Evaluación de impacto en protección de datos: cuándo es obligatoria y cómo se hace
La evaluación de impacto en protección de datos personales (EIPD) es el análisis que se hace antes de iniciar un tratamiento de datos que puede ser riesgoso para las personas: qué puede salir mal, qué tan grave sería, qué tan probable es y qué medidas lo reducen. La regula el artículo 15 ter de la Ley 19.628, con el texto de la Ley 21.719.
Cuándo es obligatoria
La regla general es el alto riesgo:
«Cuando sea probable que un tipo de tratamiento, por su naturaleza, alcance, contexto, tecnología utilizada o fines, pueda producir un alto riesgo para los derechos de las personas titulares de los datos personales, el responsable del tratamiento deberá realizar, previo al inicio de las operaciones del tratamiento, una evaluación del impacto en protección de datos personales.»Ley 19.628, artículo 15 ter
Además, hay cuatro casos en que la ley la exige siempre:
| Caso (texto de la ley) | Ejemplos | |
|---|---|---|
| a) | Evaluación sistemática y exhaustiva de aspectos personales, basada en tratamiento o decisiones automatizadas, como la elaboración de perfiles, con efectos jurídicos significativos | Evaluación automática de crédito; selección de personal con puntaje automático. |
| b) | Tratamiento masivo de datos o a gran escala | La base de clientes de una gran cadena de tiendas. |
| c) | Observación o monitoreo sistemático de una zona de acceso público | Videovigilancia de un estacionamiento o del acceso a un edificio. |
| d) | Tratamiento de datos sensibles y especialmente protegidos, en las hipótesis de excepción del consentimiento | Datos de salud tratados sin consentimiento por una excepción legal. |
Basta uno de estos casos para que la evaluación sea obligatoria. A diferencia de criterios usados en otros países, la ley chilena no pide que se junten dos o más condiciones.
La Agencia de Protección de Datos Personales publicará además una lista orientativa de operaciones que requieren o no evaluación, y orientaciones mínimas para hacerla. Mientras tanto, ante la duda conviene hacerla: es la forma de demostrar diligencia.
Qué debe contener
La ley encarga a la Agencia fijar las orientaciones mínimas, considerando a lo menos:
- La descripción de las operaciones de tratamiento: qué datos, de quién, con qué sistemas y quién interviene.
- Su finalidad.
- La evaluación de la necesidad y la proporcionalidad respecto de esa finalidad: si los datos son los mínimos necesarios, si hay alternativas menos invasivas y si el plazo de conservación se justifica.
- La evaluación de los riesgos para los derechos de las personas.
- Las medidas de mitigación y el riesgo que queda después de aplicarlas.
Cómo se evalúa el riesgo: la matriz
El riesgo se estima cruzando la gravedad del daño que sufriría la persona con la probabilidad de que ocurra. Muchas metodologías usan una matriz de 3×3 (bajo, medio y alto en cada eje). Una matriz de 4×4 agrega precisión: cuatro niveles de gravedad (despreciable, limitada, significativa y máxima) y cuatro de probabilidad. Al no tener un punto medio, obliga a decidir si cada riesgo se inclina hacia arriba o hacia abajo, y la prioridad queda más clara.
El resultado importante es el riesgo residual: el que queda después de las medidas. Conviene distinguir el residual calculado con las medidas que tienen evidencia del que considera también medidas solo declaradas o comprometidas. La diferencia muestra cuánto del cumplimiento depende de promesas.
Te mostramos en 30 minutos cómo se organiza el cumplimiento de una empresa en DPOCentral, desde el registro hasta la evaluación de impacto.
Agenda una demo por WhatsAppVer planes¿Y si el riesgo sigue siendo alto?
Si la evaluación muestra que el tratamiento es de alto riesgo, la ley permite consultar a la Agencia:
«Los responsables podrán consultar a la Agencia de Protección de Datos Personales, cuando en virtud del resultado de la evaluación, el tratamiento demuestre ser de alto riesgo a efectos de obtener recomendaciones de parte de dicha entidad.»Ley 19.628, artículo 15 ter
Es una facultad, no una obligación ni una autorización previa: la decisión de seguir, ajustar o no iniciar el tratamiento sigue siendo del responsable.
Errores frecuentes
- Hacerla después. La ley la exige antes del inicio de las operaciones.
- Confundirla con un análisis de ciberseguridad. Evalúa el riesgo para las personas, no solo para los sistemas.
- Omitir la necesidad y proporcionalidad. Es la parte que muestra si el tratamiento se justifica.
- No dejar constancia de la decisión: quién decidió seguir, con qué riesgo y con qué medidas.
Cómo lo resuelve DPOCentral
DPOCentral determina si la evaluación procede a partir del registro de la actividad, guía el análisis de necesidad y proporcionalidad, evalúa las amenazas en una matriz de 4×4 con residual acreditado y declarado, y genera un informe en Word listo para la dirección. Cada versión de la evaluación queda sellada, con su historial.
Esta guía explica la Ley 19.628, con las modificaciones de la Ley 21.719, a partir de su texto oficial publicado por la Biblioteca del Congreso Nacional. Es material informativo y no reemplaza la asesoría de un abogado para un caso concreto.