Diez años de los artículos 35 y 36 RGPD

Evolución de la EIPD desde la obligación preventiva hasta la gobernanza verificable del riesgo

Resumen

Este estudio analiza la evolución de los artículos 35 y 36 del Reglamento General de Protección de Datos entre 2016 y 2026. La tesis central es prudente: puede sostenerse que la evaluación de impacto relativa a la protección de datos ha pasado de una primera lectura centrada en la activación de una obligación preventiva a una lectura más material, dinámica y probatoria. Esta evolución no deriva de una modificación formal del texto del artículo 35, sino de la interacción entre norma, directrices europeas, listas nacionales, práctica supervisora, tecnologías de alto impacto, metodologías de riesgo, intervención del DPO/DPD y estandarización documental.

El estudio no presenta una estadística cerrada de sanciones ni pretende ofrecer un censo completo de expedientes europeos. Su propósito es reconstruir una evolución cualitativa: cómo la EIPD tiende a operar como expediente de gobierno del alto riesgo, y cómo el artículo 36 debe leerse como cierre institucional cuando el riesgo residual no queda suficientemente mitigado.

La aportación propia del trabajo es un modelo analítico-gráfico de madurez interpretativa. Este modelo representa la evolución de la EIPD no como progresión aritmética, sino como crecimiento compuesto: cada nueva capa del sistema modifica el significado práctico de las anteriores.

Palabras clave: EIPD, DPIA, artículo 35 RGPD, artículo 36 RGPD, consulta previa, riesgo residual, DPO, responsabilidad proactiva, madurez interpretativa, gobernanza del riesgo.

1. Introducción

La evaluación de impacto relativa a la protección de datos ocupa un lugar singular en el RGPD. No es una autorización previa generalizada ni una simple plantilla de cumplimiento. Es una herramienta de análisis anticipado que obliga al responsable a estudiar un tratamiento antes de desplegarlo cuando pueda generar alto riesgo para los derechos y libertades de las personas.

El artículo 35 RGPD exige realizar una EIPD cuando sea probable que un tratamiento, especialmente mediante nuevas tecnologías y atendiendo a su naturaleza, alcance, contexto y fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas. El artículo 36 completa esa arquitectura: cuando la evaluación muestre que el tratamiento entrañaría alto riesgo si el responsable no adopta medidas para mitigarlo, debe acudirse a consulta previa ante la autoridad de control. La lógica conjunta es clara: identificar el alto riesgo, evaluarlo, reducirlo, valorar el riesgo residual y consultar cuando ese riesgo no pueda quedar suficientemente mitigado.

La primera interpretación común se consolidó con las Directrices WP248 rev.01. Estas directrices explicaron que la EIPD no se exige para cualquier tratamiento, sino para aquellos que probablemente entrañen alto riesgo, y ofrecieron criterios para identificar esos escenarios. Su valor inicial fue ordenar la activación de la EIPD. Sin embargo, diez años después de la aprobación del RGPD, el debate ha avanzado: ya no basta con saber cuándo se activa la obligación; es necesario determinar qué calidad debe tener la evaluación para cumplir su función.

Esta evolución se observa en varios planos. La práctica supervisora ha puesto el foco en la suficiencia material de la EIPD. Las tecnologías de alto impacto han obligado a analizar no solo datos, sino sistemas de tratamiento, inferencias y decisiones. Las guías metodológicas han reforzado el análisis de riesgo, necesidad y proporcionalidad. Y, en 2026, el EDPB ha sometido a consulta pública una plantilla común de EIPD, con la previsión de que las autoridades nacionales la adopten como plantilla única o como meta-plantilla compatible con los modelos nacionales.

La tesis de este estudio es que la evolución de la EIPD no ha sido lineal. No se trata solo de que existan más guías, más expedientes o más casos. Lo relevante es que cada nueva capa ha modificado la forma de interpretar las anteriores. Las directrices explican el alto riesgo; las listas nacionales concretan supuestos; las resoluciones muestran defectos materiales; la tecnología obliga a repensar proporcionalidad y daño; el DPO refuerza la trazabilidad; y la plantilla común del EDPB introduce una expectativa de estructura, completitud y comparabilidad.

2. Objeto, alcance y delimitación

El objeto principal del estudio es la evolución de los artículos 35 y 36 RGPD entre 2016 y 2026.

El artículo 35 se analiza como obligación de evaluación previa de tratamientos probablemente de alto riesgo. El artículo 36 se analiza como mecanismo de consulta previa cuando, después de la evaluación y de las medidas previstas, el riesgo residual sigue siendo alto.

La secuencia de análisis es:

tratamiento previsto → posible alto riesgo → EIPD → medidas de mitigación → riesgo residual → decisión del responsable → consulta previa si procede.

El estudio no pretende analizar todos los expedientes europeos sobre EIPD. Tampoco ofrece un censo completo de sanciones. Trabaja con una muestra cualitativa de fuentes oficiales e institucionales que permiten reconstruir patrones interpretativos. Esta precisión es importante porque las autoridades no publican de forma homogénea: algunas ofrecen resoluciones completas; otras, notas oficiales; otras, memorias anuales o fichas resumidas. Por eso no todas las fuentes tienen la misma fuerza.

El perímetro principal es el RGPD y el Espacio Económico Europeo. Las referencias del Reino Unido, del TEDH, del SEPD bajo el Reglamento 2018/1725 o de expedientes sobre IA generativa pueden utilizarse como contexto, pero no deben mezclarse con el corpus principal salvo que exista una relación clara y verificable con la evolución de la EIPD.

3. Hipótesis y preguntas de investigación

3.1. Hipótesis principal

Puede sostenerse, como tesis interpretativa, que los artículos 35 y 36 RGPD han evolucionado desde una lectura inicial centrada en la activación de una obligación preventiva hacia una lectura material, dinámica y probatoria. En esta lectura actual, la EIPD tiende a operar como expediente de gobierno del alto riesgo, y la consulta previa del artículo 36 como mecanismo de cierre institucional cuando el riesgo residual no queda suficientemente mitigado.

La formulación es intencionadamente prudente. No se afirma que el RGPD haya transformado normativamente la EIPD en una figura distinta. Se sostiene que la práctica institucional, metodológica y supervisora permite reconstruir una evolución material de su función.

3.2. Hipótesis secundarias

La primera hipótesis es la densificación jurídica. El artículo 35 ha recibido contenido práctico a través de directrices europeas, listas nacionales, resoluciones de autoridades, informes institucionales y jurisprudencia.

La segunda es la transformación técnica. El riesgo ya no puede analizarse solo por categoría de dato; debe estudiarse el sistema completo: tecnología, finalidad, escala, contexto, inferencias, proveedores, dependencia y efectos.

La tercera es la madurez metodológica. La EIPD evoluciona desde cuestionarios o plantillas hacia modelos que distinguen riesgo inherente, medidas, riesgo residual, alternativas menos intrusivas y decisión documentada.

La cuarta es la evolución organizativa. La EIPD madura no pertenece solo al área jurídica. Requiere dirección, negocio, tecnología, seguridad, compras, proveedores, DPO y funciones de control.

La quinta es el papel reforzado del DPO. El DPO no aprueba tratamientos, pero su asesoramiento es relevante para la calidad, independencia y trazabilidad del proceso.

La sexta es la función probatoria. La EIPD sirve para demostrar cómo razonó el responsable, qué alternativas valoró, qué medidas adoptó, qué riesgo residual aceptó y por qué consultó o no consultó a la autoridad.

La séptima es la evolución compuesta. La madurez interpretativa no crece por suma simple de hitos, sino por interacción entre capas normativas, supervisoras, técnicas, organizativas y documentales.

3.3. Pregunta principal

¿Cómo han evolucionado los artículos 35 y 36 RGPD desde su primera lectura como mecanismo preventivo de evaluación del alto riesgo hasta su configuración actual, en 2026, como sistema de gobernanza, prueba, supervisión, estandarización y decisión sobre tratamientos de alto riesgo?

4. Método y criterios de análisis

El estudio combina método jurídico, histórico-evolutivo, comparado y analítico.

La primera capa es jurídico-positiva. Incluye el texto de los artículos 35 y 36, las Directrices WP248, las listas nacionales del artículo 35.4, las decisiones de autoridades y la jurisprudencia aplicable.

La segunda capa es interpretativo-supervisora. Agrupa patrones que emergen de la práctica: ausencia de EIPD, EIPD tardía, análisis formalista, falta de necesidad o proporcionalidad, riesgos genéricos, medidas desconectadas, falta de actualización o ausencia de consulta previa cuando el riesgo residual sigue siendo alto.

La tercera capa es metaevaluativa. Contiene conceptos propuestos por el estudio: auditabilidad, trazabilidad, defendibilidad, mantenibilidad, coherencia documental-operativa, integridad probatoria y madurez interpretativa. Estos conceptos no son requisitos literales autónomos del artículo 35, sino categorías analíticas para explicar qué hace que una EIPD soporte escrutinio.

4.1. Tipos de fuente

4.2. Regla de codificación

La regla central es:

Si una fuente no permite afirmar un elemento, se codifica como “no consta”, no como “no”.

Esto evita falsos negativos. Que una resolución no mencione la intervención del DPO no significa que el DPO no haya intervenido; significa solo que no consta en la fuente analizada.

5. El diseño original de los artículos 35 y 36

El artículo 35 RGPD nace con una finalidad preventiva. Obliga al responsable a evaluar antes de tratar cuando el tratamiento pueda entrañar alto riesgo. Esa evaluación debe atender a la naturaleza, alcance, contexto y fines. La referencia al contexto es decisiva: el riesgo no se deduce automáticamente del dato, sino del tratamiento completo.

El artículo 35.7 contiene cuatro piezas mínimas: descripción sistemática de las operaciones y fines; evaluación de necesidad y proporcionalidad; evaluación de riesgos para derechos y libertades; y medidas previstas para afrontar los riesgos y demostrar cumplimiento. Estas cuatro piezas muestran que la EIPD no es solo técnica ni solo jurídica. Debe describir, justificar, valorar, mitigar y documentar.

El artículo 36 completa el sistema. Si tras la evaluación el tratamiento entrañaría alto riesgo en ausencia de medidas suficientes, debe consultarse previamente a la autoridad. El artículo 36 no es un apéndice marginal: es el cierre del circuito cuando el responsable no puede absorber internamente el riesgo residual.

Figura 1. Circuito de decisión de los artículos 35 y 36 RGPD: de la identificación del alto riesgo a la consulta previa.

6. Evolución jurídica: de la activación al estándar material

La primera fase de evolución se centró en la activación. La pregunta dominante era cuándo debía realizarse una EIPD. WP248 rev.01 fue decisivo porque propuso criterios para determinar cuándo un tratamiento es probablemente de alto riesgo.

Figura 2. Cambio de paradigma de la EIPD: de la obligación preventiva a la gobernanza verificable del riesgo

La segunda fase vino con las listas nacionales del artículo 35.4. Estas listas trasladaron los criterios generales a escenarios más concretos: biometría, vigilancia sistemática, menores, geolocalización, datos sensibles, gran escala, perfilado, decisiones con efectos significativos y nuevas tecnologías.

La tercera fase integró la EIPD dentro de la responsabilidad proactiva. La evaluación dejó de ser una obligación aislada y empezó a conectarse con diseño, seguridad, documentación, registro de actividades, DPO y medidas organizativas.

La cuarta fase es la del escrutinio material. Aquí la pregunta cambia: ya no basta con preguntar si existía una EIPD; se analiza si era suficiente.

El caso ICS representa el umbral básico: ausencia de DPIA cuando era exigible. La autoridad neerlandesa sancionó a International Card Services con 150.000 euros por una DPIA ausente. Este caso sirve para la categoría de no realización de la evaluación exigible.

El caso AENA constituye una fuente especialmente relevante para estudiar la exigencia material de la EIPD en tratamientos biométricos a gran escala. En la Resolución del procedimiento sancionador PS/00431/2024 —expediente EXP202304532— la AEPD analiza el sistema de identificación biométrica por reconocimiento facial implantado por AENA para controlar el acceso de pasajeros a determinadas zonas de aeropuertos. La resolución no se limita a constatar la existencia de una EIPD, sino que examina su suficiencia material: identifica deficiencias relativas al contenido mínimo del artículo 35.7 RGPD, incluida la descripción sistemática de operaciones y fines, la evaluación de necesidad y proporcionalidad, la evaluación de riesgos y las medidas previstas. La Agencia concluye, además, que ni la EIPD de 23 de junio de 2021 ni los análisis posteriores justificaban adecuadamente que el tratamiento fuera necesario y proporcional, existiendo medios alternativos menos intrusivos capaces de cumplir la misma finalidad con eficacia y seguridad. La resolución impone a AENA una multa de 10.043.002 euros por infracción del artículo 35 RGPD y confirma la suspensión temporal de todo tratamiento de datos biométricos, en especial el reconocimiento facial para controlar accesos aeroportuarios, hasta que se lleve a cabo una EIPD en los términos del artículo 35 RGPD.

El caso SIDECU/Supera también debe incorporarse ahora como fuente fuerte, al existir resolución oficial íntegra. En la Resolución PS/00289/2024 —expediente EXP202313347— la AEPD analiza el uso de reconocimiento facial para el control de acceso de socios a centros deportivos. La resolución es especialmente útil para el estudio porque conecta varios defectos recurrentes de EIPD: tratamiento biométrico de alto riesgo, ausencia de EIPD previa, análisis de riesgos insuficiente, falta de descripción sistemática de operaciones y fines, ausencia de análisis previo de necesidad, idoneidad y proporcionalidad, y falta de acreditación de medidas adecuadas conforme al artículo 35.7 RGPD. La AEPD señala que, en tratamientos biométricos de control de acceso, la EIPD no solo debe realizarse antes del inicio del tratamiento, sino que debe ser válida, continua y capaz de gestionar riesgos específicos durante todo el ciclo de vida del tratamiento. La resolución confirma sanciones por infracciones de los artículos 9, 35 y 13 RGPD, con una suma inicial de 160.000 euros y una cantidad definitiva de 96.000 euros tras reconocimiento de responsabilidad y pago voluntario.

El caso Fútbol Club Barcelona añade una pieza relevante a la línea española sobre EIPD, biometría y calidad documental. En la resolución PS/00450/2024 —expediente EXP202305134— la AEPD analiza el proceso digital de actualización del censo de socios del club, que incluía comparación facial mediante selfie, cotejo con documento identificativo y grabación de voz. Su valor para este estudio reside en que la Agencia examina la suficiencia material de la documentación aportada: no basta con que existan informes o análisis previos si estos no acreditan de forma eficaz la descripción del tratamiento, la evaluación de necesidad y proporcionalidad, la valoración de riesgos y las medidas aplicables. La resolución muestra, de nuevo, que el artículo 35 RGPD no se satisface por la mera existencia de documentos, sino por la calidad del razonamiento y su capacidad para sostener una decisión responsable sobre un tratamiento de alto riesgo. La AEPD impone una multa de 500.000 euros por infracción del artículo 35 RGPD y archiva la infracción inicialmente imputada del artículo 9.

El caso Mercadona, PS/00120/2021, permite estudiar reconocimiento facial en supermercados, proporcionalidad, minimización, categorías especiales y suficiencia de la EIPD. La resolución íntegra de la AEPD es una fuente fuerte para analizar biometría, necesidad y alternativas menos intrusivas.

El caso Radar COVID aporta una dimensión distinta dentro de la evolución del artículo 35 RGPD: la EIPD en tecnologías públicas de emergencia sanitaria. En el procedimiento PS/00222/2021, confirmado en reposición mediante la resolución RR/00189/2022, la AEPD analiza la actuación de la Secretaría de Estado de Digitalización e Inteligencia Artificial en relación con la aplicación Radar COVID, una herramienta móvil de rastreo de contactos basada en identificadores aleatorios efímeros y señales Bluetooth. La resolución sancionadora inicial impuso apercibimiento, entre otros motivos, por vulneración del artículo 35 RGPD, y la resolución de reposición desestimó el recurso interpuesto. El caso es especialmente relevante porque muestra que la urgencia sanitaria y la finalidad de interés público no eliminan la necesidad de una EIPD previa, materialmente adecuada y conectada con el diseño del tratamiento. La AEPD sitúa así la EIPD dentro de una lógica de responsabilidad proactiva, privacidad desde el diseño, correcta delimitación de roles y participación de los actores necesarios desde fases tempranas del proyecto.

La resolución PS/00233/2021, relativa a la Dirección General de Salud Pública, completa esa lectura institucional del caso Radar COVID. La AEPD examina de nuevo la aplicación desde la perspectiva de la protección de datos en el contexto sanitario, y recuerda la relevancia de la EIPD en tratamientos que pueden implicar datos de salud, gran escala, seguimiento sistemático o soluciones tecnológicas novedosas. También resulta especialmente útil para este estudio por la conexión entre EIPD y DPO/DPD: la resolución recoge el papel del delegado en la comprobación de si la evaluación de impacto se ha realizado correctamente y si sus conclusiones y salvaguardias son conformes al RGPD.

El caso sueco de reconocimiento facial escolar es especialmente útil para conectar artículos 35 y 36. La decisión traducida al inglés señala expresamente infracciones de los artículos 35 y 36 por incumplir los requisitos de la evaluación de impacto y por no realizar consulta previa ante la autoridad sueca.

El caso SAFE 2 de Irlanda introduce otro ángulo: biometría pública, servicios esenciales y gran escala. La decisión final de la DPC de 9 de junio de 2025 examina el tratamiento de plantillas biométricas faciales y tecnologías de cotejo facial en el proceso SAFE 2; el resumen del EDPB indica que la autoridad apreció infracción de los artículos 35.7.b y 35.7.c por no incluir determinados detalles en la DPIA realizada.

La decisión belga 29/2025, sobre sensores acústicos en Amberes, permite analizar tratamientos de audio, contexto urbano, innovación y suficiencia de la evaluación. La decisión identifica el uso de sensores de sonido en un proyecto sobre contaminación acústica en un barrio estudiantil de Amberes.

La evolución jurídica puede resumirse así:

Figura 4. Línea de tiempo jurídica e institucional de la evolución de la EIPD en el marco de los artículos 35–36 RGPD (2016–2026).

7. Evolución técnica: del dato aislado al sistema de tratamiento

La evolución técnica obliga a repensar el artículo 35. El riesgo ya no puede analizarse solo por categoría de dato. Debe analizarse por la operación completa.

La cadena mínima de análisis es:

dato → operación → contexto → inferencia → decisión → evento → daño → medida → riesgo residual.

Figura 5. Cadena analítica del riesgo en la EIPD: del dato al riesgo residual.

La biometría es el ejemplo más visible. En reconocimiento facial, fichaje biométrico, identidad digital o acceso aeroportuario, el riesgo no deriva solo de que el dato sea especial. Deriva de su capacidad para identificar de forma única, permitir o denegar accesos, producir errores, generar exclusión o normalizar vigilancia.

La vigilancia sistemática también amplía el alcance de la EIPD. Cámaras, sensores acústicos, grabación de llamadas, monitorización laboral o sistemas de control de calidad pueden afectar conducta, autonomía, intimidad, libertad de movimiento y expectativa razonable de no ser observado de forma continuada.

La publicidad dirigida y el cruce de datos muestran un riesgo menos visible. La CNIL sancionó el 30 de diciembre de 2025 con 3,5 millones de euros a una empresa por transferir datos de miembros de un programa de fidelización a una red social con fines de publicidad dirigida sin consentimiento válido. La nota oficial explica que se transmitían correos electrónicos o números de teléfono de miembros del programa de fidelización a una red social para mostrar publicidad dirigida; el caso es útil para analizar cruce de datos, infraestructura publicitaria y reutilización funcional.

La inteligencia artificial y los tratamientos inferenciales añaden otra capa. La EIPD debe valorar no solo datos de entrada, sino salidas: puntuaciones, perfiles, recomendaciones, alertas, decisiones automatizadas o inferencias sobre personas. El riesgo puede estar en la clasificación, en la opacidad, en el sesgo, en la inexactitud o en la imposibilidad práctica de impugnación.

La evolución técnica lleva a una conclusión clara: una EIPD madura no evalúa datos aislados. Evalúa sistemas de tratamiento y sus efectos.

8. Evolución metodológica: del cuestionario al riesgo residual defendible

La evolución metodológica no consiste en abandonar plantillas. Las plantillas pueden ser útiles. El problema aparece cuando sustituyen al razonamiento.

Una metodología madura debe distinguir:

1. riesgo inherente;
2. medidas de mitigación;
3. riesgo residual;
4. decisión;
5. posible consulta previa.

Figura 6. Matriz de defectos recurrentes de EIPD observados en la práctica supervisora

Los casos españoles recientes refuerzan esta evolución metodológica. AENA, SIDECU y Fútbol Club Barcelona muestran que la EIPD no se valora por su denominación ni por la mera existencia de informes previos, sino por la calidad material de su contenido. La AEPD examina si la evaluación describe realmente el tratamiento, si analiza necesidad y proporcionalidad, si identifica riesgos para derechos y libertades, si conecta esos riesgos con medidas y si permite sostener una decisión responsable. Radar COVID añade una dimensión temporal: la EIPD no puede aparecer cuando el tratamiento ya está materializado, sino que debe integrarse desde el diseño y con participación adecuada de los actores relevantes.

La matriz mínima debería ser:

Esta matriz obliga a conectar el riesgo con el daño, el daño con la medida, la medida con el riesgo residual y el riesgo residual con la decisión. Si falta ese enlace, la EIPD puede ser formalmente extensa y materialmente débil.

La plantilla común del EDPB de 2026 refuerza esta evolución. El documento explicativo indica que la plantilla puede utilizarse para documentar y reportar EIPD y que sus campos predefinidos promueven respuestas completas y estructuradas.

La guía de la AEPD sobre gestión del riesgo y evaluación de impacto también refuerza esta orientación metodológica, al incorporar criterios e interpretaciones derivados de la experiencia de la AEPD, el CEPD y el SEPD en materia de gestión del riesgo en protección de datos.

La lección metodológica es que una EIPD no debe limitarse a contestar apartados. Debe permitir reconstruir el razonamiento.

9. Evolución organizativa y papel del DPO

La EIPD madura no pertenece solo al área jurídica. Un tratamiento de alto riesgo no puede evaluarse adecuadamente si no se conoce su arquitectura técnica, su finalidad operativa, sus proveedores, sus flujos, sus medidas de seguridad, sus usuarios internos y sus efectos sobre las personas.

Figura 7. Esquema organizativo de la EIPD madura como proceso transversal de gobierno del riesgo.

Debe integrarse en el ciclo de vida del tratamiento: diseño, contratación, selección de proveedores, pruebas piloto, despliegue, cambios de finalidad, incorporación de IA, transferencias internacionales y revisión periódica.

El DPO tiene un papel esencial, pero debe definirse correctamente. No aprueba ni reprueba tratamientos. No sustituye al responsable. Su función es asesorar, supervisar, advertir riesgos, recomendar medidas y dejar trazabilidad de su criterio.

Radar COVID resulta especialmente útil para ilustrar la dimensión organizativa de la EIPD. La evaluación de impacto no es solo una pieza técnica o jurídica, sino un proceso que exige coordinación entre responsables públicos, encargados, equipos técnicos, responsables funcionales y DPO/DPD. Cuando la EIPD llega tarde, se limita a aspectos de seguridad o no integra adecuadamente la intervención del DPO, pierde parte de su función preventiva y probatoria.

En una EIPD madura debería constar:

La intervención del DPO no es una firma de cierre. Es una garantía de calidad del proceso.

10. Evolución probatoria: trazabilidad, auditabilidad y defendibilidad

La EIPD tiende a convertirse en una pieza de prueba. No prueba automáticamente que el tratamiento sea lícito, pero ayuda a demostrar cómo razonó el responsable.

Una EIPD defendible debe permitir reconstruir:

• qué información se tuvo en cuenta;
• qué tratamiento real se evaluó;
• qué alternativas se consideraron;
• qué riesgos se identificaron;
• qué daños se valoraron;
• qué medidas se aplicaron;
• qué riesgo residual quedó;
• qué dijo el DPO;
• por qué se consultó o no a la autoridad;
• cuándo se revisó la evaluación.

Los conceptos de auditabilidad, trazabilidad, defendibilidad, mantenibilidad e integridad probatoria deben tratarse como categorías analíticas del estudio, no como requisitos literales autónomos del artículo 35.

11. Evolución del daño

El artículo 35 se refiere a riesgos para derechos y libertades, no solo a riesgos de seguridad. Por eso una EIPD madura no puede limitarse a confidencialidad, integridad y disponibilidad.

El daño puede ser económico, reputacional, psicológico, discriminatorio, de pérdida de control, de vigilancia, de manipulación, de exclusión, de autonomía, de proyecto vital o profesional, colectivo o sistémico.

El contexto es decisivo. El mismo dato no pesa igual en una relación laboral, en una escuela, en un aeropuerto, en un servicio público obligatorio, en una plataforma publicitaria o en una herramienta de IA. La EIPD debe explicar qué puede ocurrirle a la persona y por qué ese efecto importa jurídicamente.

12. Marco analítico de datos

Para que el estudio sea replicable, la matriz de análisis debe recoger al menos estas variables:

La matriz debe distinguir entre dato textual, inferencia razonable e interpretación propia. Una resolución que diga expresamente que faltó EIPD se codifica de forma distinta a una nota que solo permite inferir problemas metodológicos.

13. Modelo analítico-gráfico de evolución

La aportación propia del estudio es un modelo gráfico de evolución interpretativa. Este modelo no mide estadísticamente la realidad europea. Representa una hipótesis conceptual: la madurez de los artículos 35 y 36 crece por interacción entre capas.

13.1. Variable central

El eje vertical no debe representar número de sanciones ni importe de multas. Debe representar:

madurez interpretativa y coherencia contextual-normativa de los artículos 35–36 RGPD.

Esta variable integra:

13.2. Índice conceptual

Puede utilizarse una escala cualitativa:

El índice conceptual puede expresarse así:

MII 35–36 = A + T + S + C + R + CP + G + E + St

donde MII es la madurez interpretativa integrada; A, activación; T, temporalidad; S, sustancia; C, contexto; R, riesgo residual; CP, consulta previa; G, gobernanza; E, evidencia; y St, estandarización.

Esta fórmula no debe presentarse como medición estadística cerrada. Sirve para ordenar la lectura cualitativa y alimentar la visualización.

Figura 8. Radar de madurez interpretativa de la EIPD en los artículos 35–36 RGPD.

13.3. Curva de crecimiento compuesto

La figura principal compararía dos líneas.

La primera sería una línea discontinua: progresión aritmética esperable. Representa una evolución simple: más años, más guías, más experiencia.

La segunda sería la curva principal: crecimiento compuesto de la madurez interpretativa. Esta curva crece de forma moderada al principio y se acelera a partir del escrutinio material y de la estandarización documental.

Figura 9. Modelo conceptual de evolución interpretativa de la EIPD en los artículos 35–36 RGPD (2016–2026).

La curva representa una hipótesis analítica de crecimiento compuesto de la madurez interpretativa, no una medición estadística cerrada.

Hitos de la curva:

La nota metodológica de la figura debe ser explícita:

La curva representa un modelo conceptual de madurez interpretativa, no una medición estadística cerrada ni un censo exhaustivo de sanciones. Expresa la hipótesis de que la evolución de los artículos 35 y 36 RGPD se ha producido por acumulación e interacción entre norma, guías, listas nacionales, práctica supervisora, tecnologías de alto riesgo, intervención del DPO, responsabilidad proactiva y estandarización europea.

El valor de la plantilla EDPB 2026 es claro en este punto. El EDPB afirma que la plantilla ayudará a estructurar, armonizar y evidenciar los procesos de reporte de EIPD. Esto confirma la entrada de la EIPD en una fase de mayor estandarización documental, aunque no elimine la necesidad de análisis sustantivo.

14. Lecciones estructurales

La primera lección es que la EIPD ya no se mide solo por su existencia. La ausencia sigue siendo un incumplimiento claro, como muestra ICS, pero el estándar actual se desplaza hacia la suficiencia material.

La segunda es que la temporalidad es sustantiva. Una EIPD tardía pierde capacidad preventiva. Si llega después de contratar, adjudicar o desplegar, difícilmente podrá influir en el diseño.

La tercera es que el alto riesgo se ha vuelto contextual. No depende solo del dato, sino de la combinación entre dato, finalidad, escala, tecnología, inferencia, colectivo afectado y relación de poder.

La cuarta es que la proporcionalidad se ha convertido en el núcleo del conflicto. En biometría, vigilancia, IA o publicidad dirigida, el debate central suele ser si la tecnología era necesaria y proporcionada frente a alternativas menos intrusivas.

La quinta es que la EIPD evalúa sistemas, no datos aislados. Debe analizar operaciones, flujos, decisiones, proveedores, inferencias y efectos.

La sexta es que el artículo 36 es el indicador de madurez olvidado. Una EIPD seria debe terminar con una decisión sobre riesgo residual. Si el riesgo residual sigue siendo alto, debe valorarse la consulta previa.

La séptima es que el DPO mejora la calidad de la decisión, pero no decide. La responsabilidad sigue siendo del responsable.

La octava es que la EIPD se ha convertido en prueba de diligencia. Debe permitir reconstruir qué se sabía, qué se valoró, qué se decidió y por qué.

La novena es que la estandarización europea cambia la expectativa documental. La plantilla EDPB no impone por sí sola una metodología única, pero eleva la expectativa de estructura, completitud y comparabilidad.

La décima es que la madurez interpretativa crece por interacción. La evolución no es suma simple de hitos. Es retroalimentación entre norma, técnica, organización, supervisión y evidencia.

La undécima es que los nuevos casos españoles permiten formular una lección adicional: la EIPD madura no se mide por la sofisticación tecnológica del proyecto, sino por la calidad de la decisión que documenta. AENA, SIDECU y Fútbol Club Barcelona muestran que la biometría exige una justificación especialmente rigurosa de necesidad, proporcionalidad, alternativas y medidas. Radar COVID muestra que incluso en contextos de emergencia sanitaria y finalidad pública la EIPD debe ser previa, integrada en el diseño y acompañada de una gobernanza clara.

15. Criterios de una EIPD materialmente válida en 2026

A partir del análisis, una EIPD materialmente válida debería cumplir al menos estos criterios:

1. activarse cuando el tratamiento pueda generar alto riesgo;
2. realizarse antes del tratamiento;
3. describir el tratamiento real;
4. identificar actores, sistemas, proveedores, flujos y decisiones;
5. justificar la necesidad;
6. justificar la proporcionalidad;
7. analizar alternativas menos intrusivas;
8. identificar riesgos concretos para derechos y libertades;
9. conectar riesgos con daños posibles;
10. asociar medidas específicas a riesgos concretos;
11. valorar el riesgo residual;
12. documentar el asesoramiento del DPO;
13. decidir si procede consulta previa;
14. mantenerse actualizada;
15. dejar evidencia suficiente para auditoría o supervisión.

16. Conclusiones

La evolución de los artículos 35 y 36 RGPD muestra un cambio profundo en la función práctica de la EIPD. El artículo 35 no se ha transformado formalmente, pero su aplicación ha ganado densidad. La EIPD ha pasado de una lectura centrada en la activación de una obligación preventiva a una lectura material, contextual y probatoria.

El artículo 36 merece mayor protagonismo. La consulta previa no es un añadido marginal, sino el cierre institucional del circuito cuando el riesgo residual permanece alto después de aplicar medidas. Una EIPD que no permite valorar el riesgo residual difícilmente puede cumplir plenamente su función.

La evolución técnica ha ampliado el campo del riesgo. Biometría, publicidad dirigida, sensores, cloud, IA, scoring y vigilancia muestran que el riesgo no está solo en el dato, sino en el sistema de tratamiento y en sus efectos.

La evolución organizativa ha convertido la EIPD en un proceso transversal. Evaluar correctamente exige integrar tecnología, seguridad, proveedores, dirección, DPO y funciones de control.

La evolución probatoria ha transformado la EIPD en una evidencia de diligencia. No basta con afirmar que se evaluó. Hay que poder demostrar cómo se evaluó, qué alternativas se analizaron, qué medidas se adoptaron y qué decisión se tomó.

El modelo gráfico propuesto permite representar esta evolución como crecimiento compuesto de la madurez interpretativa. No es una medición estadística cerrada, sino una herramienta conceptual para explicar cómo las capas normativas, técnicas, supervisoras y documentales se refuerzan entre sí.

La conclusión general puede formularse así:

Diez años después de la aprobación del RGPD, puede sostenerse que la EIPD tiende a operar como infraestructura documental, metodológica y organizativa para gobernar tratamientos de alto riesgo. Su función no es producir papel, sino hacer visible la calidad de una decisión: comprender el tratamiento, justificarlo, reducir sus riesgos, valorar el riesgo residual y saber cuándo la autoridad debe intervenir.

Figura final. 2016 vs 2026: de obligación preventiva a gobernanza verificable del riesgo.

* Enlace al excel del artículo con la base usada para el análisis.