Evaluación de impacto en datos personales: cuándo se exige

La evaluación de impacto en protección de datos personales está en el artículo 15 ter que la Ley 21.719 incorpora a la Ley 19.628, y es un requisito previo: se hace antes de que el tratamiento parta. Se exige cuando ese tratamiento puede producir un alto riesgo para los derechos de las personas, y hay cuatro casos en que la ley la pide siempre. No hacerla cuando corresponde está clasificado como infracción gravísima, el tramo más alto de la escala.

No soy abogado. Lo que sigue es criterio de implementación, y la validez jurídica la revisa un abogado.

Qué es la evaluación de impacto y dónde está escrita

La ley no usa la sigla EIPD ni la inglesa DPIA: el artículo 15 ter la llama “evaluación de impacto en protección de datos personales”. El deber es del responsable, o sea de quien decide los fines y los medios.

Es un documento interno: no se envía, no hay registro donde inscribirla ni autorización que sacar. Si el resultado muestra alto riesgo, los responsables podrán consultar a la Agencia.

En qué tratamientos de datos personales se exige la evaluación

Hay cuatro casos en que se exige siempre:

Caso del artículo 15 ter	Cómo se ve en una empresa chica
Evaluación sistemática y exhaustiva de aspectos personales, basada en tratamiento o decisiones automatizadas, como la elaboración de perfiles, y que produzca efectos jurídicos significativos	Un puntaje que aprueba o rechaza solo, sin que una persona revise
Tratamiento masivo de datos o a gran escala	La base de clientes que sostiene el negocio, un padrón, un sistema que concentra la operación
Observación o monitoreo sistemático de una zona de acceso público	Cámaras que graban la vereda o la sala de espera, conteo de personas
Datos sensibles y especialmente protegidos, en las hipótesis de excepción del consentimiento	Fichas de salud tratadas sin consentimiento, por ejemplo para salvaguardar la vida del paciente o para diagnóstico y atención (artículo 16 bis)

El cuarto caso depende de la base de licitud. A mi lectura, y vuelvo a repetir que no soy un abogado, una clínica que atiende con consentimiento expreso no cae ahí por ese solo hecho, pero el artículo 16 bis permite tratar datos de salud sin consentimiento cuando es necesario para diagnóstico médico o prestación de asistencia sanitaria, y si esa es tu base, sí caes. Y aunque no caigas, probablemente te alcanza la regla general o el tratamiento masivo: los datos de salud son sensibles según la propia ley y un sistema clínico concentra muchos.

“Gran escala” no está definido en el texto, y la lista orientativa le corresponde publicarla a la Agencia, que al 12 de octubre de 2026 no la ha publicado. Mientras tanto, si el dato es sensible o la base es el activo central del negocio, yo la escribiría igual.

Qué anotar en la plantilla de evaluación de impacto

El artículo encarga a la Agencia fijar las orientaciones mínimas y le pone un piso: tienen que considerar, a lo menos, la descripción de las operaciones, su finalidad, la evaluación de la necesidad y la proporcionalidad respecto de esa finalidad, la evaluación de los riesgos y las medidas de mitigación.

La plantilla son dos tablas, con un sistema clínico de ejemplo, y la primera es la ficha del tratamiento:

Campo	Ejemplo
Tratamiento	Ficha clínica en el sistema de gestión
Responsable (quien decide fines y medios)	El centro médico
Finalidad, en una frase	Atender pacientes y dejar registro de cada atención
Base de licitud	Consentimiento expreso del paciente, más obligaciones legales de registro
Categorías de datos, marcando las sensibles	Identificación, contacto y datos de salud (sensibles)
Titulares y volumen	Pacientes atendidos por el centro
Dónde vive el dato	Base de datos del sistema y respaldos cifrados
Encargados, con su contrato	Proveedor de infraestructura, con contrato de encargo firmado
Conservación	El plazo que fijan las normas aplicables a fichas clínicas
Por qué se evalúa	Datos sensibles y concentración de la operación en un solo sistema
Firma y fecha	Dirección del centro, con fecha

Después, el registro de riesgos, con una fila por riesgo:

Tratamiento	Riesgo	Medida	Responsable	Revisión
Ficha clínica	Que un perfil vea fichas que su función no necesita	Acceso por rol, con permisos por función	Administración del sistema	Anual
Ficha clínica	Consulta indebida que no deja rastro	Registro de accesos a datos sensibles	Administración del sistema	Anual
Respaldos	Pérdida o filtración de una copia	Respaldos cifrados, con restauración probada	Proveedor de infraestructura	Anual
Salida de un usuario	Cuenta activa de alguien que ya no trabaja ahí	Baja de accesos el mismo día	Administración del sistema	Anual
Mensajería de contacto	Dato de salud expuesto fuera del sistema	Mensajes sin diagnóstico ni detalle del examen	Coordinación de agenda	Anual

Si el registro te queda con dos filas, falta el inventario, el paso 1 del checklist que publiqué con la plantilla de política de privacidad.

Cómo se ve en un sistema con datos sensibles en producción

El Console CM Vida Plena, un sistema propio en producción para un centro médico en Chile, tiene funcionando tres medidas como las de la tabla:

• Acceso por rol: 7 roles y 19 permisos granulares, que permiten describir qué función ve qué.
• Registro de accesos a datos sensibles, que registra quién ve qué.
• Respaldos cifrados, diarios y con retención escalonada. El cifrado y la capacidad de restaurar están nombrados en el deber de seguridad de la ley (artículo 14 quinquies), junto con verificar de forma regular que las medidas funcionan.

Quién la firma y cada cuánto se revisa

La ley no nombra firmante ni fija periodicidad, así que esto es criterio mío. El detalle técnico lo puede escribir quien administra el sistema, pero para qué tratas esos datos y por qué necesitas cada campo tiene que salir de adentro. Por eso la firma el responsable y no el proveedor.

Yo la revisaría una vez al año como piso, y antes si aparece un módulo nuevo, un proveedor nuevo, una finalidad nueva, un cambio grande de volumen o un incidente. Mi lectura es que, como el deber está puesto antes del inicio de las operaciones, cada operación nueva lo vuelve a activar.

Qué pasa si no la haces

Omitirla está en la lista de infracciones gravísimas:

“Incumplir la obligación establecida en el artículo 15 ter, en los casos que corresponda.”

Artículo 34 quáter, letra k), de la Ley 19.628 según el texto que fija la Ley 21.719. Texto oficial en BCN / LeyChile.

La multa es de hasta 20.000 unidades tributarias mensuales (con reincidencia la Agencia puede aplicar hasta el triple, artículo 35), y cuánto se paga lo decide la Agencia según los criterios que enumera el artículo 37, entre ellos el número de titulares afectados y si el tratamiento incluía datos sensibles.

El artículo sexto transitorio dice que, durante los primeros doce meses luego de la entrada en vigencia, la Agencia podrá aplicar una amonestación por escrito cuando proceda una sanción a una empresa calificada como de menor tamaño según la Ley 20.416, y a esa amonestación se le aplica igual el deber de registro. La vigencia está en qué es la Ley 21.719 y desde cuándo rige.

Preguntas frecuentes

¿Qué es una EIPD?

Es la evaluación de impacto en protección de datos personales. La ley chilena no usa la sigla, el artículo 15 ter que la Ley 21.719 incorpora a la Ley 19.628 la llama por su nombre completo. Es un documento interno que haces antes de que el tratamiento parta, donde describes qué haces con los datos y para qué, evalúas si lo que pides es necesario y proporcionado, identificas los riesgos para las personas y anotas las medidas para bajarlos. Esos cuatro puntos son el mínimo que el artículo le pide a la Agencia para sus orientaciones.

¿Cuándo es obligatoria una EIPD?

Cuando es probable que el tratamiento produzca un alto riesgo para los derechos de las personas y siempre en los cuatro casos del artículo 15 ter: perfiles o decisiones automatizadas con efectos jurídicos significativos, tratamiento masivo o a gran escala, monitoreo sistemático de una zona de acceso público y datos sensibles en las excepciones al consentimiento. Va antes del tratamiento y omitirla cuando corresponde es infracción gravísima (artículo 34 quáter, letra k). La lista orientativa le toca publicarla a la Agencia y, mientras no esté, con datos sensibles o una base central para el negocio yo la haría igual.

El inventario, que es lo primero que necesitas para escribirla, está como primer ítem del checklist técnico de la Ley 21.719 que acompaña a la plantilla de política de privacidad.

Qué cambia entre una EIPD europea y la evaluación chilena

Una EIPD europea sirve para leer la estructura, pero no la copiaría tal cual. La consulta previa a la autoridad, que en el marco europeo es un deber (artículo 36 del reglamento) cuando la evaluación muestra un alto riesgo que el responsable no puede mitigar, acá está escrita como facultad. La ley chilena pide siempre la evaluación en el tratamiento masivo o a gran escala, como caso independiente. Y el contenido mínimo no está cerrado en el texto legal, sino encargado a la Agencia.

Si necesitas ayuda con el inventario o la evaluación, lo trabajo en protección de datos personales, y para revisar tu caso hay un diagnóstico de 30 minutos sin costo.

Fuentes: Ley 21.719, texto oficial con vigencia diferida al 1 de diciembre de 2026, Biblioteca del Congreso Nacional, consultada el 1 de septiembre de 2026 y reverificada en LeyChile y en el Diario Oficial el 12 de octubre de 2026 (artículo primero, que fija los artículos 14 quinquies, 15 ter, 16 bis, 34 quáter, 35 y 37 de la Ley 19.628, y artículo sexto transitorio) · Descripción y síntesis de la ley N° 21.719, Serie Informes N° 12-25 del Departamento de Estudios de la Biblioteca del Congreso Nacional, 8 de abril de 2025 · Reglamento (UE) 2016/679, texto publicado por el Boletín Oficial del Estado, consultado el 1 de septiembre de 2026 y reverificado el 12 de octubre de 2026.