Qué conviene tener claro
En protección de datos, la pregunta importante no es si el sistema de fichaje “funciona”, sino qué riesgos añade para los derechos de las personas. Esa reflexión cambia mucho cuando el proyecto incorpora biometría, geolocalización constante, análisis intensivo de comportamiento o un tratamiento especialmente amplio.
Por eso conviene no banalizar la evaluación de impacto. Hay tratamientos donde bastará con una buena gestión ordinaria del riesgo, y otros donde tiene sentido plantear una revisión más profunda antes de implantar la herramienta.
Qué dice la fuente oficial
La AEPD explica en su guía sobre gestión del riesgo y evaluación de impacto que la necesidad de una EIPD depende del nivel de riesgo para los derechos y libertades de las personas. Su herramienta Gestiona RGPD ayuda precisamente a identificar factores de riesgo y a valorar si procede un análisis reforzado.
En sistemas de control horario, los disparadores más evidentes suelen aparecer cuando se combinan categorías o tecnologías intrusivas: biometría, seguimiento sistemático de ubicación, decisiones automatizadas o entornos donde la persona trabajadora tiene escaso margen frente al tratamiento.
Cómo bajarlo a la operativa diaria
La utilidad de esta reflexión está en hacerse antes del despliegue. Si la empresa espera a tener el sistema funcionando para preguntarse por riesgos, llegará tarde a decisiones de diseño tan básicas como qué dato recoger, cuánto tiempo conservarlo, quién accede o qué alternativa menos invasiva existía.
También conviene evitar la lógica del “siempre se ha hecho así”. Un proyecto pequeño puede no requerir EIPD, mientras que otro muy parecido sí puede hacerlo por el contexto, la escala, la tecnología o la combinación de finalidades.
Puntos que merece la pena dejar cerrados
- Analizar el tipo de dato, la escala del tratamiento y la intensidad del control que introduce el sistema.
- Revisar si existen alternativas menos invasivas con eficacia equivalente.
- Valorar si la herramienta genera perfiles, seguimiento sistemático o alto grado de monitorización.
- Documentar la decisión de hacer o no hacer una EIPD con criterios razonados.
- Usar herramientas oficiales de la AEPD para iniciar el análisis de riesgo.
Errores frecuentes o zonas grises
- Dar por hecho que toda tecnología novedosa exige EIPD o, en el extremo contrario, que ninguna la necesita.
- Confundir una ficha comercial del proveedor con una evaluación real del riesgo.
- Analizar el riesgo cuando el proyecto ya está cerrado y apenas admite cambios.
- Olvidar que la conveniencia de una EIPD puede venir del contexto aunque la funcionalidad parezca conocida.
Cómo ayuda una herramienta bien implantada
FicharNet encaja mejor cuando el diseño parte de la minimización y la proporcionalidad. Cuanto antes se revisan riesgos, más fácil es implantar solo los datos y funciones necesarios.
Ese enfoque no frena el proyecto; al contrario, suele ahorrar retrabajo, conflictos internos y decisiones difíciles cuando el sistema ya está en producción.