Qué es una EIPD y cuándo la exige la Ley 21.719
Actualizado el
Una EIPD, o Evaluación de Impacto en Protección de Datos, es el análisis previo que la Ley 21.719 obliga a realizar cuando un tratamiento puede generar un alto riesgo para los derechos de las personas. La exige el artículo 15 ter y no depende del tamaño de su empresa, sino del riesgo del tratamiento. Se gatilla, entre otros casos, cuando usted trata datos sensibles, hace tratamiento masivo o a gran escala, elabora perfiles, adopta decisiones automatizadas con efectos relevantes o realiza videovigilancia sistemática de espacios de acceso público. Debe documentar los tratamientos, evaluar los riesgos y definir las medidas de mitigación antes de iniciar la operación. Omitirla es una infracción grave, con multas de hasta 10.000 UTM. No la confunda con el DPO, que es opcional (art. 50): la EIPD sí es obligatoria cuando se cumple el gatillo. Si cree que aplica a su caso, parta por una EIPD.
El artículo 15 ter obliga al responsable a realizar una evaluación de impacto cuando el tratamiento puede generar un alto riesgo para los derechos de los titulares, por ejemplo por uso de datos sensibles, tratamiento a gran escala, elaboración de perfiles o videovigilancia sistemática de espacios de acceso público.
Qué es una EIPD
EIPD significa Evaluación de Impacto en Protección de Datos. Es un documento y un proceso que se realiza antes de iniciar un tratamiento de datos personales, para identificar qué riesgos genera ese tratamiento sobre los derechos de las personas y qué medidas se tomarán para reducirlos.
La lógica es simple. Antes de tratar datos que pueden afectar seriamente a las personas, usted debe detenerse, describir con precisión qué va a hacer con esos datos, evaluar el riesgo real y dejar por escrito cómo lo va a controlar. No es un trámite estético ni una política publicada en el sitio web. Es un ejercicio de análisis previo que queda documentado y disponible para la autoridad.
La EIPD nació en la práctica europea del RGPD como Data Protection Impact Assessment (DPIA). La Ley 21.719 la incorpora al derecho chileno de forma explícita y con carácter obligatorio en los casos que la propia ley define.
Por qué la exige la ley: el artículo 15 ter
La obligación no es interpretativa ni recomendada. Está escrita en el artículo 15 ter de la Ley 21.719. La ley parte de una idea de responsabilidad proactiva: quien trata datos de alto riesgo debe demostrar que evaluó ese riesgo antes de tratarlos, no después de que algo salga mal.
Esto separa a la EIPD del resto de los deberes de cumplimiento. Otros elementos de la ley admiten matices o dependen de decisiones voluntarias de la empresa. La EIPD, cuando se cumplen los supuestos del artículo 15 ter, es lisa y llanamente obligatoria.
Puede revisar el alcance exacto de la norma y el resto de los artículos en nuestra página de hechos verificados de la Ley 21.719, donde citamos el articulado sin adornos.
Cuándo es obligatoria
La EIPD se vuelve obligatoria cuando el tratamiento cae en alguno de los supuestos de alto riesgo del artículo 15 ter. Los principales son estos:
- Tratamiento de datos sensibles. En Chile la ley clasifica como sensible, entre otros, la salud, el origen étnico, la afiliación sindical, los datos biométricos y la situación socioeconómica de la persona.
- Tratamiento masivo o a gran escala de datos personales.
- Decisiones automatizadas que produzcan efectos jurídicos o significativos sobre las personas, incluida la elaboración de perfiles.
- Videovigilancia sistemática de espacios de acceso público.
- Tratamientos que, por su naturaleza, alcance o finalidad, puedan generar un riesgo alto para los derechos de los titulares.
| Gatillo del art. 15 ter | Ejemplo típico |
|---|---|
| Datos sensibles | Salud, biometría, situación socioeconómica |
| Tratamiento masivo o a gran escala | Base de clientes de un ecommerce o retail |
| Perfilamiento o decisiones automatizadas | Scoring crediticio, segmentación por capacidad de pago |
| Videovigilancia sistemática | Cámaras que cubren un espacio de acceso público |
Qué contiene una EIPD
Una EIPD bien hecha no es un formulario de una página. Contiene una descripción del tratamiento y su finalidad, la evaluación de la necesidad y proporcionalidad, el análisis de los riesgos para los derechos de las personas y las medidas concretas para mitigarlos. En términos prácticos, una EIPD incluye:
- Descripción sistemática del tratamiento: qué datos, de quién, con qué finalidad, por cuánto tiempo y con qué destinatarios.
- Base de licitud del tratamiento y evaluación de su necesidad y proporcionalidad frente a la finalidad.
- Identificación y valoración de los riesgos para los derechos y libertades de los titulares.
- Medidas técnicas y organizativas previstas para mitigar esos riesgos.
- Conclusión sobre el nivel de riesgo residual y, si corresponde, los pasos siguientes.
Quién debe hacerla y cómo se conecta con el resto del cumplimiento
La obligación recae en el responsable del tratamiento, es decir, la empresa u organización que decide para qué y cómo se tratan los datos. No es necesario tener un DPO para hacer una EIPD. La designación de un delegado de protección de datos no es obligatoria en la ley chilena, así que la EIPD debe realizarse aunque su empresa no tenga esa figura.
En la práctica, la EIPD es la pieza que conecta el resto del cumplimiento. Para hacerla bien primero hay que saber qué datos trata la empresa, lo que normalmente exige tener un registro de actividades de tratamiento ordenado. Y de la EIPD suelen salir hallazgos concretos, como contratos con proveedores que hay que corregir.
Nosotros hacemos la implementación, no la asesoría jurídica. Cuando su empresa ya tiene un abogado o asesor legal, trabajamos junto a su asesor legal para que el documento resista una revisión y no quede como un texto genérico.
Qué hacer ahora
Si no está seguro de si su tratamiento cae dentro del artículo 15 ter, ese es el primer paso. Puede partir por revisar si necesito una EIPD para su caso concreto antes de encargar cualquier documento.
Si ya sabe que la necesita, tiene dos caminos. Puede entender el proceso completo en cómo hacer una EIPD y realizarla internamente, o encargar una EIPD a precio fijo con nuestro servicio EIPD Express, pensado para tratamientos acotados y bien definidos.
La fecha de entrada en vigencia es el 1 de diciembre de 2026 y es firme. Conviene hacer la evaluación antes de esa fecha, no después de iniciar el tratamiento.
Preguntas frecuentes
¿Qué es una EIPD en la Ley 21.719?
Es la Evaluación de Impacto en Protección de Datos: un análisis previo y documentado que identifica los riesgos de un tratamiento de datos sobre los derechos de las personas y las medidas para reducirlos. La regula el artículo 15 ter de la Ley 21.719.
¿La EIPD es obligatoria?
Sí, cuando el tratamiento cae en los supuestos de alto riesgo del artículo 15 ter: datos sensibles, tratamiento masivo, decisiones automatizadas o videovigilancia sistemática de espacios públicos. En esos casos no es opcional.
¿Qué pasa si no hago la EIPD estando obligado?
No realizarla cuando corresponde es una infracción grave, con multas de hasta 10.000 UTM. Más allá de la multa, deja a la empresa sin un análisis de riesgo documentado justo en los tratamientos más delicados.
¿Necesito un DPO para hacer la EIPD?
No. La designación de un delegado de protección de datos no es obligatoria en la ley chilena (el artículo 50 señala que se podrá designar). La EIPD debe realizarse igual, con o sin DPO, porque la responsabilidad recae en el responsable del tratamiento.