La evaluación de impacto en protección de datos permite decidir si una forma de usar información personal puede afectar los derechos de las personas y qué debe cambiar antes de ponerla en marcha. Para una gerencia que evalúa nuevas plataformas, automatización o monitoreo, su utilidad está en revisar el tratamiento mientras todavía existen alternativas de diseño y contratación.
El análisis considera a clientes, trabajadores y otras personas cuyos datos intervienen. Un proyecto puede funcionar bien y mantener la información protegida, pero utilizar antecedentes excesivos o producir consecuencias difíciles de corregir. Esa dimensión merece una decisión propia, además de la evaluación técnica.
Cuándo corresponde una evaluación de impacto en protección de datos
En Chile, la Ley 21.719 incorpora el artículo 15 ter a la Ley 19.628. Sus modificaciones entran en vigencia el 1 de diciembre de 2026. El precepto exigirá al responsable evaluar el impacto antes de iniciar un tratamiento cuando sea probable que, por su naturaleza, alcance, contexto, tecnología o fines, produzca un alto riesgo para los derechos de sus titulares.
La Ley 21.719, artículo 15 ter y disposiciones transitorias contempla cuatro supuestos en los que la evaluación será siempre requerida:
- Evaluaciones sistemáticas y exhaustivas de aspectos personales basadas en tratamiento o decisiones automatizadas, como perfiles, que produzcan efectos jurídicos significativos.
- Tratamientos masivos de datos o a gran escala.
- Observación o monitoreo sistemático de una zona de acceso público.
- Tratamiento de datos sensibles y especialmente protegidos en las hipótesis de excepción del consentimiento.
La ley encomienda a la Agencia establecer una lista orientativa y orientaciones mínimas. Al evaluar un caso habrá que contrastar también las instrucciones oficiales aplicables. Una etiqueta comercial como “inteligencia artificial” o “nube” no resuelve por sí sola el análisis: importa qué se hará con los datos y qué efectos puede producir.
El riesgo se mira desde la persona
La pregunta empresarial suele centrarse en multas, interrupciones o reputación. Aquí corresponde examinar también si una persona podría quedar excluida de una oportunidad por un perfil incorrecto, perder control sobre información sensible o ser observada más allá de lo necesario. Son escenarios que deben analizarse según el tratamiento concreto, sin presumir que ocurrirán.
Como referencia metodológica comparada, la autoridad británica ICO explica el propósito de una evaluación de impacto: identificar y reducir riesgos de privacidad con un rigor proporcional. Esta guía aporta criterios de trabajo; sus obligaciones jurídicas británicas no sustituyen las chilenas.
Por ejemplo, pensemos en una empresa que considera clasificar postulantes automáticamente usando antecedentes obtenidos de distintas fuentes. Además de proteger la plataforma, necesita entender qué información resulta pertinente, cómo se producen las conclusiones y qué consecuencias tendrían los errores. La seguridad del sistema y la justificación del uso de datos responden preguntas relacionadas, pero diferentes.
Comparar alternativas antes de comprometer el proyecto
El mapa de datos personales y sus flujos aporta la base: finalidad, personas involucradas, información, destinatarios y conservación. La evaluación utiliza ese conocimiento para examinar necesidad, proporcionalidad, riesgos y medidas. Repetir el inventario en otro formulario no entrega todavía esa respuesta.
Una comparación útil identifica alternativas reales. Si se busca conocer la ocupación de un espacio, conviene examinar si basta con información agregada. Si se propone conservar grabaciones para resolver incidentes, corresponde justificar cobertura, acceso y duración. La elección debería explicar qué aporta cada dato al propósito y qué exposición evita una opción menos intrusiva.
Qué necesita recibir quien autoriza
Para gerencia, el resultado debe permitir entender el tratamiento propuesto, los riesgos identificados y las condiciones necesarias para avanzar. Cada medida relevante necesita un responsable y evidencia de implementación. Cuando quedan riesgos residuales, deben exponerse con claridad para que la decisión no dependa de una conclusión genérica de “cumple”.
Negocio explica el propósito y las alternativas; Privacidad y Legal revisan su fundamento; TI y Seguridad contrastan la viabilidad de los controles. Si participa un proveedor, su documentación sirve como antecedente, pero debe relacionarse con el uso específico de la organización. La evaluación no crea una autorización para tratar datos sin fundamento ni garantiza cumplimiento por el solo hecho de completarla.
Una decisión que debe conservar sus condiciones
Como criterio de gestión, conviene revisar la evaluación cuando cambian la finalidad, los datos utilizados, el alcance del monitoreo o las consecuencias de una decisión automatizada. Aprobar un uso acotado no justifica cualquier ampliación posterior.
Si su organización está incorporando tratamientos que podrían implicar alto riesgo, el siguiente paso es delimitar cuáles requieren análisis y reunir antecedentes verificables antes de comprometer el diseño. El servicio de protección de datos personales de AllDefense aborda brechas, procesos y riesgos para apoyar esa preparación.
