Matricúlate
Anatomía forense de una EIPD
Del caso real a la decisión defendible y auditable
Un caso real. Una metodología aplicable a diferentes legislaciones.
Una EIPD puede existir y, aun así, no permitir justificar una decisión
¿Qué sucede cuando una organización dispone de asesoramiento jurídico, certificaciones de su proveedor, documentación técnica y una Evaluación de Impacto relativa a la Protección de Datos, pero no consigue demostrar que ha evaluado suficientemente el tratamiento que pretende realizar?
Esta es la pregunta que da origen al minicurso Anatomía forense de una EIPD: del caso real a la decisión defendible y auditable, una propuesta académica gratuita de GRCx3 dirigida a profesionales de España y Latinoamérica.
A partir del procedimiento sancionador PS/00372/2025 de la Agencia Española de Protección de Datos, relativo a la utilización de un sistema biométrico para el registro de la jornada laboral, reconstruiremos las decisiones, documentos, riesgos y garantías que acompañaron la implantación del tratamiento.
El expediente permite examinar una cuestión fundamental: la existencia formal de una EIPD no demuestra, por sí sola, que se hayan identificado correctamente las operaciones, justificado la necesidad y proporcionalidad del tratamiento, valorado los riesgos o acreditado la eficacia de las medidas.
Durante siete horas, distribuidas en dos sesiones, analizaremos el caso desde una perspectiva jurídica, técnica, organizativa y operativa, para comprender cómo debe construirse una evaluación que permita tomar decisiones informadas, justificadas y verificables.
Un caso real. Una metodología aplicable a diferentes legislaciones.
Aunque el minicurso toma como punto de partida el Reglamento General de Protección de Datos (RGPD) de la Unión Europea y la resolución PS/00372/2025 de la Agencia Española de Protección de Datos, su alcance académico y profesional no se limita al ordenamiento europeo.
Los problemas que examinaremos —la insuficiencia de las evaluaciones, la falta de justificación de la necesidad y proporcionalidad, las deficiencias en la identificación de riesgos, la utilización de modelos genéricos o la confianza excesiva en las garantías de los proveedores— pueden presentarse en organizaciones sujetas a diferentes marcos legislativos.
Por ello, el curso desarrolla un enfoque internacional y comparado, especialmente relevante para profesionales de España y Latinoamérica.
El objetivo es que cada participante pueda trasladar los conocimientos adquiridos a su propio contexto normativo, distinguiendo entre los criterios metodológicos de aplicación transversal y las obligaciones jurídicas particulares de cada país.
Información esencial
9 y 11 de noviembre de 2026
7 horas
2 sesiones de 3 h 30 min
En línea y en directo
Disponibles en plataforma académica
Internacional
Examen final
Gratuito
¿Por qué participar?
Las Evaluaciones de Impacto no deberían elaborarse únicamente para completar un requisito documental. Su verdadera utilidad consiste en ayudar a las organizaciones a comprender los tratamientos que proyectan realizar, anticipar sus consecuencias y decidir si pueden llevarlos a cabo y bajo qué condiciones.
En la práctica profesional pueden aparecer dificultades como la utilización de modelos genéricos, descripciones incompletas del tratamiento, análisis de riesgos excesivamente centrados en la seguridad de la información, exclusiones no justificadas y una confianza documental que supera el alcance real de las garantías aportadas.
Este minicurso propone examinar esas dificultades mediante una investigación guiada de un expediente administrativo real, distinguiendo hechos acreditados, alegaciones, incertidumbres y propuestas metodológicas.
Programa académico
Dos sesiones intensivas para comprender, ejecutar, justificar y asegurar una Evaluación de Impacto.
Comprender e investigar una EIPD
Del caso real a la naturaleza y función de la evaluación
Del problema operativo a la elección tecnológica · 30 minutos
Presentación del procedimiento PS/00372/2025 y del contexto que llevó a una organización a sustituir su sistema de registro horario por una solución de identificación biométrica.
65 minutos
Reconstrucción de la secuencia documental y de las actuaciones conocidas: asesoramiento externo, contratación, certificaciones, documentación técnica, modelos de EIPD y análisis de riesgos.
55 minutos
Estudio de la naturaleza preventiva de la evaluación conforme al artículo 35 del RGPD y su relación con las bases de licitud, las categorías especiales de datos, la necesidad y proporcionalidad, los riesgos y las medidas.
60 minutos
La evaluación como instrumento integrado en el gobierno de la privacidad, la gestión de riesgos y la protección de datos desde el diseño.
Ejecutar, justificar y asegurar una EIPD
De la metodología a la decisión defendible y auditable
75 minutos
Descripción de operaciones y flujos, finalidades, alternativas, análisis jurídico, valoración de riesgos, medidas, riesgo residual y documentación de conclusiones.
55 minutos
Diferencia entre la idoneidad del encargado para prestar el servicio y la admisibilidad jurídica y material del tratamiento que desea realizar el responsable.
40 minutos
Confianza excesiva en documentación externa, reproducción de modelos, aceptación de premisas no contrastadas, exclusión injustificada de riesgos y confusión entre medidas declaradas y medidas efectivamente comprobadas.
40 minutos
Marco metodológico de revisión y aseguramiento de la calidad de una EIPD basado en completitud, defendibilidad y auditabilidad.
Perspectiva internacional: del RGPD a otros ordenamientos de protección de datos
Una metodología común para analizar la calidad de las evaluaciones, respetando las diferencias jurídicas de cada jurisdicción.
Unión Europea y España · RGPD
Constituye el marco jurídico principal del caso analizado.
Estudiaremos especialmente las exigencias del artículo 35 del RGPD, su relación con la responsabilidad proactiva, la protección de datos desde el diseño, las bases de licitud, las categorías especiales de datos y las obligaciones del responsable y del encargado del tratamiento.
La resolución PS/00372/2025 de la AEPD permitirá observar cómo se valoran, en un caso concreto, las insuficiencias de una EIPD y sus consecuencias jurídicas.
Ecuador · Ley Orgánica de Protección de Datos Personales
Examinaremos la aplicación de los criterios metodológicos del curso al régimen ecuatoriano, considerando la Ley Orgánica de Protección de Datos Personales, su Reglamento General y la normativa y orientaciones de la Superintendencia de Protección de Datos Personales (SPDP).
Prestaremos atención a la evaluación de impacto, la gestión de riesgos, el tratamiento de datos biométricos, las responsabilidades de los intervinientes y las evidencias que permiten fundamentar las decisiones.
El análisis distinguirá las exigencias propias del ordenamiento ecuatoriano de las establecidas por el RGPD.
Chile · Ley N.º 19.628 y reforma introducida por la Ley N.º 21.719
La Ley N.º 21.719 introduce una transformación sustancial del marco chileno de protección de datos personales mediante modificaciones a la Ley N.º 19.628.
Su entrada en vigor está prevista para el 1 de diciembre de 2026, por lo que el minicurso se desarrollará durante el período previo a su aplicación.
Analizaremos cómo trasladar los criterios metodológicos de una evaluación de impacto al nuevo escenario regulatorio chileno, considerando la identificación y gestión de riesgos, las obligaciones de responsables y mandatarios y el tratamiento de datos personales sensibles.
La perspectiva será especialmente útil para comprender qué capacidades de evaluación y demostración de cumplimiento deben desarrollar las organizaciones ante el nuevo marco legal.
Paraguay · Ley N.º 7593/2025 de Protección de Datos Personales
Incorporaremos referencias a la Ley N.º 7593/2025, que establece el nuevo régimen general de protección de datos personales en Paraguay.
La norma fue publicada el 27 de noviembre de 2025 y prevé su entrada en vigor una vez transcurridos 24 meses desde su publicación oficial.
Analizaremos la utilidad de los criterios de evaluación, gestión de riesgos, responsabilidad y evidencia para preparar decisiones y procesos de cumplimiento en el nuevo marco paraguayo, distinguiendo las obligaciones futuras de aquellas que ya resulten exigibles.
Otros entornos legislativos
Los conocimientos y herramientas conceptuales del curso también podrán trasladarse a otros países que dispongan de legislación sobre protección de datos personales, siempre que se realice el correspondiente análisis de adaptación normativa.
No se pretende afirmar que las distintas legislaciones establecen idénticas obligaciones ni que el artículo 35 del RGPD resulta directamente aplicable fuera de su ámbito.
La transferencia metodológica exige identificar las obligaciones específicas de cada jurisdicción, las categorías de datos, los supuestos de evaluación obligatoria, las competencias de las autoridades de control y las consecuencias jurídicas aplicables.
¿Qué aporta esta perspectiva internacional?
El participante no aprenderá únicamente a interpretar una resolución española.
Aprenderá a formular preguntas que conservan su utilidad en diferentes entornos regulatorios:
- ¿Conocemos suficientemente el tratamiento y sus operaciones reales?
- ¿Hemos justificado su necesidad y proporcionalidad?
- ¿Se han identificado los riesgos relevantes para los derechos de las personas?
- ¿Las garantías del proveedor son pertinentes y verificables?
- ¿Podemos demostrar la implementación y eficacia de las medidas?
- ¿Las conclusiones permiten adoptar una decisión jurídicamente fundamentada?
- ¿Puede un tercero reconstruir y auditar el proceso de evaluación?
Las respuestas deberán ajustarse siempre a la legislación aplicable, pero la capacidad de formular y verificar estas cuestiones constituye una competencia profesional transversal.
El propósito del minicurso es desarrollar criterio para evaluar tratamientos y fundamentar decisiones, con independencia del país en el que el profesional ejerza, respetando las particularidades jurídicas de cada ordenamiento.
Evaluación y acreditación
El minicurso contará con un examen final destinado a comprobar la comprensión de los principales conceptos jurídicos, técnicos y operativos desarrollados durante las dos sesiones.
La evaluación se centrará en la interpretación de situaciones, las responsabilidades de los intervinientes, la función preventiva de la EIPD, el análisis de riesgos y la fundamentación de decisiones.
No se exigirá elaborar una EIPD completa ni realizar un proyecto práctico de implantación.
Certificado de superación e insignia digital
Los participantes que cumplan los requisitos de participación y superen el examen final podrán obtener un certificado de superación y una insignia digital de GRCx3.
¿A quién está dirigido?
- Delegados de Protección de Datos y profesionales que desempeñan funciones equivalentes.
- Consultores y asesores jurídicos especializados en privacidad y cumplimiento.
- Auditores de protección de datos, privacidad y sistemas de gestión.
- Responsables de seguridad de la información, gestión de riesgos y gobierno tecnológico.
- Responsables y encargados del tratamiento.
- Profesionales que participan en la selección, contratación e implantación de soluciones tecnológicas.
- Docentes, investigadores y estudiantes avanzados interesados en protección de datos.
Se recomiendan conocimientos básicos de protección de datos personales. No es necesario haber realizado previamente una EIPD.
Información académica e inscripción
9 y 11 de noviembre de 2026
7 horas · 2 sesiones de 3 h 30 min
18:00–21:30 h
22:00–01:30 h
21:00–00:30 h
En línea y en directo, con grabaciones disponibles
Internacional
Gratuito
Certificado de superación e insignia digital de GRCx3
GRCx3 | Instituto Superior de Auditoría y Gobernanza Aplicada
Anatomía forense de una EIPD
Un caso real para aprender a evaluar tratamientos, contrastar evidencias y fundamentar decisiones en diferentes entornos regulatorios.
Porque una EIPD no debería servir para justificar una decisión ya adoptada, sino para comprender si esa decisión puede adoptarse y bajo qué condiciones.
Las clases quedarán grabadas en la plataforma académica. Los participantes que cumplan los requisitos de participación y superen el examen final podrán obtener su certificado de superación y su insignia digital.
