Evaluación de impacto antes de medir el correo de la plantilla: cuándo es obligatoria y cómo plantearla

Cuando una empresa decide medir el correo de su plantilla, tarde o temprano aparece la misma pregunta: ¿hace falta una evaluación de impacto? La respuesta depende del diseño del control, pero el correo corporativo reúne con frecuencia varios de los factores que el RGPD y la AEPD asocian a un alto riesgo, aunque nadie lea el contenido de un solo mensaje.

Antes de entrar en la evaluación conviene tener claro qué se puede revisar y con qué límites, que es lo que explica la guía sobre la revisión del correo de un empleado. Este artículo se ocupa de otra parte: cuándo es obligatoria la evaluación, cómo se estructura, cómo se razona la proporcionalidad, qué papel tienen el delegado de protección de datos y la representación de la plantilla, y cómo se trata un análisis de metadatos en la práctica.

Las normas se citan a fecha de octubre de 2026. El texto es informativo y no sustituye el asesoramiento de un abogado ni la labor del delegado de protección de datos, que es quien debe asesorar en cada caso concreto.

Cuándo hace falta: el artículo 35 y la lista de la AEPD

El artículo 35.1 del Reglamento (UE) 2016/679 exige que el responsable haga una evaluación de impacto antes del tratamiento cuando sea probable que este entrañe un alto riesgo para los derechos y libertades de las personas, en particular por su naturaleza, su alcance, su contexto o sus fines. El apartado 3 enumera tres supuestos en los que siempre hace falta. Dos de ellos no encajan en la supervisión del correo: el tratamiento a gran escala de categorías especiales de datos y la observación sistemática de zonas de acceso público. El tercero, la evaluación sistemática de aspectos personales basada en un tratamiento automatizado, con decisiones que producen efectos jurídicos, sí puede aparecer si los resultados se usan para decidir sobre personas. Por eso importa tanto lo que se hace con el dato como el dato en sí.

El apartado 4 encarga a cada autoridad de control publicar una lista de tratamientos que requieren evaluación. La lista que publica la AEPD incluye, entre sus supuestos, los tratamientos que suponen monitorizar el rendimiento laboral de los empleados. Es una lista orientativa y no agota la materia. La propia AEPD indica que, en la mayoría de los casos, un tratamiento que reúna dos o más de sus criterios requiere evaluación, salvo que esté en la lista de tratamientos excluidos del apartado 5. Este artículo describe ese supuesto con sus palabras y no lo transcribe. Antes de citarlo en un informe, conviene copiar la redacción literal del PDF oficial.

Las directrices sobre evaluaciones de impacto del Grupo de Trabajo del Artículo 29, en su versión WP248 rev.01, que el Comité Europeo de Protección de Datos asumió, enumeran nueve criterios de alto riesgo. Entre ellos están la evaluación o puntuación de personas, la observación sistemática, el tratamiento de datos de personas vulnerables, el uso innovador de tecnologías y la combinación de conjuntos de datos. Según esas directrices, en la mayoría de los casos basta con que concurran dos criterios para que la evaluación sea necesaria.

Aplicado al correo, el recorrido suele ser este. La plantilla está en una relación de desequilibrio con la empresa, y las directrices citan a las personas trabajadoras como ejemplo de interesados vulnerables. Medir de forma continua la actividad de cada cuenta encaja bien en la observación sistemática. Si el resultado ordena o puntúa a las personas, se activa el criterio de evaluación. Y si se añade un sistema de inteligencia artificial que interpreta patrones, aparece el uso innovador. Con dos de esos criterios, la evaluación es lo habitual.

Esto no significa que toda medición del correo exija una evaluación con independencia de su diseño. Una herramienta que cuente correos enviados por equipo, sin identificar a nadie, reduce bastante el riesgo y puede no llegar al umbral. Lo que decide es el diseño concreto, y ese análisis corresponde a la empresa, con el asesoramiento de su delegado de protección de datos cuando lo haya.

Los metadatos también cuentan

Una idea equivocada es que, como no se lee el contenido, no hay riesgo. Los metadatos describen con quién habla cada persona, a qué horas, con qué frecuencia y cuánto tarda en responder. Con varios meses de datos se reconstruyen rutinas, dependencias entre compañeros y hábitos de trabajo. Esa es información sobre personas identificadas o identificables, y el RGPD se aplica a ella sin necesidad de que haya un mensaje de por medio.

El artículo 4.4 del RGPD define la elaboración de perfiles como toda forma de tratamiento automatizado de datos personales que sirva para evaluar aspectos personales de una persona física, como su rendimiento laboral. Un cuadro que ordena a las personas por su tiempo de respuesta encaja en esa definición aunque no tenga ni una palabra del contenido de sus correos.

Por eso el análisis se decide por la finalidad, el alcance y el destino del resultado, antes que por el nivel técnico del dato. Un análisis de metadatos agregado por departamento, para dimensionar cargas de trabajo, no tiene el mismo riesgo que un ranking por persona usado para decidir sobre su evaluación laboral.

Estructura de una EIPD

El apartado 7 del artículo 35 fija el contenido mínimo de la evaluación. Son cuatro partes, y conviene escribirlas en ese orden, porque cada una alimenta a la siguiente.

1. Descripción sistemática del tratamiento y de sus fines, con el interés legítimo perseguido cuando lo haya. Aquí entran los datos que se usan, de qué fuentes llegan, quién accede, cuánto tiempo se conservan y qué herramienta los procesa.
2. Evaluación de la necesidad y de la proporcionalidad de las operaciones con respecto a su finalidad. Por qué ese fin, por qué esos datos y por qué ese nivel de detalle.
3. Evaluación de los riesgos para los derechos y libertades de las personas afectadas. No solo los de la empresa: también los de las personas que escriben a la plantilla, que son terceros con su propia intimidad.
4. Medidas previstas para afrontar esos riesgos, incluidas las garantías, las medidas de seguridad y los mecanismos que aseguren la protección de datos y demuestren el cumplimiento del Reglamento.

El último punto habla de demostrar el cumplimiento. Una evaluación bien redactada que nadie puede enseñar a la autoridad cuando la pide, con sus fechas, sus versiones y las decisiones que recoge, no cumple su función.

Proporcionalidad, paso a paso

La necesidad y la proporcionalidad no son una frase de cierre. Se razonan con el mismo esquema que usa la doctrina del Tribunal Constitucional para examinar los límites a los derechos fundamentales, en tres pasos.

1. Idoneidad: la medida sirve para el fin declarado. Medir el tiempo de primera respuesta sirve para revisar la atención a los clientes. Por sí solo, no dice si una persona trabaja bien.
2. Necesidad: no existe otra medida menos intrusiva que alcance el mismo fin. Si un análisis por buzón funcional responde a la pregunta, un análisis por persona sobra. Si bastan los metadatos, el contenido sobra. Es el mismo razonamiento que aplica el Tribunal Europeo de Derechos Humanos en el caso Bărbulescu, que se analiza en la guía sobre la revisión del correo.
3. Proporcionalidad en sentido estricto: el beneficio compensa el sacrificio. Se mide con el alcance (cuántas personas y durante cuánto tiempo), con el nivel de detalle (agregado o individual) y con el número de personas que acceden a los resultados.

La parte que más se omite es explicar por qué no basta una medida menos intrusiva. Es también la que más se echa en falta cuando una autoridad revisa un expediente, porque obliga a pensar alternativas antes de fijar el diseño.

Un ejemplo de riesgos y medidas

El caso siguiente es hipotético y sirve para ilustrar la estructura. Una empresa quiere medir el tiempo de primera respuesta de su equipo comercial a los correos de clientes, con una herramienta conectada a Microsoft 365 o a Google Workspace, y con alertas cuando un correo supera el plazo fijado. La evaluación de esa medición podría recoger, como mínimo, los riesgos y las medidas de la siguiente tabla.

Las medidas reducen el riesgo, pero no lo eliminan. Si después de aplicarlas el riesgo sigue siendo alto, la evaluación debe pasar a consulta previa, y el tratamiento no debería ponerse en marcha mientras tanto.

Consulta previa a la AEPD

El artículo 36 del RGPD establece que el responsable consultará a la autoridad de control antes de tratar los datos cuando la evaluación muestre que el tratamiento entrañaría un alto riesgo a falta de medidas para mitigarlo. La autoridad dispone de ocho semanas desde la solicitud para asesorar por escrito. Ese plazo puede prorrogarse seis semanas más según la complejidad del tratamiento.

Pocos tratamientos de correo llegan a esa fase, porque las medidas de diseño suelen bajar el riesgo residual. Aun así, conviene conocer el camino. Si la empresa necesita una consulta, tiene que contar con esos plazos, con la documentación completa y con la espera. Y si pone en marcha el tratamiento sin consultar cuando debía, asume el riesgo de un incumplimiento que la evaluación ya había señalado.

La AEPD publicó una guía sobre la gestión del riesgo y la evaluación de impacto que unifica sus criterios y recoge sus interpretaciones y las del Comité Europeo de Protección de Datos y del Supervisor Europeo de Protección de Datos. Va dirigida a responsables, encargados y delegados, y acompaña a un prototipo de herramienta para estimar el nivel de riesgo de un tratamiento. Es el mejor punto de partida metodológico para quien no haya hecho antes una evaluación de este tipo.

Papel del DPO y de la representación

El apartado 2 del artículo 35 obliga al responsable a recabar el asesoramiento del delegado de protección de datos, si lo ha designado. Lo que se espera es que el delegado asesore, que su opinión quede registrada y que, si el responsable se aparta de ella, lo justifique por escrito. Esa justificación es buena práctica y encaja con la responsabilidad proactiva del artículo 5.2 del RGPD.

El apartado 9 añade que, cuando proceda, el responsable recabará la opinión de los interesados o de sus representantes. En la plantilla, la representación legal ya debe participar en la elaboración de los criterios de uso de los dispositivos digitales, según el artículo 87.3 de la LOPDGDD. Tiene sentido hacer ambas consultas a la vez, con un único texto y un único registro de observaciones.

Qué documentación aporta EmailDelDia

EmailDelDia no entrega una evaluación de impacto hecha. La evaluación es del responsable del tratamiento, que en este caso es la empresa cliente, y EmailDelDia actúa como encargado. Lo que el proveedor puede aportar es información técnica verificable para alimentar la descripción del tratamiento y las medidas.

Por defecto, el análisis trabaja con metadatos. El asunto y la vista previa solo se conservan si la organización lo habilita, y esa decisión queda documentada. Las métricas se calculan con reglas que no usan inteligencia artificial, y el análisis con IA es opcional y funciona con la clave de la propia organización. Los permisos se piden con el alcance mínimo y cada acceso queda registrado. La página de seguridad de EmailDelDia recoge esos puntos, con sus límites.

Nada de eso sustituye a la evaluación. La empresa tiene que describir el tratamiento que decide, con sus fines, sus destinatarios y sus plazos, y sobre esa descripción se construye la evaluación. Si una medida depende de una configuración, debe figurar en la evaluación como configuración y no como promesa.

Preguntas frecuentes

¿Hace falta una EIPD para medir solo los metadatos del correo?

Puede hacer falta. Los metadatos no quedan fuera del RGPD y, si describen a personas, el análisis puede encajar en la lista de la AEPD o en los criterios del WP248. La respuesta depende de la finalidad, del alcance y de si se identifica a cada persona. Ante la duda, la evaluación es la forma de dejar constancia de la decisión tomada.

¿Qué pasa si la evaluación concluye que el riesgo sigue siendo alto?

El artículo 36 exige consultar a la autoridad antes de tratar los datos. Mientras tanto, el tratamiento no debería ponerse en marcha tal como está diseñado. Lo habitual es rediseñarlo para bajar el riesgo: agregar la información, limitar el acceso, acotar el periodo o quitar funciones.

¿Quién firma la evaluación de impacto?

La firma el responsable del tratamiento, es decir, la empresa, a través de quien tenga competencia para decidir sobre el tratamiento. El delegado de protección de datos asesora y deja constancia de su opinión. El encargado, como un proveedor de software, aporta información técnica, pero no asume la decisión sobre el tratamiento.

¿Una evaluación de impacto protege de una sanción si el control es desproporcionado?

No. La evaluación sirve para demostrar que se hizo el juicio de proporcionalidad, pero por sí sola no legitima un control. Si el análisis es desproporcionado, el registro escrito juega en contra de la empresa, porque deja a la vista lo que se decidió y con qué justificación.

¿Hay que hacer la evaluación antes de la primera medición?

Sí. El artículo 35.1 la sitúa antes del tratamiento, no después. Conviene revisarla cuando cambie algo que altere el riesgo, por ejemplo al activar un análisis con inteligencia artificial, al añadir una fuente de datos o al ampliar a más equipos el análisis.