La evaluación de impacto en protección de datos personales —conocida como EIPD o, en inglés, DPIA— es un análisis previo que debe hacer el responsable cuando el tratamiento que planea puede generar un alto riesgo para las personas. No es un trámite administrativo: es un documento que demuestra que evaluaste el riesgo, que pensaste en alternativas y que tomaste medidas para reducir el daño posible. La Ley 21.719 la hace obligatoria en ciertos casos y la Agencia de Protección de Datos Personales puede pedirla en cualquier momento.
Este artículo explica cuándo corresponde hacer una evaluación de impacto, qué debe contener, cómo se relaciona con otros documentos de cumplimiento y qué pasa si la Agencia la pide y no existe.
Cuándo es obligatorio hacer una evaluación de impacto
La ley establece que debes hacer una evaluación de impacto cuando sea probable que un tipo de tratamiento, por su naturaleza, alcance, contexto, tecnología utilizada o fines, pueda producir un alto riesgo para los derechos de las personas titulares de los datos personales. Esa evaluación debe estar lista antes de que empieces las operaciones de tratamiento.
La norma enumera cuatro situaciones en las que siempre se requiere:
- Evaluación sistemática y exhaustiva de aspectos personales de los titulares de datos, basadas en tratamiento o decisiones automatizadas, como la elaboración de perfiles, y que produzcan en ellos efectos jurídicos significativos.
- Tratamiento masivo de datos o a gran escala.
- Tratamiento que implique observación o monitoreo sistemático de una zona de acceso público.
- Tratamiento de datos sensibles y especialmente protegidos, en las hipótesis de excepción del consentimiento.
Esos cuatro casos son obligatorios. Pero la ley también dice que la Agencia establecerá y publicará una lista orientativa de los tipos de operaciones de tratamiento que requieran o no una evaluación de impacto. Esa lista todavía no existe, pero cuando esté disponible será una herramienta clave para saber si tu tratamiento entra o no.
Qué significa «alto riesgo» en la práctica
Alto riesgo no es un concepto abstracto. Se refiere a tratamientos que pueden afectar la vida de las personas de manera significativa: que las discriminen, que las expongan a un perjuicio económico, que revelen información íntima sin su control o que las sometan a decisiones sin intervención humana. Un ejemplo: una empresa de transporte que usa cámaras con reconocimiento facial en sus buses para identificar a pasajeros que han tenido incidentes previos. Otro: una plataforma de reclutamiento que filtra currículos con un algoritmo y descarta candidatos sin que nadie revise el criterio.
Una pyme de doce personas que guarda RUT, correo y teléfono de sus clientes para enviar facturas no está en esa categoría. Una clínica que procesa datos de salud de mil pacientes al mes y los cruza con un sistema de cobranza automatizado, sí.
Qué debe contener una evaluación de impacto
La ley establece que la Agencia fijará las orientaciones mínimas para realizar la evaluación de impacto, considerando al menos la descripción del tratamiento. Mientras esas orientaciones no se publiquen, la referencia más cercana es la experiencia de otras jurisdicciones y el sentido común del análisis de riesgo.
Una evaluación de impacto completa debería incluir:
- Descripción del tratamiento: qué datos se procesan, con qué finalidad, qué tecnología se usa, quién tiene acceso y cuánto tiempo se conservan.
- Evaluación de la necesidad y proporcionalidad: por qué ese tratamiento es necesario para el fin que persigues y si existe una forma menos invasiva de lograrlo.
- Identificación de los riesgos: qué puede salir mal, qué daño puede sufrir el titular y qué probabilidad hay de que ocurra.
- Medidas de mitigación: qué controles técnicos, organizacionales y contractuales pusiste para reducir el riesgo a un nivel aceptable.
- Conclusión: si el tratamiento puede llevarse a cabo, bajo qué condiciones y con qué controles adicionales.
El documento no tiene que ser extenso, pero sí tiene que ser honesto. Una evaluación de impacto que solo repite frases genéricas no sirve para nada y, si la Agencia la revisa, se nota.
Diferencia entre la evaluación de impacto y el Registro de Actividades de Tratamiento
Muchas empresas confunden estos dos documentos. El Registro de Actividades de Tratamiento es un inventario de todas las operaciones de tratamiento que realizas: qué datos tienes, para qué los usas, con quién los compartes y cuánto tiempo los guardas. Es obligatorio para todos los responsables de datos y debe estar siempre actualizado.
La evaluación de impacto, en cambio, es un análisis de riesgo específico para un tratamiento concreto que puede generar un alto riesgo. No todas las actividades del Registro requieren una evaluación de impacto, pero toda evaluación de impacto debería estar reflejada en el Registro.
Dicho de otra forma: el Registro es la foto completa de tu tratamiento de datos; la evaluación de impacto es el zoom sobre una operación que merece atención especial.
Qué pasa si la Agencia pide la evaluación de impacto y no existe
La Agencia tiene facultades de fiscalización y puede requerir a cualquier responsable de datos que entregue los antecedentes que acrediten la licitud del tratamiento que realiza. Eso incluye la evaluación de impacto cuando corresponda.
Si la Agencia determina que debiste haber hecho una evaluación de impacto y no la hiciste, puede aplicar sanciones. La omisión de obligaciones de información y seguridad puede calificarse como infracción grave, con multas de hasta 10.000 UTM. Si además el tratamiento generó un daño concreto o se hizo sin base de licitud, la infracción puede ser gravísima, con multas de hasta 20.000 UTM.
Pero el problema no es solo la multa. Sin una evaluación de impacto, no puedes demostrar que evaluaste el riesgo ni que tomaste medidas para reducirlo. Eso te deja en una posición débil frente a cualquier reclamación de un titular o frente a una auditoría de la Agencia.
Cuándo conviene hacer una evaluación de impacto aunque no sea obligatoria
La evaluación de impacto es obligatoria en los cuatro casos que enumera la ley, pero puede ser conveniente hacerla aunque tu tratamiento no entre en esa lista. Si estás evaluando un proyecto nuevo que involucra datos personales y tienes dudas sobre el riesgo, hacer el análisis te ayuda a tomar decisiones más informadas y a documentar tu criterio.
Además, si en el futuro la Agencia cuestiona ese tratamiento, contar con una evaluación de impacto previa demuestra que actuaste con diligencia. Eso puede marcar la diferencia entre una amonestación y una multa.
Ejemplos de tratamientos que requieren evaluación de impacto
Para que quede claro, estos son algunos ejemplos concretos de tratamientos que entran en la obligación:
- Un colegio que instala cámaras con reconocimiento facial en los accesos para controlar quién entra y sale del recinto.
- Una empresa de retail que usa un algoritmo para decidir a qué clientes ofrece crédito y a qué tasa, sin revisión humana del criterio.
- Una clínica que procesa datos de salud de pacientes con VIH para un estudio epidemiológico, sin consentimiento individual.
- Una plataforma de delivery que monitorea la ubicación en tiempo real de sus repartidores y cruza esa información con datos de rendimiento para decidir quién sigue en la aplicación.
- Una empresa de seguridad que graba audio y video en espacios públicos y usa esa información para elaborar perfiles de comportamiento.
En todos esos casos, el tratamiento puede generar un alto riesgo para las personas. Algunos porque procesan datos sensibles, otros porque toman decisiones automatizadas que afectan a las personas, y otros porque combinan ambas cosas.
Cómo se relaciona la evaluación de impacto con el modelo de prevención de infracciones
El modelo de prevención de infracciones es un conjunto de políticas, procedimientos y controles que una empresa implementa para prevenir infracciones a la ley. Es voluntario, pero certificable ante la Agencia y puede atenuar sanciones.
La evaluación de impacto no es parte del modelo de prevención, pero ambos comparten un objetivo: identificar riesgos y tomar medidas para reducirlos. Si tu empresa tiene un modelo de prevención certificado, es probable que ya cuente con un proceso para identificar tratamientos de alto riesgo y realizar evaluaciones de impacto cuando corresponda. Si no lo tiene, la evaluación de impacto puede ser el primer paso para ordenar el cumplimiento.
Preguntas frecuentes
¿La evaluación de impacto se hace una sola vez o hay que actualizarla?
Debes actualizarla cada vez que cambien las condiciones del tratamiento: si agregas una nueva fuente de datos, si cambias la tecnología, si amplías la finalidad o si descubres un riesgo que no habías considerado. Una evaluación de impacto desactualizada no sirve.
¿Quién debe firmar la evaluación de impacto?
La ley no establece un requisito de firma, pero es una buena práctica que la firme el responsable de datos o su representante legal, y que quede respaldada por el delegado de protección de datos si existe. Eso demuestra que la evaluación fue revisada y aprobada al nivel correcto.
¿Puedo contratar a un tercero para que haga la evaluación de impacto?
Sí. Puedes contratar a un consultor o a una empresa especializada para que te ayude a redactar la evaluación de impacto, pero la responsabilidad final es tuya. El documento debe reflejar tu tratamiento real, no un modelo genérico.
¿La Agencia puede rechazar una evaluación de impacto?
La Agencia no aprueba ni rechaza evaluaciones de impacto de manera previa, salvo que tú la consultes voluntariamente. Pero si en el curso de una fiscalización revisa tu evaluación y considera que no cumple con los estándares, puede exigir que la corrijas o que suspendas el tratamiento hasta que lo hagas.
Qué hacer ahora
Si tu empresa realiza alguno de los tratamientos que enumera la ley, empieza por identificarlos y documentarlos. Luego evalúa el riesgo, describe las medidas de mitigación y deja el análisis por escrito. Si no tienes claro si tu tratamiento entra en la obligación, haz el análisis igual: el costo de hacerlo es menor que el costo de no tenerlo cuando lo pidan.
En MenteGlobal acompañamos a empresas chilenas en la implementación de la Ley 21.719, incluida la elaboración de evaluaciones de impacto. Si necesitas ayuda para ordenar el cumplimiento, revisa CumplePyme o escríbenos desde el formulario de contacto.