Comprender el tratamiento
Describe qué datos se utilizan, quiénes son los titulares, cuál es la finalidad, qué sistemas intervienen y con quién se comparten.
Ley 21.719 · Riesgos de Privacidad · EIPD
Evaluación de Impacto en Protección de Datos (EIPD) para la Ley 21.719
La Evaluación de Impacto en Protección de Datos permite analizar tratamientos que pueden generar riesgos relevantes para los derechos de las personas y definir medidas para reducirlos antes de que se materialicen.
Una EIPD conecta el inventario de tratamientos, el análisis de riesgos, la arquitectura tecnológica, los proveedores, las medidas de seguridad y las decisiones de negocio dentro de un proceso documentado y trazable.
Actualizado: 9 de septiembre de 2026
¿Qué es una Evaluación de Impacto en Protección de Datos?
Es una herramienta de análisis preventivo que permite comprender un tratamiento, identificar cómo puede afectar a las personas y determinar qué medidas deben adoptarse para reducir sus riesgos.
Identificar riesgos
Analiza escenarios en los que el tratamiento puede afectar los derechos o libertades de las personas.
Definir medidas
Permite documentar controles legales, organizacionales y tecnológicos para reducir la probabilidad o impacto de los riesgos.
¿Para qué sirve una EIPD?
La EIPD ayuda a incorporar privacidad desde la etapa de diseño y evita que los riesgos se descubran cuando el tratamiento ya está operativo.
- Identificar riesgos antes de implementar nuevos proyectos.
- Analizar tratamientos que utilizan datos sensibles.
- Evaluar tecnologías de monitoreo, biometría, perfiles o IA.
- Revisar tratamientos con grandes volúmenes de datos personales.
- Analizar proveedores y arquitecturas cloud.
- Definir medidas técnicas y organizativas adicionales.
- Generar evidencia de responsabilidad proactiva.
Relación entre el RAT y la EIPD
El Registro de Actividades de Tratamiento permite detectar qué operaciones requieren una evaluación de riesgo más profunda.
1. RAT
Identificar y caracterizar los tratamientos.
2. Screening
Determinar cuáles presentan mayor nivel de riesgo.
3. EIPD
Analizar en profundidad riesgos e impactos.
4. Tratamiento
Definir controles y aceptar, reducir, evitar o gestionar el riesgo.
Consulte también nuestra guía del Registro de Actividades de Tratamiento (RAT) .
EIPD y gestión de riesgos de privacidad
El análisis debe enfocarse en las consecuencias que un tratamiento puede generar para los titulares, no sólo en el impacto operacional para la empresa.
Enfoque recomendado: evaluar el riesgo desde la perspectiva
de los derechos y libertades de las personas y luego documentar las medidas
que permiten reducirlo a un nivel aceptable.
Probabilidad
Qué tan posible es que se materialice un evento o uso indebido que afecte a las personas.
Impacto
Magnitud de las consecuencias que puede producirse para los titulares.
Riesgo residual
Nivel de riesgo que permanece después de aplicar controles y medidas de mitigación.
Rol del DPO en la Evaluación de Impacto
El nuevo Reglamento del Modelo de Prevención de Infracciones refuerza expresamente la participación del Delegado de Protección de Datos.
El Decreto N.º 662 establece entre las funciones del DPO
asesorar al responsable en el cumplimiento del deber de realizar
la Evaluación de Impacto en Protección de Datos Personales.
El DPO debe participar como función independiente de asesoría y supervisión. La responsabilidad sobre el tratamiento y las decisiones de negocio continúa correspondiendo al responsable de datos.
Conozca nuestro servicio de DPO Externo en Chile.
Tratamientos que pueden requerir una evaluación más profunda
La necesidad de una EIPD debe analizarse según el contexto, naturaleza, alcance, tecnologías utilizadas y nivel de riesgo del tratamiento.
Datos sensibles
Tratamientos relacionados con salud, biometría u otras categorías de especial sensibilidad.
Monitoreo sistemático
Videovigilancia, geolocalización, seguimiento de comportamiento o monitoreo intensivo.
Decisiones automatizadas
Scoring, perfiles, evaluación automatizada o sistemas de IA que producen efectos relevantes para las personas.
Gran escala
Tratamientos de grandes volúmenes de datos o de un número elevado de titulares.
Nuevas tecnologías
Soluciones tecnológicas cuyo funcionamiento o impacto introduce riesgos nuevos o poco conocidos.
Interconexión de fuentes
Cruces de bases de datos, enriquecimiento de perfiles y combinación de información procedente de distintas fuentes.
¿Qué debería documentar una EIPD?
Una EIPD útil debe explicar el tratamiento, sus riesgos, controles y decisiones de manera que otra persona pueda comprender cómo se llegó a la conclusión final.
| Elemento | Qué documentar |
|---|---|
| Descripción del tratamiento | Proceso, sistemas, datos, titulares, finalidad y flujo de información. |
| Base de licitud | Fundamento que habilita la operación de tratamiento. |
| Necesidad y proporcionalidad | Justificación del uso de datos y evaluación de alternativas menos invasivas. |
| Actores involucrados | Áreas internas, encargados, proveedores y terceros. |
| Transferencias | Flujos internacionales y mecanismos aplicables. |
| Riesgos | Escenarios que pueden afectar los derechos de los titulares. |
| Controles existentes | Medidas legales, técnicas y organizativas ya implementadas. |
| Medidas adicionales | Acciones requeridas para reducir el riesgo. |
| Riesgo residual | Nivel de riesgo que permanece después de aplicar medidas. |
| Aprobaciones | Responsables, DPO, fecha de revisión y decisión final. |
Cómo realizar una EIPD paso a paso
DPO Partners propone una metodología basada en riesgo, trazabilidad y evidencia de cumplimiento.
1
Definir alcance
Determinar el tratamiento, proceso, proyecto, sistema y sociedades involucradas.
2
Describir el flujo
Identificar recopilación, almacenamiento, uso, comunicación, transferencias, conservación y eliminación.
3
Evaluar necesidad
Revisar finalidad, proporcionalidad y alternativas posibles.
4
Identificar riesgos
Analizar escenarios que puedan afectar a los titulares.
5
Evaluar controles
Revisar medidas jurídicas, organizacionales y tecnológicas ya existentes.
6
Definir tratamiento del riesgo
Incorporar medidas adicionales, responsables y fechas de implementación.
7
Determinar riesgo residual
Evaluar el riesgo que permanece después de aplicar las medidas.
8
Revisión del DPO
Incorporar asesoría y observaciones de la función de protección de datos.
9
Aprobar y mantener
Documentar la decisión y definir eventos que obliguen a revisar la EIPD.
Ejemplo simplificado de EIPD
Supongamos que una empresa implementa control de acceso mediante biometría.
| Aspecto | Ejemplo |
|---|---|
| Tratamiento | Control de acceso biométrico de trabajadores. |
| Datos | Identificación y plantilla biométrica. |
| Finalidad | Controlar acceso a instalaciones críticas. |
| Riesgo | Acceso no autorizado, uso secundario o filtración de datos biométricos. |
| Medidas | Cifrado, segregación, control de accesos, retención limitada y revisión contractual del proveedor. |
| Riesgo residual | Debe ser reevaluado después de implementar las medidas. |
Controles que pueden surgir de una EIPD
Minimización
Reducir los datos recopilados a aquellos estrictamente necesarios.
Control de acceso
Limitar accesos según funciones y aplicar segregación de privilegios.
Cifrado y seudonimización
Reducir exposición de información mediante técnicas de protección.
Retención
Establecer reglas claras de conservación y eliminación.
Proveedores
Revisar contratos, roles, subencargados, seguridad y transferencias internacionales.
Privacidad desde el diseño
Incorporar controles antes de la puesta en producción del tratamiento.
La EIPD no debería ser un documento estático
Debe revisarse cuando cambian de manera relevante las condiciones del tratamiento o aparecen nuevos riesgos.
- Cambio de finalidad.
- Nuevas categorías de datos.
- Cambio de proveedor o arquitectura cloud.
- Nuevas transferencias internacionales.
- Uso de IA o decisiones automatizadas.
- Aumento significativo del volumen de titulares.
- Incidentes o brechas de seguridad.
- Nuevos requisitos legales o regulatorios.
Preguntas frecuentes sobre EIPD
¿Qué es una EIPD?
Es una evaluación estructurada destinada a identificar y gestionar riesgos que un tratamiento de datos personales puede generar para las personas.
¿Qué relación existe entre el RAT y la EIPD?
El RAT permite detectar tratamientos relevantes y aporta la información necesaria para determinar cuáles requieren análisis más profundos.
¿Qué rol tiene el DPO?
El Decreto 662 establece expresamente que el DPO debe asesorar al responsable en el cumplimiento del deber de realizar la EIPD.
¿La EIPD debe realizarse antes de implementar el tratamiento?
Desde una perspectiva preventiva y de privacidad desde el diseño, debe realizarse suficientemente temprano como para que sus resultados puedan influir en el diseño y las medidas del tratamiento.
¿Puede actualizarse una EIPD?
Sí. Debe revisarse cuando cambian significativamente el tratamiento, sus riesgos, tecnologías, proveedores o medidas de control.
¿La EIPD reemplaza la matriz de riesgos del MPI?
No. Ambas herramientas se complementan. La matriz permite gestionar riesgos de manera transversal, mientras que la EIPD profundiza el análisis de un tratamiento específico.
¿Listo para comenzar?
Escríbanos a contacto@dpopartners.cl o complete el formulario para agendar una reunión de presentación de nuestro programa de cumplimiento normativo y nuestros servicios de DPO Externo, Consultoría Legal en Protección de Datos Personales, Auditoría de Ley 21.719 y Capacitación.