En Chile la evaluación de impacto es obligatoria cuando un tratamiento pueda producir un alto riesgo para los derechos de los titulares, y debe hacerse antes de iniciar las operaciones. El artículo 15 ter de la Ley 21.719 la exige siempre en cuatro casos: perfilamiento con efectos jurídicos, tratamiento masivo, monitoreo de zonas públicas y datos sensibles sin consentimiento.
Lo esencial en 30 segundos
- La EIPD (o DPIA) es un análisis previo de los riesgos de un tratamiento para las personas.
- Es obligatoria cuando el tratamiento pueda producir un alto riesgo para los derechos de los titulares, y el artículo 15 ter la exige siempre en cuatro casos tasados.
- Se hace antes de iniciar el tratamiento, no después.
- Debe documentarse y revisarse cuando el tratamiento cambia.
- Es parte de la responsabilidad proactiva y se apoya en tu RAT.
No todos los tratamientos requieren una evaluación de impacto — pero los que sí, la requieren antes de empezar, y omitirla es una brecha que pesa en una fiscalización. La buena noticia: bien enfocada, una EIPD es una herramienta de decisión, no un trámite. Si todavía no tienes claro el panorama general, parte por la guía definitiva de la Ley 21.719. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.
Qué es una EIPD
La Evaluación de Impacto en Protección de Datos —EIPD, o DPIA por sus siglas en inglés (Data Protection Impact Assessment)— es un análisis previo que sirve para anticipar y mitigar los riesgos que un tratamiento puede generar para los derechos de las personas. En vez de descubrir el problema cuando ya ocurrió, la EIPD obliga a pensarlo antes: ¿qué puede salir mal para los titulares y cómo lo evitamos?
¿Cuándo es obligatoria?
El artículo 15 ter de la Ley 21.719 fija una regla general y una lista cerrada. La regla general: hay que evaluar cuando sea probable que el tratamiento, por su naturaleza, alcance, contexto, tecnología utilizada o fines, produzca un alto riesgo para los derechos de los titulares. La lista: cuatro casos donde la evaluación se requerirá siempre. Conviene leerlos con precisión, porque circulan versiones que trasladan el artículo 35 del RGPD europeo y no coinciden con el texto chileno:
| Situación | ¿Requiere EIPD? | Fundamento |
|---|---|---|
| Evaluación sistemática y exhaustiva de aspectos personales basada en tratamiento o decisiones automatizadas, como perfiles, que produzca efectos jurídicos significativos | Sí, siempre | Artículo 15 ter letra a) |
| Tratamiento masivo de datos o a gran escala | Sí, siempre | Artículo 15 ter letra b) |
| Tratamiento que implique observación o monitoreo sistemático de una zona de acceso público | Sí, siempre | Artículo 15 ter letra c) |
| Tratamiento de datos sensibles y especialmente protegidos, en las hipótesis de excepción del consentimiento | Sí, siempre | Artículo 15 ter letra d) |
| Cualquier otro tratamiento que, por naturaleza, alcance, contexto, tecnología o fines, pueda producir alto riesgo | Sí, por la regla general | Artículo 15 ter inciso primero |
| Tratamiento rutinario, de bajo volumen y sin alto riesgo | No, salvo que la lista de la Agencia lo incluya | Artículo 15 ter inciso tercero |
Ante la duda, hacer la EIPD es la opción prudente: el costo de evaluarla es bajo frente al de un tratamiento de alto riesgo sin análisis. Sectores como salud y banca la necesitan con frecuencia.
Qué debe contener una EIPD
- Descripción del tratamiento: qué datos, de quién, con qué finalidad y por qué medios.
- Necesidad y proporcionalidad: ¿es realmente necesario tratar esos datos para ese fin? ¿hay una vía menos invasiva?
- Identificación de riesgos para los derechos de los titulares (acceso indebido, pérdida, uso desviado, discriminación).
- Medidas de mitigación: controles técnicos y organizativos para reducir cada riesgo.
- Conclusión y seguimiento: si el riesgo residual es aceptable y cómo se revisará en el tiempo.
Cómo hacerla paso a paso
- Identifica si se gatilla: usa la tabla de arriba al diseñar un tratamiento nuevo o al revisar uno existente en tu RAT.
- Describe el tratamiento con detalle (flujos de datos, sistemas, terceros).
- Evalúa necesidad y proporcionalidad: descarta datos o finalidades que no aporten.
- Mapea los riesgos y su probabilidad e impacto.
- Define medidas de mitigación y recalcula el riesgo residual.
- Documenta y decide: si el riesgo residual sigue siendo alto, revisa el diseño antes de avanzar.
- Revisa la EIPD cuando el tratamiento cambie.
Errores comunes
- Hacerla al final, cuando el sistema ya está construido. La EIPD es privacidad desde el diseño: va al inicio.
- Tratarla como un formulario a llenar, sin decisiones reales sobre el diseño del tratamiento.
- No involucrar a TI y a legal juntos: el riesgo es técnico y jurídico a la vez.
- No revisarla cuando cambia la finalidad o se suma un proveedor.
¿Tienes tratamientos de alto riesgo sin evaluar?
Te ayudamos a identificar cuáles requieren EIPD y a realizarlas con foco en decisiones, no en papeles. Diagnóstico de 30 minutos, sin compromiso.
Solicitar diagnósticoPreguntas frecuentes
¿Qué es una EIPD?
Una Evaluación de Impacto en Protección de Datos (EIPD, o DPIA) es un análisis previo que identifica y mitiga los riesgos que un tratamiento puede generar para los derechos de las personas. Se realiza antes de iniciar tratamientos de alto riesgo.
¿Cuándo es obligatoria una EIPD bajo la Ley 21.719?
Cuando un tratamiento puede implicar un alto riesgo: datos sensibles a gran escala, monitoreo sistemático, perfilamiento, decisiones automatizadas con efectos significativos o uso de nuevas tecnologías. Ante la duda, hacerla es lo prudente.
¿Qué debe contener una EIPD?
Descripción del tratamiento y su finalidad, evaluación de necesidad y proporcionalidad, identificación de riesgos para los titulares, medidas de mitigación y conclusiones con seguimiento.
¿Quién hace la EIPD?
El responsable del tratamiento, idealmente con el Delegado de Protección de Datos (DPO) si existe, y con apoyo de las áreas técnicas y legales. Debe documentarse y revisarse cuando el tratamiento cambia.
¿Qué artículo de la Ley 21.719 regula la evaluación de impacto?
El artículo 15 ter, titulado «Evaluación de impacto en protección de datos personales». Establece la obligación de realizarla previo al inicio de las operaciones de tratamiento cuando sea probable que este produzca un alto riesgo para los derechos de los titulares, y enumera cuatro casos en que se requerirá siempre.
¿Cuándo se exige siempre una EIPD en Chile?
En los cuatro casos del artículo 15 ter de la Ley 21.719: evaluación sistemática y exhaustiva basada en decisiones automatizadas con efectos jurídicos significativos; tratamiento masivo o a gran escala; observación o monitoreo sistemático de una zona de acceso público; y tratamiento de datos sensibles en las hipótesis de excepción del consentimiento.
¿La EIPD se hace antes o después de iniciar el tratamiento?
Antes. El artículo 15 ter de la Ley 21.719 exige realizarla «previo al inicio de las operaciones del tratamiento». Una evaluación hecha con el sistema ya en producción no cumple el deber: su función es decidir si el tratamiento procede y con qué mitigaciones, no justificar lo que ya se hizo.
¿Existe una lista oficial de tratamientos que requieren EIPD?
Está prevista pero aún no publicada. El artículo 15 ter de la Ley 21.719 encarga a la Agencia de Protección de Datos Personales establecer y publicar una lista orientativa de los tipos de operaciones que requieren o no evaluación de impacto, junto con las orientaciones mínimas para realizarla.
¿Qué debe contener como mínimo la evaluación?
El artículo 15 ter de la Ley 21.719 fija los criterios que la Agencia deberá recoger en sus orientaciones mínimas: la descripción de las operaciones de tratamiento, su finalidad, la evaluación de la necesidad y la proporcionalidad respecto de esa finalidad, la evaluación de los riesgos y las medidas de mitigación.
¿Puedo consultar a la Agencia si el resultado da alto riesgo?
Sí. El artículo 15 ter de la Ley 21.719 permite a los responsables consultar a la Agencia de Protección de Datos Personales cuando, en virtud del resultado de la evaluación, el tratamiento demuestre ser de alto riesgo, con el fin de obtener recomendaciones de esa entidad antes de seguir adelante.
Fuentes oficiales
- Ley 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales — texto oficial, Biblioteca del Congreso Nacional
- Artículo 15 ter (evaluación de impacto en protección de datos personales) — texto refundido vigente desde el 1 de diciembre de 2026
Este artículo tiene fines informativos y no constituye asesoría legal para un caso particular.