Perfilamiento y decisiones automatizadas
Evaluación sistemática y exhaustiva de aspectos personales basada en tratamiento o decisiones automatizadas —elaboración de perfiles, por ejemplo— que produzcan efectos jurídicos significativos en la persona.
Cumplimiento normativo · Ley 21.719
Evaluación de impacto en protección de datos (EIPD): el informe que la ley exige antes de empezar.
Artículo 15 ter: cuándo es obligatoria, qué tiene que contener y qué pasa si falta.
Hay tratamientos de datos que la ley no deja partir sin un documento previo: reconocimiento facial, perfilamiento de clientes, monitoreo de un espacio público, datos de salud tratados a escala. La evaluación de impacto es ese documento — y se escribe antes de encender el sistema, no cuando llega la fiscalización. Una EIPD que aparece con el sistema ya corriendo defiende mucho menos de lo que parece.
- Cada riesgo con su cita legal
- Previa al inicio, no posterior
- Veredicto claro: se puede seguir, y con qué medidas
- Plan de cierre con responsables y plazos
Si después del análisis no hace falta una EIPD, se lo decimos: no vendemos informes que la ley no pide.
Art. 15 ter
El artículo de la Ley 21.719 que la exige, previa al inicio del tratamiento
4 casos
En que la ley la exige siempre: perfilamiento, gran escala, monitoreo de zonas públicas y datos sensibles
Gravísima
Incumplirla está tipificado como infracción gravísima (artículo 34 quáter), con multa de hasta 20.000 UTM
Previa
Antes de iniciar las operaciones del tratamiento, y actualizada cada vez que el tratamiento cambie
Cuando sea probable que un tipo de tratamiento, por su naturaleza, alcance, contexto, tecnología utilizada o fines, pueda producir un alto riesgo para los derechos de las personas titulares de los datos personales, el responsable del tratamiento deberá realizar, previo al inicio de las operaciones del tratamiento, una evaluación del impacto en protección de datos personales.Ley 21.719, artículo 15 ter, inciso primero — texto en LeyChile (BCN)
Cuándo es obligatoria
Los cuatro casos en que la ley no deja elegir
La regla general es el alto riesgo. Pero el artículo 15 ter agrega cuatro situaciones en las que la evaluación se exige siempre, aunque parezca que tu proyecto no es riesgoso. Estos son, con la letra de la ley al lado:
Tratamiento masivo o a gran escala
Volumen, número de personas afectadas o extensión territorial del tratamiento. Es la letra que más se activa sin que nadie lo note.
Vigilancia de zonas de acceso público
Observación o monitoreo sistemático de un espacio público: cámaras con análisis, conteo de personas, lectura de patentes, sensores de comportamiento.
Datos sensibles sin consentimiento
Tratamiento de datos sensibles y especialmente protegidos en las hipótesis de excepción del consentimiento: salud, biométricos, origen étnico, vida sexual, situación socioeconómica, datos de niños, niñas y adolescentes.
Y sobre esa lista, la Agencia publicará una lista orientativa de las operaciones que requieren o no una evaluación de impacto. Hasta que exista, el criterio lo pone el artículo: la evaluación se hace cuando el riesgo es alto, y siempre en estos cuatro casos.
El entregable
Qué tiene que contener el informe
La ley fija los contenidos mínimos: la descripción de las operaciones, su finalidad, la necesidad y la proporcionalidad, la evaluación de los riesgos y las medidas de mitigación. El informe los desarrolla uno por uno, y agrega lo que la ley no nombra pero la operación sí necesita: un veredicto y un plan para cerrarlo.
Descripción del tratamiento
Qué datos, de quiénes, con qué tecnología, dónde viven y quién accede. La parte que casi nunca existe por escrito en la empresa y que todo lo demás necesita.
Finalidad, necesidad y proporcionalidad
Para qué se trata y por qué es necesario; y por qué no hay una forma menos invasiva de lograr lo mismo. Es el análisis que decide si el tratamiento se sostiene.
Identificación de riesgos
Uno por uno, con su probabilidad, su impacto sobre las personas y el artículo de la ley o del reglamento que corresponde a cada uno.
Medidas de mitigación
Qué se hace con cada riesgo: cambiar el diseño, acotar los datos, restringir accesos, cifrar, acortar plazos o dejar de tratar lo que no se justifica.
Veredicto
Una conclusión explícita: el tratamiento puede seguir, puede seguir con estas medidas, o no se sostiene como está planteado. Sin esa frase, el informe no sirve para decidir.
Plan de cierre
Cada medida con responsable y plazo, para que la evaluación no quede como un documento aprobado y sin ejecutar.
Si además la base de licitud que se invoca es el interés legítimo y no el consentimiento, el informe incluye la ponderación por escrito: qué interés se persigue, cómo afecta a las personas y por qué prevalece —o no— en este caso.
El método
Cómo lo hacemos
Alcance y entrevistas
primera etapaTrabajamos con las áreas que operan el tratamiento —no solo con quien firma—: levantamos qué datos entran, qué sistemas los procesan, a quién se comunican y qué ya está documentado.
Riesgos, cada uno con su cita
el análisisCada riesgo se evalúa contra la ley y su reglamento, y queda con la cita que lo sostiene. Nada se afirma «por buenas prácticas»: si un riesgo no tiene norma detrás, se dice que es una recomendación y no una obligación.
Veredicto y plan de cierre
el cierreEntregamos el informe con su veredicto, las medidas priorizadas por efecto y un plan con responsables y plazos. Y si el resultado arroja alto riesgo, preparamos también la consulta que la ley permite hacer a la Agencia antes de continuar.
Con claridad, desde el principio
Lo que esta evaluación no es
No es un formulario que se llena en una tarde
Una plantilla puede ordenar el documento, pero no puede responder por ti. El trabajo real está en mirar el tratamiento concreto y decidir qué riesgo acepta y cuál no.
No implementa las medidas que recomienda
El informe dice qué hacer; ejecutarlo es otro trabajo y se toma aparte. Si prefieres que lo hagamos nosotros, lo hacemos; y si lo hace tu equipo, queda el plan para seguirlo.
No es representación ante la Agencia
Preparamos la consulta previa cuando corresponde y dejamos todo documentado para sostenerla, pero no actuamos como tus abogados ni prometemos un resultado.
No da impunidad
Ninguna evaluación, por buena que sea, convierte en legal algo que no lo es. Sirve para lo que sirve de verdad: demostrar que el riesgo se analizó antes, con criterio y por escrito.
Si el trabajo es más grande
La EIPD es una pieza: la línea de cumplimiento tiene el resto
Una evaluación de impacto no reemplaza el registro de actividades de tratamiento, las políticas, los contratos con proveedores ni la atención de los derechos del titular. Si lo que necesitas es el programa completo, empieza por la línea 21.719 y la EIPD entra donde corresponde.
Datos de niños, niñas y adolescentes
Si la institución trata datos de NNA y no es un colegio, el camino es protección de datos de NNA, donde la evaluación de impacto viene integrada al trabajo. Si es un establecimiento educacional, Cumple Aula.
Cumplimiento completo, con o sin la EIPD
El diagnóstico, el registro, las políticas, los consentimientos y los encargados, en la línea de cumplimiento normativo.
Que cada respuesta venga con su cita
El mismo motor normativo que usamos para evaluar riesgos puede quedar disponible dentro de tu organización, respondiendo con la norma citada: sistema RAG.
Antes de la primera reunión
Preguntas frecuentes
¿Cómo sé si mi empresa necesita una EIPD?
Por dos vías. La primera: si el tratamiento puede producir un alto riesgo para los derechos de las personas, considerando su naturaleza, alcance, contexto, tecnología y fines. La segunda, y más fácil de comprobar: si el tratamiento cae en alguno de los cuatro casos del artículo 15 ter —perfilamiento con efectos significativos, tratamiento masivo o a gran escala, monitoreo sistemático de una zona de acceso público, o datos sensibles tratados sin consentimiento—, la evaluación se exige siempre. En la consulta revisamos tu caso concreto y te decimos en qué situación estás.
¿Qué pasa si no la hacemos y era obligatoria?
Incumplir la obligación del artículo 15 ter está tipificado expresamente como infracción gravísima en el artículo 34 quáter de la ley, con multa de hasta 20.000 UTM. Y más allá de la multa: el propio informe es la prueba de que el riesgo se evaluó antes de partir. Si algo pasa con esos datos, sin el informe no hay nada que mostrar.
La hicimos cuando lanzamos el sistema, ¿estamos al día?
Depende de si el tratamiento cambió. La evaluación responde a un tratamiento concreto: si después se sumó una nueva fuente de datos, se cambió de proveedor, se empezó a usar inteligencia artificial para decidir, se amplió a otro país o se incorporaron datos de otra categoría, la evaluación que existía ya no cubre lo que se está haciendo. Revisar si el informe sigue describiendo la operación real es una parte habitual de nuestro trabajo.
¿Cuánto demora y cuánto detalle tiene?
Una evaluación sobre un tratamiento acotado —una plataforma, un proceso, un sistema de cámaras— es un trabajo de semanas, no de meses. Un programa con varias operaciones de alto riesgo se evalúa por partes, y cada parte se entrega cerrada. En la primera reunión acordamos el alcance por escrito, para que sepas qué queda dentro y qué no
¿No me sirve una plantilla de internet?
Una plantilla sirve para saber qué preguntas hay que hacerse, y eso tiene valor. Lo que no puede hacer es responderlas: el análisis depende de cómo funciona tu tratamiento, qué datos trata, qué tecnología usa y qué alternativas existen. Y hay una diferencia práctica: una plantilla no sabe qué artículo aplica a cada riesgo, y frente a una fiscalización o a una consulta de la Agencia lo que se pide es exactamente eso.
¿Qué hacemos si la evaluación dice que el riesgo es alto?
La ley permite consultar a la Agencia de Protección de Datos Personales cuando, del resultado de la evaluación, el tratamiento demuestra ser de alto riesgo, para obtener sus recomendaciones. Nosotros preparamos esa consulta y mantenemos el plan de medidas en marcha mientras se resuelve. No es un callejón sin salida: es la conversación que conviene tener antes y no después.
¿Esto incluye implementar las medidas que recomienda?
No: el informe es el análisis y el plan. La implementación —cambiar accesos, cifrar, ajustar plazos, rediseñar el proceso— se toma aparte, y puede hacerla tu equipo con nuestro plan o la hacemos nosotros. Preferimos decirlo desde el principio en vez de que aparezca como una sorpresa al final.
¿Trabajan con nuestra infraestructura y nuestros sistemas?
Sí. La evaluación se hace sobre lo que ya tienes —Google Workspace, Drive, tu plataforma de gestión, tus sistemas de cámaras— y no pide migrar a nada. Si detectamos algo que conviene cambiar, va como recomendación con su efecto y su costo a la vista.
Por qué MenteGlobal
Cada afirmación del informe viene con su cita
Base normativa propia Para hacer estas evaluaciones montamos la ley y su reglamento en un motor de consulta normativa que exige validar cada cita antes de responder. Cuando en el informe decimos que un riesgo tiene norma detrás, la cita está verificada — y cuando algo es solo una recomendación nuestra, también se dice.
Operación, no solo documento Venimos de administrar sistemas donde corren datos personales y de salud: accesos, respaldos, retención y trazabilidad. La evaluación se escribe pensando en cómo se opera después, no en cómo se ve el PDF.
Si lo que buscas es un documento rápido para archivar, con honestidad te decimos que no somos eso. Si necesitas poder explicar, frente a un directorio o a la Agencia, por qué decidiste seguir con ese tratamiento y qué hicieron al respecto, entonces conversemos.