Evaluación de impacto en protección de datos personales: qué es y cuándo será necesaria con la Ley 21.719
Los casos en que la ley la exige, cómo se hace paso a paso y qué medidas de seguridad de red la respaldan antes de que el nuevo régimen comience a regir.
La evaluación de impacto en protección de datos es una de las novedades más importantes de la Ley 21.719, la nueva ley de protección de datos personales de Chile. Antes de iniciar ciertos tratamientos de datos, las organizaciones deberán analizar qué riesgos generan para las personas y qué medidas aplicarán para reducirlos. Hoy muchas empresas aún no saben si les aplica.
En esta guía explicamos qué es, en qué casos será necesaria, cómo se elabora paso a paso, cómo se evalúa el riesgo y qué medidas de seguridad de red la respaldan, antes de que el nuevo régimen comience a regir el 1 de diciembre de 2026.
Qué es la evaluación de impacto en protección de datos
La evaluación de impacto en protección de datos (EIPD) es un análisis previo que permite identificar qué riesgos puede tener un tratamiento de datos personales para los derechos de los titulares, y qué medidas técnicas y organizativas se usarán para reducirlos. No es un trámite burocrático: es una herramienta para decidir con criterio antes de poner en marcha un sistema que maneja información de personas.
Su lógica es preventiva. En vez de descubrir los problemas cuando ya hubo una filtración o un reclamo, la organización los anticipa, los pondera y decide qué controles necesita antes de operar. Y deja constancia escrita de ese razonamiento, que será clave si la autoridad le pregunta por qué tomó ciertas decisiones.
Fecha de inicio: el nuevo régimen de la Ley 21.719 comienza a regir el 1 de diciembre de 2026. Existe un proyecto de ley en trámite que busca modificar esa fecha, por lo que conviene verificar su estado antes de planificar.
Cuándo será necesaria la evaluación de impacto
La ley contempla la evaluación de impacto cuando un tratamiento pueda implicar un alto riesgo para los derechos de las personas, y además la establece de forma expresa para casos específicos:
Perfilamiento con efectos significativos
Decisiones automatizadas, incluida la elaboración de perfiles, que tengan efectos jurídicos significativos sobre una persona.
Tratamiento masivo o a gran escala
Volúmenes altos de datos o de titulares, por ejemplo bases de clientes o usuarios de gran tamaño.
Monitoreo sistemático de zonas públicas
Observación continua de espacios de acceso público, como ocurre con ciertos sistemas de videovigilancia.
Determinados datos sensibles
Tratamiento de datos sensibles en los supuestos en que no se basa en el consentimiento del titular.
Fuera de estos casos, la ley no define con precisión qué significa "alto riesgo" o "gran escala", por lo que cada organización debería documentar por qué concluye que una evaluación es, o no es, necesaria. Esta lista le ayuda a orientarse:
Marque lo que corresponda a su organización:
Ejemplos de evaluación de impacto según el tipo de organización
Los siguientes ejemplos son ilustrativos. La necesidad concreta de una evaluación dependerá del análisis de cada caso.
Retail y programas de fidelización
Una cadena con millones de clientes que cruza compras para segmentar ofertas podría estar frente a un tratamiento masivo y a una elaboración de perfiles.
Salud y servicios clínicos
Fichas, exámenes y diagnósticos son datos sensibles. Un nuevo sistema de agendamiento o telemedicina merece evaluarse antes de operar.
Seguridad y videovigilancia
Cámaras en estacionamientos, accesos o espacios abiertos pueden implicar monitoreo sistemático de zonas de acceso público.
Recursos humanos y crédito
Filtros automáticos de postulantes o modelos de puntaje crediticio pueden tener efectos significativos sobre las personas.
Cómo se hace una evaluación de impacto en protección de datos paso a paso
La normativa no es la única referencia: en la práctica, una buena evaluación sigue una secuencia lógica y deja registro por escrito de cada decisión.
- 1Describir el tratamientoQué datos se recogen, de quién, con qué finalidad, quién accede y durante cuánto tiempo se conservan.
- 2Evaluar necesidad y proporcionalidadSi realmente se necesitan todos esos datos para la finalidad declarada, o si bastaría con menos.
- 3Identificar los riesgosQué podría ocurrir si los datos se filtran, se alteran, se pierden o se usan para otra cosa, y a quién afectaría.
- 4Ponderar probabilidad e impactoClasificar cada riesgo para saber cuáles requieren atención inmediata.
- 5Definir medidasControles técnicos y organizativos: accesos, cifrado, segmentación, monitoreo, respaldos y capacitación.
- 6Documentar y revisarGuardar la evaluación, asignar un responsable y actualizarla cuando cambie el tratamiento o la tecnología.
Cómo evaluar el riesgo de un tratamiento de datos
Una forma sencilla de ordenar la conversación es la matriz de riesgo. Se cruza la probabilidad de que algo ocurra con el impacto que tendría sobre las personas. Los tratamientos que caen en las zonas más oscuras son los que necesitan medidas antes de operar, y los que más difícil sería justificar si algo sale mal.
Ejemplo ilustrativo: cada tratamiento se ubica según su probabilidad e impacto, y los de zona alta se priorizan.
Lo importante no es la herramienta, sino el criterio: que la decisión quede explicada. Por ejemplo, una base de clientes sin segmentar, accesible desde toda la red, tiene un impacto alto y una probabilidad creciente de exposición; reducirla requiere medidas concretas y verificables.
¿Maneja datos de clientes, trabajadores o usuarios? Revisamos su seguridad de red y le ayudamos a respaldar con controles reales las medidas de su evaluación de impacto.
Solicitar asesoríaMedidas de seguridad de red que respaldan la evaluación
Una evaluación de impacto en protección de datos solo es creíble si las medidas que declara existen de verdad. Ahí la seguridad preventiva cumple un rol central: un firewall de nueva generación permite controlar quién accede a los datos, registrar ese acceso y contener un incidente antes de que se propague.
Las medidas de la evaluación de impacto se respaldan con control y trazabilidad reales.
| Riesgo identificado | Medida técnica | Evidencia que genera |
|---|---|---|
| Acceso indebido a la base de clientes | Control de accesos por usuario y aplicación; VPN para el trabajo remoto | Reglas del firewall y registros de conexión |
| Propagación de un incidente entre sistemas | Segmentación de la red en zonas con reglas entre ellas | Diagrama de zonas y tabla de reglas |
| Exfiltración de datos | Inspección de tráfico y protección contra amenazas | Alertas y registros de tráfico saliente |
| Falta de trazabilidad | Registro y retención de eventos de acceso | Informes periódicos de acceso |
Puede conocer nuestros firewalls WatchGuard y revisar las opciones de la línea Firebox para su empresa.
Calendario para llegar a diciembre de 2026
Si su organización trata datos personales a gran escala o datos sensibles, el tiempo disponible es corto. Una secuencia razonable es mapear los tratamientos, detectar cuáles son de alto riesgo, evaluar y mitigar, y dejar todo documentado antes de la fecha de inicio.
Cuatro pasos para llegar a diciembre de 2026
Errores frecuentes al preparar una evaluación de impacto
Tratarla como un formulario que se llena una sola vez
La evaluación debe actualizarse cuando cambie el tratamiento, el proveedor o la tecnología que lo soporta.
Declarar medidas que no existen
Si la evaluación afirma que hay segmentación o registros y no es cierto, se vuelve un problema en lugar de una protección.
Dejarla solo en manos del área legal o de TI
Requiere a ambas, y también a las áreas de negocio que realmente conocen cómo se usan los datos.
No documentar por qué no se hizo
Si concluye que una evaluación no es necesaria, deje por escrito el razonamiento. Será su respaldo ante una consulta de la autoridad.
Preguntas frecuentes sobre la evaluación de impacto en protección de datos
¿Todas las empresas deben hacer una evaluación de impacto?
No. Corresponde cuando el tratamiento pueda implicar un alto riesgo para los derechos de las personas y en los casos que la ley señala, como el tratamiento masivo, el perfilamiento con efectos significativos, el monitoreo sistemático de zonas públicas y ciertos datos sensibles.
¿Desde cuándo rige la evaluación de impacto en protección de datos?
El nuevo régimen de la Ley 21.719 comienza a regir el 1 de diciembre de 2026. Hay un proyecto de ley en trámite que busca modificar esa fecha, por lo que conviene revisar su estado antes de planificar.
¿Qué relación tiene la seguridad de red con la evaluación de impacto?
Las medidas que una evaluación declara, como control de accesos, segmentación, registros y detección de amenazas, se apoyan en la infraestructura de seguridad. Un firewall bien configurado permite demostrar que esas medidas existen y funcionan.
¿Quién debe realizar la evaluación de impacto?
La ley recae sobre quien decide cómo y para qué se tratan los datos, es decir, el responsable del tratamiento. En la práctica participan el área legal, el área de tecnología y las áreas de negocio que usan los datos.
¿Qué pasa si no hago la evaluación cuando es obligatoria?
Según análisis jurídicos, omitir una evaluación obligatoria se califica como una infracción de alta gravedad dentro del régimen sancionatorio de la ley. Conviene revisar el texto oficial para conocer el detalle de las sanciones.
Fuentes y referencias oficiales
Texto de la Ley 21.719 y normativa vigente: Biblioteca del Congreso Nacional.
Publicación de la ley y modificaciones: Diario Oficial de la República de Chile.
Este artículo es informativo y no reemplaza asesoría legal.
