Es un proceso fundamental ligado a los principios de protecci\u00f3n de datos desde el dise\u00f1o y por defecto<\/em>. Est\u00e1 concebido para describir de manera anticipada y preventiva un tratamiento de datos personales, evaluar su necesidad y proporcionalidad, y gestionar los riesgos para los derechos y libertades de los titulares.<\/p>\n En t\u00e9rminos sencillos, es un an\u00e1lisis de riesgo previo<\/strong> que le permite a su empresa identificar y evaluar posibles amenazas, para luego establecer las medidas de mitigaci\u00f3n tecnol\u00f3gicas y organizativas necesarias que reduzcan esos riesgos a un nivel aceptable.<\/p>\n No para todas las empresa, sin embargo, el art\u00edculo 15 ter de la Ley 21.719<\/strong> establece que el responsable del tratamiento deber\u00e1 realizarla cuando sea probable que un tipo de tratamiento \u2014por su naturaleza, alcance, contexto, tecnolog\u00eda utilizada o fines\u2014 pueda producir un alto riesgo para los derechos de los titulares de los datos.<\/p>\n La regla de oro de la EIPD es la prevenci\u00f3n<\/strong>. La ley exige expresamente que esta evaluaci\u00f3n debe realizarse de manera previa al inicio de las operaciones del tratamiento de datos. No tiene validez legal implementar un nuevo software o lanzar una nueva aplicaci\u00f3n y evaluar los riesgos a posteriori; el an\u00e1lisis debe estar completamente integrado antes de que los datos comiencen a procesarse.<\/p>\n M\u00e1s que depender del tama\u00f1o o facturaci\u00f3n de su empresa, la obligaci\u00f3n recae sobre el tipo de actividad y el nivel de riesgo en el manejo de la informaci\u00f3n. La legislaci\u00f3n chilena establece que la evaluaci\u00f3n de impacto se requerir\u00e1 obligatoriamente en los siguientes escenarios:<\/p>\n 1. Elaboraci\u00f3n de perfiles (Profiling):<\/strong> Cuando realice una evaluaci\u00f3n sistem\u00e1tica y exhaustiva de aspectos personales basada en tratamientos automatizados que produzcan efectos jur\u00eddicos o significativos en las personas.<\/p>\n 2. Tratamiento a gran escala (Big Data):<\/strong> Cuando su empresa realice un procesamiento masivo de datos personales.<\/p>\n 3. Videovigilancia (CCTV):<\/strong> Cuando el tratamiento implique la observaci\u00f3n o el monitoreo sistem\u00e1tico y a gran escala de una zona de acceso p\u00fablico.<\/p>\n 4. Datos m\u00e9dicos o biom\u00e9tricos:<\/strong> Cuando trate datos sensibles y especialmente protegidos ampar\u00e1ndose en alguna de las hip\u00f3tesis de excepci\u00f3n del consentimiento expl\u00edcito.<\/p>\n Nota:<\/strong> Para facilitar esta labor, la nueva Agencia de Protecci\u00f3n de Datos Personales publicar\u00e1 una lista orientativa oficial con los tipos de operaciones que requerir\u00e1n o no esta evaluaci\u00f3n, adem\u00e1s de entregar directrices m\u00ednimas para su correcta ejecuci\u00f3n.<\/em><\/p>\n Omitir este an\u00e1lisis puede acarrear sanciones. La ley\u00a0 cataloga el incumplimiento de la obligaci\u00f3n de realizar la Evaluaci\u00f3n de Impacto (art\u00edculo 15 ter) como una infracci\u00f3n grav\u00edsima<\/strong>.<\/p>\n Para dimensionar el riesgo financiero corporativo, las infracciones grav\u00edsimas bajo la Ley 21.719 pueden ser sancionadas por la Agencia con multas alt\u00edsimas que alcanzan hasta las 20.000 Unidades Tributarias Mensuales (UTM)<\/strong>, lo que podr\u00eda comprometer severamente la viabilidad de su negocio.<\/p>\n Si tras realizar el an\u00e1lisis exhaustivo y aplicar todas las medidas de mitigaci\u00f3n posibles el resultado demuestra que el tratamiento sigue presentando un riesgo residual alto, la ley le otorga una v\u00eda de seguridad institucional: los responsables podr\u00e1n (y deber\u00e1n) consultar formalmente a la Agencia de Protecci\u00f3n de Datos Personales<\/strong>. Esto tiene el prop\u00f3sito de obtener recomendaciones directas y vinculantes por parte de la autoridad fiscalizadora antes de iniciar el proyecto.<\/p>\n Para aterrizar estos conceptos legales a la realidad operativa de su negocio, a continuaci\u00f3n detallamos cuatro escenarios comunes donde la ejecuci\u00f3n de una Evaluaci\u00f3n de Impacto en Protecci\u00f3n de Datos (EIPD)<\/strong> es ineludible bajo la Ley 21.719:<\/p>\n Si administra un centro comercial, una cadena de supermercados o cualquier negocio abierto al p\u00fablico y decide instalar un circuito cerrado de televisi\u00f3n (CCTV) avanzado \u2014ya sea por motivos de seguridad o para analizar el flujo y comportamiento de sus compradores en tiempo real\u2014, debe detenerse y evaluar el riesgo primero.<\/p>\n La nueva normativa establece expresamente que la EIPD se requerir\u00e1 siempre que el tratamiento implique la observaci\u00f3n o el monitoreo sistem\u00e1tico a gran escala de una zona de acceso p\u00fablico<\/strong>.<\/p>\n Supongamos que administra una cadena de gimnasios, una cl\u00ednica o incluso las oficinas de su propia empresa, y decide modernizar la entrada reemplazando las tarjetas f\u00edsicas por torniquetes con lectura de huella dactilar o c\u00e1maras de reconocimiento facial para sus clientes o trabajadores.<\/p>\n Los datos biom\u00e9tricos son considerados \u00abdatos sensibles\u00bb<\/strong> por la ley, debido a que identifican de manera un\u00edvoca a una persona y no pueden cambiarse (como una contrase\u00f1a) si son robados. La aplicaci\u00f3n de esta nueva tecnolog\u00eda exige imperativamente medir su proporcionalidad y sus altos riesgos de ciberseguridad mediante una EIPD, antes<\/strong> de recolectar la primera huella.<\/p>\n Si su empresa tecnol\u00f3gica desarrolla una plataforma o aplicaci\u00f3n m\u00f3vil para una red de cl\u00ednicas u hospitales que busca centralizar, almacenar en la nube y analizar miles de fichas cl\u00ednicas electr\u00f3nicas de pacientes, se encuentra ante un escenario cr\u00edtico.<\/p>\n Dado que estar\u00eda ejecutando un \u00abtratamiento masivo de datos o a gran escala\u00bb<\/strong> (Big Data) y, adem\u00e1s, involucra categor\u00edas especiales de datos de salud sumamente confidenciales, es mandatorio realizar una evaluaci\u00f3n de impacto. Esto le permitir\u00e1 identificar vulnerabilidades t\u00e9cnicas, encriptar la informaci\u00f3n y mitigar el riesgo catastr\u00f3fico que tendr\u00eda una filtraci\u00f3n o un hackeo de estos antecedentes m\u00e9dicos.<\/p>\n Si lanza al mercado un software educativo o una aplicaci\u00f3n recreativa que recopila datos de ni\u00f1os, ni\u00f1as y adolescentes \u2014como su ubicaci\u00f3n, su rendimiento escolar o sus preferencias\u2014, debe aplicar un est\u00e1ndar superior.<\/p>\n La ley clasifica a los menores como personas vulnerables que requieren una protecci\u00f3n especial y reforzada<\/strong>. Cualquier tratamiento innovador que implique perfilar, rastrear o almacenar grandes vol\u00famenes de informaci\u00f3n de menores de edad requiere una EIPD obligatoria para garantizar que el sistema fue dise\u00f1ado respetando su autonom\u00eda progresiva y su inter\u00e9s superior.<\/p>\n El Riesgo Corporativo:<\/strong> En todos estos escenarios, si su empresa no documenta y ejecuta esta evaluaci\u00f3n preventiva, se expone directamente a que la nueva Agencia de Protecci\u00f3n de Datos Personales<\/strong> califique el hecho como una infracci\u00f3n grav\u00edsima, exponiendo a su negocio a multas que pueden alcanzar las 20.000 UTM<\/strong>.<\/p>\n<\/div>\n Adoptar la EIPD como una pr\u00e1ctica est\u00e1ndar en su empresa no solo evitar\u00e1 multas millonarias, sino que le permitir\u00e1 identificar ineficiencias operativas, prevenir brechas de ciberseguridad y generar un activo invaluable en la econom\u00eda digital: la confianza absoluta de sus clientes.<\/p>\n <\/p>\n Tambi\u00e9n te puede interesar:
\nObligatoriedad y Plazos de la EIPD bajo la Ley 21.719<\/h2>\n
\u00bfEs obligatorio realizar esta evaluaci\u00f3n?<\/h3>\n
\u00bfCu\u00e1ndo debe ejecutarse?<\/h3>\n
\u00bfQu\u00e9 actividades o empresas exigen siempre una EIPD?<\/h2>\n
\nMultas y Consecuencias: \u00bfQu\u00e9 ocurre si no se realiza la EIPD?<\/h2>\n
\n\u00bfQu\u00e9 hacer si el nivel de riesgo de la EIPD se mantiene alto?<\/h2>\n
Ejemplos Pr\u00e1cticos: \u00bfCu\u00e1ndo es obligatorio realizar una EIPD?<\/h2>\n
1. Instalaci\u00f3n de c\u00e1maras de seguridad (Monitoreo de Espacios P\u00fablicos)<\/h3>\n
2. Control de acceso mediante biometr\u00eda (Huella Dactilar o Reconocimiento Facial)<\/h3>\n
3. Interconexi\u00f3n masiva de datos m\u00e9dicos (Big Data en Salud)<\/h3>\n
4. Desarrollo de plataformas o aplicaciones dirigidas a menores de edad<\/h3>\n
\n
\n\u00bfQu\u00e9 es la Base de Licitud?<\/a><\/p>\n