Evaluación de impacto de protección de datos en transferencias

Una Evaluación de Impacto en la Protección de Datos (EIPD) en virtud del artículo 35 del RGPD es obligatoria cuando el tratamiento "es probable que suponga un alto riesgo para los derechos y libertades de las personas físicas". Para los sistemas de transferencia de archivos, ese umbral se activa cuando se transfieren datos de categoría especial a escala (archivos de salud, biometría), cuando se monitoriza sistemáticamente a empleados, cuando se gestionan datos de menores o cuando se integran flujos de datos personales de gran volumen entre terceros países. La EIPD documenta el tratamiento, evalúa la necesidad y proporcionalidad, identifica los riesgos y las medidas de mitigación — antes de que comience el tratamiento. Omitirla cuando es obligatoria conlleva multas del artículo 83(4) de hasta 10 millones de euros o el 2 % del volumen de negocio global.

Cuándo un sistema de transferencia de archivos necesita una EIPD

El artículo 35(3) enumera tres activadores presuntivos: evaluación automatizada sistemática con efectos jurídicos o significativos, tratamiento a gran escala de categorías especiales del artículo 9 o datos penales, y vigilancia sistemática a gran escala de espacios públicos. La mayoría de las autoridades de protección de datos nacionales han ampliado esto. La lista de la CNIL (octubre de 2018, actualizada periódicamente) añade: uso innovador de tecnología, combinación de conjuntos de datos de distintos responsables del tratamiento, tratamiento de datos de localización o comportamentales, y tratamiento de datos de personas vulnerables. Una plataforma de ensayos clínicos que gestiona imágenes DICOM, identificadores de pacientes y archivos genómicos activa el artículo 35 desde el primer día.

El contenido obligatorio del artículo 35(7)

El artículo 35(7) especifica cuatro componentes mínimos de la EIPD: (a) descripción sistemática de las operaciones de tratamiento y sus finalidades, (b) evaluación de la necesidad y proporcionalidad, (c) evaluación de los riesgos para los derechos y libertades de los interesados, (d) medidas para abordar los riesgos, incluidas salvaguardias y demostración del cumplimiento. Desarrolla cada uno: en (a) incluye diagramas de flujo de datos; en (b) cita la base jurídica y demuestra que las alternativas menos invasivas no funcionan; en (c) puntúa los riesgos por probabilidad y gravedad; en (d) asocia cada riesgo a un control técnico u organizativo concreto.

Paso 1: describir el flujo de transferencia de archivos de extremo a extremo

Empieza con un diagrama de flujo de datos. Endpoint de carga, preprocesamiento en el cliente, transporte (TLS 1.3), recepción en el servidor, cifrado en reposo (AES-256-GCM), ubicación de almacenamiento (eu-central-1), correo de notificación al destinatario, endpoint de descarga, descifrado en el navegador del destinatario, disparador de eliminación (expiración a los 7 días). Para cada flecha, documenta las categorías de datos personales (nombre, correo, contenido del archivo, IP, marca de tiempo), los actores (remitente, plataforma, destinatario, subencargados del tratamiento) y el período de retención. Herramientas como la plantilla EIPD de Microsoft o el software PIA de la CNIL generan registros exportables aceptados por los auditores.

Paso 2: evaluar la necesidad y proporcionalidad

El artículo 35(7)(b) pregunta si el tratamiento es necesario para la finalidad declarada. ¿Podría alcanzarse el mismo objetivo con menos datos? Para un sistema de transferencia, las respuestas típicas son: el correo del destinatario es necesario para la entrega (no puede sustituirse). La IP del remitente ayuda a la detección de fraude, pero no es estrictamente necesaria — regístrala y descártala a los 30 días en lugar de conservarla permanentemente. El análisis de archivos para detectar malware es proporcional si no extrae contenido más allá de las firmas de malware. La indexación de contenido en tiempo real para búsqueda suele ser desproporcionada a menos que los usuarios opten por ello. Documenta cada juicio con las alternativas consideradas.

Paso 3: evaluación de riesgos con puntuación

Usa una matriz 5x5 (probabilidad x gravedad) o la escala PIA 4x4 de la CNIL. Enumera las amenazas: acceso no autorizado durante el tránsito, acceso no autorizado en reposo, brecha por un empleado malintencionado, divulgación bajo coacción por autoridades extranjeras, divulgación accidental mediante enlace mal dirigido, retención más allá de la finalidad, incapacidad para atender los derechos de los interesados. Para cada una, puntúa el riesgo inherente antes de los controles. Para una transferencia con solo TLS 1.3, la divulgación accidental por destinatario equivocado puntúa probabilidad 3 (moderada) y gravedad 4 (significativa) para archivos confidenciales de negocio. Tras la expiración del enlace y los registros de acceso, la probabilidad baja a 2.

Paso 4: identificar y documentar las mitigaciones

Cada riesgo recibe una línea de mitigación. Acceso no autorizado en tránsito: TLS 1.3 con HSTS, fijación de certificados en clientes móviles. Acceso no autorizado en reposo: AES-256-GCM con claves por archivo, claves maestras gestionadas por KMS. Divulgación bajo coacción: cifrado del lado del cliente para que el proveedor solo retenga texto cifrado, alojamiento exclusivo en la UE con proveedores soberanos (OVH, Scaleway). Enlaces mal dirigidos: opción de protección con contraseña, notificaciones de descarga, expiración del enlace, interfaz de revocación. Retención excesiva: TTL de 7 días por defecto, extensión manual limitada a 30 días, verificación documentada de la eliminación. Cada mitigación hace referencia al control que la implementa.

Consulta con el DPD y la autoridad supervisora

El artículo 35(2) exige consultar al Delegado de Protección de Datos si se ha designado uno. El asesoramiento del DPD debe documentarse junto con el razonamiento para seguirlo o apartarse de él. El artículo 36 exige consultar a la autoridad supervisora si el riesgo residual sigue siendo alto después de las mitigaciones. La CNIL informa del volumen de consultas previas en su informe anual: aproximadamente 100-200 consultas previas por año, con un 30-60 % que dan lugar a recomendaciones que requieren reconfiguración. Reserva entre dos y cuatro meses para la respuesta de la autoridad de protección de datos cuando se activa la consulta previa — bloquea la puesta en marcha.

Integración de la Evaluación de Impacto de la Transferencia

Si el alcance de la EIPD incluye transferencias internacionales, integra la Evaluación de Impacto de la Transferencia en virtud de Schrems II como anexo. La EIT cubre los mismos riesgos desde una óptica diferente: legislación del tercer país, acceso bajo coacción, efectividad de las CCE. Para una herramienta de transferencia que usa una CDN de EE. UU. (Cloudflare, Fastly) incluso con almacenamiento de objetos solo en la UE, la EIT debe abordar si los metadatos (IPs, cabeceras de solicitud) transitan por POPs de CDN en EE. UU. y si eso constituye una transferencia. Las directrices actuales del CEPD tratan el enrutamiento en tránsito como transferencia, así que abórdalo.

Mantener la EIPD actualizada

Una EIPD no es un artefacto de una sola vez. El artículo 35(11) exige revisarla cuando el tratamiento cambie materialmente. Para un servicio de transferencia de archivos, los cambios materiales incluyen: nuevo subencargado del tratamiento, nuevo tipo de archivo admitido (añadir vídeo cuando antes solo se admitían documentos), expansión a nuevas categorías de usuarios (consumidores frente a empresas), cambios arquitectónicos (pasar de exclusivo en la UE a multirregión). Revisa anualmente como mínimo, documenta la fecha y el revisor, y controla la versión de la EIPD en un registro de cumplimiento. Una EIPD revisada por última vez en 2022 pero que aún refleja el sistema actual es una señal de alarma.

Plantillas y recursos que funcionan

El software PIA gratuito de la CNIL (versión 3.0, actualizado en 2023) genera un PDF de EIPD conforme al artículo 35(7). La ICO ofrece una plantilla de DPIA y un ejemplo de DPIA para tratamientos de alto riesgo. La AEPD española publica la "Guía Práctica para las Evaluaciones de Impacto en la Protección de los Datos". El manual de ENISA de 2018 sobre medidas de seguridad complementa estos recursos con controles técnicos. Para las transferencias de archivos en particular, coteja la plantilla con las directrices del Grupo de Trabajo del Artículo 29 WP248 (adoptadas en 2017, respaldadas por el CEPD). Proveedores como HexaTransfer publican documentación lista para la EIPD — diagramas de arquitectura, especificaciones de cifrado, listas de subencargados — que los clientes pueden incorporar a sus propias evaluaciones.

La EIPD es el documento que los reguladores piden primero en una investigación. Redáctala antes del lanzamiento. Pruébalo en hexatransfer.com — gratis, sin cuenta, hasta 10 GB.