Evaluación de impacto en protección de datos: guía 2026

Antes de instalar cámaras en toda la tienda, lanzar un scoring que apruebe o rechace créditos, o cruzar tu base de clientes para segmentar publicidad, la Ley 21.719 te obliga a una tarea previa: hacer una evaluación de impacto en protección de datos. No es un informe que rellenas cuando algo sale mal ni un trámite posterior. Es un análisis que debe estar hecho antes de encender ese tratamiento de datos.

Con la ley en vigencia plena el 1 de diciembre de 2026, la evaluación de impacto en protección de datos —EIPD, o DPIA por su sigla en inglés— se vuelve obligatoria para los tratamientos de alto riesgo. Esta guía explica qué es, cuándo estás obligado a hacerla, cómo se hace paso a paso y cómo encaja con el resto de tu adecuación a la Ley 21.719.

¿Recién partiendo con la ley? Parte por la guía de la Ley 21.719 para pymes. Para saber en minutos qué te falta, usa el test gratuito de cumplimiento.

Qué es una evaluación de impacto en protección de datos

Una evaluación de impacto en protección de datos (EIPD) es un análisis previo y documentado del riesgo que un tratamiento de datos personales puede generar para los derechos de las personas. En palabras simples: antes de tratar datos de una forma que puede afectar a mucha gente o a información delicada, te detienes, estudias qué puede salir mal y defines cómo evitarlo.

Es el equivalente al cálculo estructural antes de levantar un edificio. Nadie construye y después revisa si aguanta; primero se calcula, se corrige el diseño y recién ahí se pone el primer ladrillo. La EIPD hace lo mismo con un proyecto que usa datos personales.

La Ley 21.719 —que reforma la antigua Ley 19.628— regula esta obligación en su artículo 15 ter y la exige antes de iniciar el tratamiento, no después de un problema. Ese matiz importa: una EIPD hecha tarde, cuando el scoring ya lleva un año rechazando clientes, deja de ser prevención y pasa a ser una explicación.

Cuándo es obligatoria (y cuándo no)

La regla general es fácil de enunciar y más difícil de aplicar: debes hacer una EIPD cuando un tratamiento, por su naturaleza, alcance, contexto, tecnología o finalidad, sea probable que genere un alto riesgo para los derechos de los titulares.

No todo tratamiento la necesita. Emitir boletas, guardar la nómina o llevar la contabilidad no gatilla una evaluación de impacto. Lo que la gatilla es el alto riesgo: tratamientos que, si fallan, pueden dañar de verdad a las personas —una filtración de fichas médicas, un algoritmo que discrimina, una base enorme expuesta—.

Los cuatro casos en que la ley siempre la exige

La Ley 21.719 identifica situaciones donde la EIPD es obligatoria sin discusión. En una pyme, se ven así:

La Agencia de Protección de Datos Personales —el nuevo organismo fiscalizador— publicará un listado orientativo de operaciones que requieren (o no) una EIPD. Mientras tanto, la regla práctica es directa: si tu tratamiento cae en cualquiera de esos cuatro casos, asume que la necesitas y hazla.

Un caso frecuente y muchas veces ignorado es el de la salud. Como los datos de salud son datos sensibles del nivel más alto, casi cualquier clínica o prestador que maneje fichas de forma masiva entra en el supuesto de EIPD obligatoria.

Cómo hacer una evaluación de impacto paso a paso

Una EIPD no es un documento de 40 páginas ni un ejercicio para abogados. Es un método ordenado que cualquier empresa puede seguir. Estos son los seis pasos:

1. Describe el tratamiento. Qué datos usas, de quién, con qué finalidad, con qué tecnología, quién tiene acceso, cuánto tiempo los conservas y a qué terceros se los comunicas. Aquí tu registro de actividades de tratamiento hace casi todo el trabajo: la EIPD parte directamente de la ficha del RAT del proceso que vas a evaluar.
2. Evalúa necesidad y proporcionalidad. ¿De verdad necesitas todos esos datos para ese fin? ¿Hay una forma menos invasiva de lograr lo mismo? Este es el principio de minimización en acción: si puedes cumplir el objetivo con menos datos, sobran los demás.
3. Identifica los riesgos. No los riesgos para la empresa, sino para los derechos de las personas: acceso indebido, filtración, una decisión injusta por un algoritmo sesgado, pérdida de control sobre los propios datos. Para cada riesgo, estima probabilidad e impacto.
4. Define las medidas de mitigación. Cada riesgo alto necesita una respuesta concreta: cifrado en reposo y en tránsito, seudonimización, control de acceso por rol, minimización de campos, revisión humana de las decisiones automatizadas, plazos de borrado. Sin medidas, la EIPD solo enumera peligros.
5. Evalúa el riesgo residual. Es lo que queda después de aplicar las medidas. Si el riesgo residual sigue siendo alto, el paso prudente —y coherente con la lógica preventiva de la ley— es consultar a la Agencia antes de partir, no arrancar y esperar que no pase nada.
6. Documenta, aprueba y revisa. La EIPD es un documento vivo, fechado y aprobado por la máxima autoridad de la empresa. Se revisa cuando el tratamiento cambia: una nueva fuente de datos, un proveedor distinto, un cambio en el algoritmo. Una EIPD de hace dos años sobre un sistema que ya mutó no protege a nadie.

¿Quién la hace? El responsable del tratamiento, es decir, tu empresa. Si designaste un delegado de protección de datos, él lidera o asesora el proceso. Y puedes apoyarte en un proveedor externo para la parte técnica, pero la responsabilidad legal no se delega.

La EIPD no vive sola: RAT, DPO y seguridad

La evaluación de impacto es una pieza dentro de tu adecuación, no un documento aislado. Se conecta con las demás:

• El registro de actividades de tratamiento (RAT) es el mapa que te dice cuáles de tus tratamientos son de alto riesgo y, por lo tanto, cuáles debes evaluar. Sin RAT, ni siquiera sabes por dónde empezar.
• El delegado de protección de datos (DPO), si lo tienes, conduce la EIPD y actúa de interlocutor con la Agencia.
• Las medidas de seguridad que definiste en la evaluación son las que después implementas de verdad en tus sistemas.
• El checklist de adecuación a la Ley 21.719 incluye la EIPD como uno de los puntos que la fiscalización puede pedir cuando corresponde.

En los diagnósticos que hacemos, el patrón se repite: la empresa ya tiene el tratamiento de alto riesgo funcionando —un scoring, cámaras en todo el local, una base gigante— pero ninguna evaluación que lo respalde. No es negligencia; es que nadie les dijo que ese proyecto necesitaba una EIPD antes de encenderse. La buena noticia es que documentarla es un trabajo acotado cuando el RAT ya está armado.

Qué arriesgas si la saltas

Tratar datos de alto riesgo sin una EIPD que lo respalde es exactamente el tipo de omisión que revisa una fiscalización. La Ley 21.719 clasifica las infracciones en tres tramos de multas, en UTM: leves hasta 5.000 UTM, graves hasta 10.000 UTM y gravísimas hasta 20.000 UTM —donde entran tratar a sabiendas datos sensibles en contravención a la ley y, justamente, no hacer la EIPD cuando corresponde (artículo 34 quáter)—. En caso de reincidencia las multas pueden triplicarse, y en los casos más serios la Agencia puede ordenar suspender el tratamiento.

Hay un respiro acotado: durante los primeros 12 meses de vigencia, la Agencia puede aplicar a las empresas de menor tamaño una amonestación por escrito en vez de multa cuando proceda sancionarlas. Pero la amonestación queda registrada y no cubre la orden de suspender un tratamiento. Es un margen para ordenarse, no para postergar.

Haz la evaluación antes de encender el proyecto

La evaluación de impacto no busca frenar tu proyecto: busca que lo lances sabiendo dónde está el riesgo y con las medidas puestas. Hecha a tiempo, es una herramienta de diseño; hecha tarde, es una defensa improvisada. Y la diferencia entre una y otra es simplemente el orden en que la haces.

En Softdigital ayudamos a pymes chilenas a llegar al 1 de diciembre de 2026 con su adecuación a la Ley 21.719 resuelta: armamos el RAT, identificamos los tratamientos de alto riesgo y documentamos la EIPD conectada a tus sistemas reales. Empieza por el test gratuito de cumplimiento o agenda un diagnóstico de 15 minutos: sin compromiso, con propuesta a precio fijo en menos de 24 horas.