá del daño que se pueda ocasionar a los interesados en particular y a la Sociedad en su conjunto, en el ámbito de sus derechos y libertades, a corto, medio y a largo plazo.
A su vez, también será necesario determinar la probabilidad de que el riesgo identificado se materialice.
Si bien se puede hacer el análisis conforme a cualquier metodología reconocida, en el apartado VI.B de la GUÍA se dan una serie de indicaciones de cómo se puede realizar este análisis de los factores de riesgo a fin de dar cumplimiento a lo exigido en la Instrucción.
C.	Análisis de los escenarios de brechas de datos personales
En la práctica, el proceso de evaluación del nivel de riesgo no puede llevarse a cabo sin tener en cuenta las posibles consecuencias de las brechas de datos personales sobre los interesados con el fin de establecer criterios de coherencia en la evaluación del riesgo, impidiendo que la evaluación inicial del riesgo pueda diferir con relación a las consecuencias sobre los interesados resultante de la pérdida de confidencialidad, integridad, disponibilidad de los datos, reversión de la anonimización/seudonimización, uso de los datos para fines no compatibles, incumplimiento de garantías, etc.
Por ello, en la identificación y análisis de factores de riesgo es necesario determinar los perjuicios que pueden derivarse de la materialización de brechas de datos personales en sus distintas dimensiones.
En el apartado VI.D de la GUÍA se incluye una orientación detallada para el análisis de estos perjuicios en caso de que se produzcan brechas de datos personales.
D.	Evaluación del riesgo intrínseco
Conforme al artículo 35.7 del RGPD, es necesario realizar un análisis del riesgo intrínseco total del tratamiento teniendo en cuenta el resultado de la evaluación del nivel de riesgo para cada uno de los factores de riesgo identificados en el tratamiento.
En este sentido, cuando hay distintos factores de riesgo es necesario interpretar cómo dichos factores, considerados de forma independiente, podrían interactuar entre sí incrementando el nivel de riesgo del tratamiento (factor de riesgo acumulado). A tal efecto, es necesario analizar sus dependencias y efectos combinados o las interacciones mutuas que existan entre ellos.
Y es que, la interdependencia de los distintos factores de riesgo podría elevar el nivel de riesgo del tratamiento por encima del peor caso de cada factor de riesgo tomado individualmente. 
En el capítulo VII de la GUÍA se da una orientación más detallada de esta evaluación.

VIII.	ANÁLISIS DE LA OBLIGACIÓN Y ANÁLISIS DE NECESIDAD DE REALIZAR UNA EIPD
A.	Inclusión del tratamiento en la lista de tratamientos exentos
Si el tratamiento está en la lista de tratamientos exentos establecida en el marco del artículo 35.5 del RGPD, no es obligatorio realizar la EIPD, y el informe terminaría aquí, a menos que a continuación se motiven las razones por las que el responsable ha tomado la decisión de llevar a cabo la evaluación de impacto (ver apartados XI y XII de la GUÍA).
Dicha lista, aprobada por el Comité Europeo de Protección de Datos, puede consultarse aquí y su carácter es meramente orientativo.
B.	Aplicabilidad de la excepción prevista en el en el artículo 35.10 del RGPD
Si el tratamiento tiene su base jurídica en el Derecho de la Unión o en el Derecho del Estado miembro que se aplique al responsable del tratamiento (RGPD Art. 6.1.c y 6.1.e) y tal Derecho regulara la operación específica de tratamiento o conjunto de operaciones de tratamiento y ya se hubiera realizado una evaluación de impacto relativa a la protección de datos como parte de una evaluación de impacto general en el contexto de la adopción de dicha base jurídica, no será de aplicación la obligación de realizar la EIPD. Esta excepción no se aplicará si una norma establece que es necesario proceder a la realización de la EIPD, en cualquier caso.
El presente informe, además de las posibles conclusiones a las que se hubiera llegado durante la realización de la EIPD en el contexto de la adopción de una determinada base jurídica, se demostrará que el tratamiento se ajusta debidamente a lo previsto en la EIPD llevada a cabo en el desarrollo de la base jurídica aplicable y, del mismo modo, se completará el presente informe con las conclusiones que previamente hubieran sido obtenidas.
C.	Análisis de la inclusión del tratamiento en los casos de tratamientos obligados
En este apartado se determinará si hay obligación de realizar la EIPD. Para ello se tendrá en cuenta, en particular, si el tratamiento:
-	Entra en la lista de casos enumerados en el artículo 35.3 del RGPD.
-	Cumple con las condiciones que se detallan en la lista aprobada por el Comité Europeo de Protección de Datos de tratamientos obligados (RGPD Art. 35.4). La misma puede consultarse aquí y su carácter es meramente orientativo.
-	Se dan los supuestos de mayor riesgo de los casos enumerados en el artículo 28.2 de la LOPDGDD.
Se recomienda hacer uso de la herramienta Evalúa-Riesgo RGPD para el análisis de los factores de riesgo inherentes al tratamiento que se plantea en la EIPD.
Con independencia de todo lo señalado, el responsable podría asumir necesaria la realización de la EIPD. En tal caso, deberán señalarse los posibles motivos que a juicio del responsable hicieran necesaria la EIPD (políticas de protección de datos, requisitos de calidad, etc.)
IX.	CONTROLES PARA LA REDUCCIÓN DEL RIESGO
El objeto de este apartado es el de establecer medidas de gestión, organización, definición del tratamiento, procedimentales y técnicas que permitan gestionar cada uno de los elementos de riesgo identificados en el apartado VII “Análisis de la obligación de realizar una EIPD: evaluación del riesgo”
Se puede consultar información más detallada en el capítulo VIII de la GUÍA.
A.	Medidas sobre el concepto y diseño del tratamiento
Estás medidas actuarán en la propia definición de la naturaleza, ámbito, contexto o fines del tratamiento, es decir, la esencia del tratamiento tal y como está concebido y diseñado. 
Sobre la descripción original del tratamiento, se ha de optimizar la descomposición de éste en fases o subprocesos, para poder aplicar con mayor granularidad las medidas de reducción del riesgo.
De esta forma, también conviene identificar posibles fases innecesarias, aislar las de mayor nivel de riesgo del resto de fases, determinar medidas específicas para gestionar las fases de mayor riesgo y determinar aquellas que no precisan de acceso a datos personales.
Entre las posibles medidas o garantías que se podrían adoptar estarían las recogidas en el apartado VIII.A de la GUÍA. 
También, para una mayor orientación sobre este apartado se aconseja consultar la Guía de Protección de Datos por Defecto publicada por AEPD.
B.	Medidas de gobernanza y las políticas de protección de datos 
En este apartado se señalarán las medidas de gobernanza y las políticas de protección de datos de la entidad (accountability) dirigidas a implementar un sistema de gobernanza de los datos personales que permitan demostrar el cumplimiento de:
-Principios
-Derechos
-Garantías para gestionar el riesgo.
En particular:
- Medidas que permitan tener un control sobre qué datos se acceden, por quién, de quién, cuándo, con qué legitimación y propósito, qué tratamientos se han realizado sobre ellos, etc.
- Medidas para asegurar que los sistemas de gestión de derechos se ejecutan de forma adecuada.
- Medidas para conservar la trazabilidad de los datos comunicados a terceros.
- Nombramiento de DPD.
- Medidas para notificar a los sujetos de los datos incidentes de seguridad que afecten a sus derechos y libertades.
- Intervención humana por parte del responsable en los tratamientos que impliquen decisiones individuales automatizadas.
- etc.
En el apartado VIII.B de la GUÍA se puede consultar un listado mucho más exhaustivo de ejemplos de posibles medidas de gobernanza y políticas de protección de datos.
C.	Medidas de protección de datos desde el Diseño
Las medidas de Privacidad desde el Diseño y por Defecto aplicables dependerán del tipo de tratamiento. Además, se aplicarán medidas específicas en las distintas fases del tratamiento, por lo tanto, la aplicación de estas medidas está relacionada con el apartado anterior de Optimización del Tratamiento.
Para resolver este apartado se aconseja consultar, en particular, la Guía de privacidad desde el Diseño publicada por la AEPD, y en general, las guías y notas publicadas en la web de la AEPD en el apartado Innovación y tecnología.
Una lista, para tratamientos genéricos y no exhaustiva, se deriva de lo establecido en el artículo 25 del RGPD, y son medidas que abarcan la minimización, la ocultación, la separación, la abstracción, la información, el control, el cumplimiento y la demostración, que pueden encontrarse de forma resumida en el apartado VIII.C de la GUÍA.
D.	Medidas de Seguridad y de gestión de brechas de datos personales
En este apartado se detalla el análisis de los requisitos necesarios para minimizar riesgos para los derechos y libertades sobre los dominios de seguridad: confidencialidad, disponibilidad, integridad, autenticidad y trazabilidad y como se realiza la integración de dichos requisitos con el resto de los requisitos de seguridad (para continuidad de negocio, control de fraude, etc.) de la organización. 
Además, se incluirá específicamente la gestión de la entidad en el caso de que se produzcan brechas de datos personales.
Puede ser conveniente anexar al presente informe la declaración de aplicabilidad del ENS firmada por el responsable de seguridad y por el responsable del tratamiento que reflejará el obligado asesoramiento del DPD en términos de riesgos para los derechos y libertades de los interesados.
En el apartado VIII.D de la GUÍA se puede consultar una orientación detallada de las medidas de seguridad aplicables para la protección de derechos y libertades.
E.	Reevaluación del riesgo
La gestión del riesgo es un proceso continuo. En este sentido, la aplicación de una medida para paliar o mitigar un riesgo puede, a su vez, ocasionar la aparición de nuevos riesgos o consecuencias no deseadas para los interesados. De este modo, tras la aplicación de las medidas deberá realizarse una reidentificación y evaluación de riesgos.
El riesgo residual deberá cuantificarse de acuerdo con la política de gestión del riesgo de la organización.
La GUÍA recoge en su capítulo IX orientaciones sobre esta reevaluación necesaria en la evaluación de impacto.

F.	Plan de acción de la gestión de riesgos

En este apartado se detallarán las acciones necesarias para llevar a cabo la adecuada gestión del riesgo para los derechos y libertades de las personas, reflejando el conjunto de acciones necesarias para la revisión y actualización de las medidas que hubieran sido identificadas en la EIPD.
El plan de acción puede venir definido mediante las políticas de protección de datos (RGPD Art. 24) que el responsable considere necesarias, incluyendo en las mismas, las cláusulas de caducidad del tratamiento. 
En el mismo se han de detallar los objetivos, tareas, calendario, los recursos necesarios, los responsables, así como la interacción con otros tratamientos de la organización.
En particular, tienen que quedar reflejadas las medidas de privacidad desde el diseño y por defecto que se hubieran definido en la EIPD para que la protección de datos sea integral al producto/servicio, no una capa añadida.

X.	ANÁLISIS DE LA NECESIDAD Y PROPORCIONALIDAD DEL TRATAMIENTO
Una de las exigencias del artículo 35 del RGPD con relación a la EIPD, es la que aparece en el apartado 35.7.b del RGPD, la obligación de que se realice “una evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento en cuanto a su finalidad”, análisis de necesidad y proporcionalidad que no debe de confundirse con el análisis de obligación ni con el análisis necesidad de llevar a cabo la EIPD.
La palabra “evaluar” implica la realización de un análisis objetivo que sustente una conclusión, por lo que no se reduce a una simple afirmación.
Este principio de proporcionalidad, llevado a la evaluación de la necesidad y proporcionalidad del tratamiento, se traduce en realizar una ponderación atendiendo a tres criterios:
-	Juicio de idoneidad: Hay que determinar si el tratamiento es adecuado para el fin que persigue. El tratamiento da respuesta a determinadas carencias, demandas, exigencias, obligaciones u oportunidades objetivas y puede conseguir los objetivos propuestos con la eficacia suficiente.
-	Juicio de necesidad: Hay que determinar si la finalidad perseguida no puede alcanzarse de otro modo menos lesivo o invasivo, es decir, no existe un tratamiento alternativo que sea igualmente eficaz para el logro de la finalidad perseguida.
-	Juicio de proporcionalidad en sentido estricto: La gravedad del riesgo para los derechos y libertades del tratamiento y su intromisión en la privacidad ha de ser adecuada al objetivo perseguido y proporcionada a la urgencia y gravedad de ésta. Hay que ponderar el beneficio que el tratamiento, desde el punto de vista de la protección de datos, proporciona a la Sociedad manteniendo un equilibrio con el impacto que representa sobre otros derechos fundamentales. Sin embargo, aunque pueda ceder parcialmente, en ningún caso, se puede asumir la negación absoluta del derecho a la protección de datos y vaciarle de su contenido esencial.
Esta evaluación ha de terminar con una decisión de llevar o no a cabo el tratamiento o, en su caso, modificarlo para que cumpla con los tres juicios exigidos. En ningún caso se recomienda continuar con la EIPD cuando el tratamiento no supera la evaluación de la necesidad y/o la proporcionalidad.
El incumplimiento de estos requisitos no podrá abordarse o justificarse mediante formas alternativas de cumplimiento como, por ejemplo, las bases jurídicas o medidas técnicas y organizativas.
En el capítulo XIII de la GUÍA se recoge información detallada de cómo realizar estas evaluaciones.
Para la ejecución de la EIPD en el ámbito de un desarrollo normativo que pudiera suponer una base jurídica en el contexto del Derecho de la Unión o en el Derecho de un Estado miembro que pudiera ser aplicable a un determinado responsable en base a los artículos del RGPD 6.1.c y 6.1.e, con relación al análisis de necesidad y proporcionalidad de dicho desarrollo normativo, pueden consultarse las guías del Supervisor Europeo de Protección de Datos para la evaluación de la necesidad y proporcionalidad.
A.	Juicio de idoneidad
Se definirá el umbral de efectividad del tratamiento. Se establecerá de forma objetiva o cualitativa y basada en evidencias, determinando cuál es el umbral de efectividad que se debería alcanzar para cumplir con los fines del tratamiento.
Se evaluará la efectividad de la propuesta del tratamiento de forma objetiva, cualitativa y basada en evidencias, verificando si da respuesta a las necesidades planteadas y con qué extensión.
B.	Juicio de necesidad
Se determinará la relevancia de los fines del tratamiento. Se evaluará que los fines del tratamiento tienen la importancia suficiente para ser abordados con un tratamiento de alto riesgo.
Se verificará la adecuación de las operaciones del tratamiento, es decir, que cada una de ellas están orientadas a cumplir con los fines del tratamiento de una forma objetivamente demostrable.
Se justificará la configuración actual del tratamiento. Se evaluará que no existen otros tratamientos que ya están en curso o que se podrían plantear, que resuelvan los fines declarados sin incurrir en un alto riesgo; incluso aunque sea necesario introducir alguna modificación para cumplir los fines perseguidos.
Se indicarán las cláusulas de caducidad previstas en el tratamiento tanto por su naturaleza, como por su ámbito, su contexto y sus fines.
C.	Juicio de proporcionalidad en sentido estricto
Se Identificará el grado de impacto del tratamiento en los derechos y libertades. Se requiere que se exprese, de forma detallada, las limitaciones o intrusiones a los derechos y libertades que puede suponer el tratamiento para el interesado. Esta evaluación es una tarea previa que ya se ha debido realizar en la determinación de los factores y niveles de riesgo analizados previamente, exponiendo en este punto de la evaluación sus conclusiones.
Se identificarán y describirán las medidas compensatorias. Se requiere detalle de los controles establecidos en el diseño del tratamiento para disminuir dicho impacto.
Se identificarán los beneficios del tratamiento. Se deben determinar las ventajas y beneficios que, de forma objetiva y con evidencias, tiene el tratamiento para los interesados, considerados de forma individual y como colectivo. Es decir, también ha de considerarse el beneficio social.
Se confirmará la existencia de identidad en la calidad de la información. S tiene que evaluar si existe simetría en la información analizada para el juicio de ponderación, es decir, si el nivel de análisis con relación al impacto es igual al nivel alcanzado en base a la información proporcionada respecto a las ventajas. 
Se realizará un análisis BDB (Balance Daño-Beneficio). Se requiere una evaluación de si los beneficios, previamente determinados, para los interesados, para la Sociedad en general, para la entidad responsable y para las administraciones públicas compensan y justifican el impacto para los derechos y libertades identificados en el primer punto de este juicio de proporcionalidad en sentido estricto.
XI.	NECESIDAD DE CONSULTA PREVIA
En base a los resultados obtenidos en términos de riesgo residual para los derechos y libertades de los interesados, se describirá si es o no necesario realizar la consulta previa a la AEPD.
En caso de que el riesgo residual sea bajo o escaso no tendrá lugar la posible consulta previa a la que refiere el artículo 36, si existieran riesgos para los que el responsable no hubiera podido adoptar medidas, deberá realizarse la debida solicitud de consulta previa a la que refiere el artículo 36 del RGPD atendiendo a los requisitos que señala la Instrucción. En este apartado se detallarán los riesgos para los que el responsable no ha podido adoptar medidas y que justifican la necesidad de llevar a cabo la solicitud de consulta previa.
En el caso de que se haya presentado con antelación una consulta previa a la Autoridad de Control sobre el mismo tratamiento, procederá incluir una referencia expresa a este hecho detallando además el conjunto de las modificaciones introducidas en la naturaleza, el contexto, el ámbito, los fines, los riesgos y las garantías en el tratamiento que pudieran hacer necesaria la EIPD y la consulta previa. 
La documentación aportada a la consulta previa deberá garantizar que la información aportada es completa y exacta (RGPD Art. 36.3). 
La consulta previa estará firmada por el responsable del tratamiento y remitida por el canal de consultas de la AEPD, tal y como exige la Instrucción. 
En el capítulo XVI de la GUÍA se puede encontrar más orientación al respecto.

XII.	CONCLUSIONES Y RECOMENDACIONES
El equipo de trabajo que realice la EIPD reflejará, de forma sumaria, el resultado final de la gestión del riesgo para los derechos y libertades, las directrices generales para la implementación del tratamiento, determinará si el riesgo es lo suficientemente bajo y, en su caso, si procede dirigir una Consulta Previa a la Autoridad de Control de acuerdo con el artículo 36 del RGPD.
En definitiva, deberá señalarse al responsable la decisión del equipo que ha realizado la EIPD, incluyendo los puntos de vista de sus integrantes.
XIII.	MEMORANDO DEL DELEGADO DE PROTECCIÓN DE DATOS
A.	Visión del DPD
Este apartado incluirá, de forma condensada, el punto de vista del DPD con relación al tratamiento que se pretende realizar, demostrando su adecuada participación en el proceso de la EIPD y la supervisión de su aplicación (RGPD Art.39.1.e). 
En general, el DPD deberá pronunciarse con relación a los posibles riesgos para los derechos y libertades de las personas físicas, esto es, respecto a las potenciales consecuencias negativas que el tratamiento podría suponer para los interesados (RGPD Art.39.2). 
B.	Conclusiones y recomendaciones del DPD al responsable
De manera igualmente condensada o resumida, en este apartado se deberán incluir las conclusiones y recomendaciones que, en su labor de asesoramiento, el DPD realice al responsable o encargado del tratamiento.
XIV.	REFERENCIAS
Se detallarán todos los documentos que hubieran sido utilizados por el equipo de trabajo en la ejecución de la EIPD. 
No se trata de completar este apartado con una lista de documentos que hubieran podido ser utilizados sino de reflejar, a lo largo de la EIPD, documentos de referencia (dictámenes, sentencias, informes jurídicos, guías, referencias normativas, etc.) en los que la EIPD basa sus conclusiones, recopilando en este apartado una relación exhaustiva de los documentos citados a lo largo del informe. 

XV.	ANEXOS
Cualquier referencia a documentos de trabajo que pudieran haber sido incluidos en la EIPD que justifiquen las decisiones del responsable con relación al tratamiento y que, además, formen parte de los documentos con los que el responsable puede demostrar cumplimiento (evaluación del riesgo residual para los derechos y libertades, cláusulas contractuales, declaraciones, descripciones, informes, estándares, guías o documentos en general, inventario de activos, medidas de seguridad aplicables, etc.).

En ……………. a …… de ……………. de 202x

	
Firma en nombre de la entidad responsable del tratamiento 
D./Dª.:
Cargo:
Correo electrónico: 
Teléfono:

Firma del/de la Delegado/a de Protección de Datos (en su caso)
D./Dª.:
Correo electrónico: 
Teléfono: