Cómo hacer una EIPD paso a paso
Actualizado el
Una EIPD se hace en seis pasos ordenados. Uno, identifique los tratamientos de datos que realiza. Dos, evalúe su necesidad y proporcionalidad, es decir si cada dato es indispensable para la finalidad. Tres, identifique los riesgos concretos para los derechos de las personas. Cuatro, defina medidas de mitigación para cada riesgo. Cinco y seis, documente todo por escrito y revise la evaluación de forma periódica. La EIPD es obligatoria por el artículo 15 ter de la Ley 21.719 cuando el tratamiento es de alto riesgo, sea por datos sensibles, gran escala, perfilamiento o videovigilancia sistemática. No realizarla cuando corresponde es una infracción grave, con multas de hasta 10.000 UTM. No necesita designar un DPO para hacerla, ya que ese cargo es opcional (art. 50). Si prefiere no partir de cero, una EIPD express ordena estos seis pasos por usted antes del 1 de diciembre de 2026.
El art. 15 ter exige realizar la evaluación de impacto antes de iniciar un tratamiento que pueda generar un alto riesgo para los derechos de los titulares, documentando los riesgos y las medidas de mitigación adoptadas.
Qué es una EIPD y cuándo debe hacerla
La Evaluación de Impacto en Protección de Datos (EIPD) es un análisis documentado que se hace antes de iniciar un tratamiento que probablemente genere un alto riesgo para los derechos de las personas. No es un trámite de forma: es un ejercicio que deja registro de cómo su organización decidió tratar datos y por qué.
El artículo 15 ter la exige cuando hay tratamiento a gran escala, datos sensibles, decisiones automatizadas con efectos jurídicos, o videovigilancia sistemática de zonas de acceso público. En Chile la 'situación socioeconómica' también se considera dato sensible, lo que arrastra a muchos procesos de scoring, cobranza y evaluación crediticia dentro del alcance. Si no está seguro de que su caso califique, conviene resolver esa pregunta primero. Trabajamos junto a su asesor legal para acotar el alcance real antes de metodologizar nada.
| Paso | Qué debe hacer |
|---|---|
| 1. Identificar | Mapear los tratamientos de datos que realiza |
| 2. Evaluar | Medir necesidad y proporcionalidad de cada dato |
| 3. Riesgos | Detectar el impacto para los derechos de las personas |
| 4. Mitigar | Definir una medida por cada riesgo identificado |
| 5. Documentar | Dejar la evaluación por escrito |
| 6. Revisar | Actualizarla de forma periódica |
Paso 1. Identificar los tratamientos
No se evalúa 'la empresa', se evalúa cada tratamiento concreto. El primer paso es levantar qué datos personales trata, con qué finalidad, de quién, por cuánto tiempo y con qué herramientas o proveedores. Sin este mapa, cualquier evaluación posterior queda en el aire.
- Qué categorías de datos: identificación, contacto, sensibles, socioeconómicos, biométricos.
- Finalidad y base de licitud de cada tratamiento.
- Flujo de datos: dónde se recogen, dónde se guardan, a qué proveedores SaaS llegan.
- Plazos de conservación y criterio de eliminación.
Paso 2. Evaluar necesidad y proporcionalidad
Aquí se responde una pregunta simple pero incómoda: ¿este tratamiento es realmente necesario para la finalidad, o se están pidiendo más datos de los que hacen falta? La proporcionalidad exige que tratar esos datos sea adecuado, necesario y equilibrado frente al fin buscado.
En la práctica, este paso suele reducir el alcance del proyecto. Muchas veces se descubre que se recolectan campos que nadie usa, o que se conservan datos años después de que dejaron de ser útiles. Recortar ahí baja el riesgo antes de tener que mitigarlo.
Paso 3. Identificar los riesgos
Con el tratamiento mapeado y depurado, se identifican los riesgos concretos para las personas: acceso no autorizado, filtración, uso desviado de la finalidad original, discriminación por decisiones automatizadas, o pérdida de control del titular sobre sus datos.
El foco es el riesgo para el titular, no solo para la empresa. Un buen ejercicio evalúa probabilidad e impacto de cada escenario, y distingue lo que es tolerable de lo que exige una medida antes de seguir adelante.
Paso 4. Definir medidas de mitigación
Para cada riesgo relevante se define una medida concreta y verificable: cifrado, control de accesos, seudonimización, minimización de campos, cláusulas contractuales con proveedores, o revisión humana de decisiones automatizadas.
Un punto que aparece casi siempre en este paso es el de los encargados de tratamiento. Si sus datos pasan por un proveedor SaaS sin un contrato de encargo firmado, esa es una brecha que la EIPD deja en evidencia. La forma directa de cerrarla es un DPA con cada proveedor, y suele ser la falla más común, por encima de la política de privacidad del sitio web.
Pasos 5 y 6. Documentar y revisar
La EIPD debe quedar por escrito. El documento reúne los pasos anteriores: los tratamientos evaluados, el juicio de necesidad y proporcionalidad, los riesgos identificados, las medidas adoptadas y los responsables de cada una. Esa trazabilidad es lo que permite demostrar diligencia si la autoridad lo pide. Un documento útil se lee y se entiende: no se trata de acumular páginas, sino de dejar claro qué se decidió y con qué fundamento.
La EIPD tampoco se firma y se archiva. Cuando cambia el tratamiento, se suma un proveedor, se agrega una finalidad o cambia la tecnología, hay que volver a evaluar. Si necesita una primera versión sólida antes del 1 de diciembre de 2026, cuando la ley entra en vigencia, nuestra EIPD Express entrega el documento hecho con esta metodología y a precio fijo, para que después usted solo lo mantenga.
Preguntas frecuentes
¿Cuánto se demora hacer una EIPD?
Depende de cuántos tratamientos entren en el alcance y de qué tan ordenada esté la información. Un caso acotado y bien documentado puede completarse en pocas semanas. Lo que más alarga el proceso es levantar desde cero el mapa de tratamientos y los contratos con proveedores, no la redacción del documento en sí.
¿Necesito un DPO para hacer una EIPD?
No. El delegado de protección de datos no es obligatorio en la Ley 21.719 (el art. 50 dice que se 'podrá designar'). Solo se vuelve exigible si su organización adopta voluntariamente un Modelo de Prevención de Infracciones. La EIPD, en cambio, sí es obligatoria por sí sola cuando el tratamiento es de alto riesgo, exista o no un DPO.
¿Puedo hacer la EIPD yo mismo?
Sí, la metodología es reproducible y estos seis pasos son la base. La dificultad no está en el formato sino en dos puntos: acotar bien qué tratamientos califican como de alto riesgo, y evaluar riesgos con criterio. Por eso conviene hacerla junto a su asesor legal, y apoyarse en una plantilla probada en lugar de partir de una hoja en blanco.
¿Qué pasa si no hago la EIPD estando obligado?
No realizarla cuando corresponde es una infracción grave, con multas de hasta 10.000 UTM. Más allá de la cifra, el valor real de la EIPD es dejar constancia de que su organización analizó y decidió con fundamento cómo trata datos, que es exactamente lo que se exige demostrar desde el 1 de diciembre de 2026.