No Todo Tratamiento Necesita una EIPD — Pero el de Alto Riesgo Sí
Si tu empresa procesa datos sensibles a escala o usa decisiones automatizadas, la Evaluación de Impacto en Protección de Datos documenta el riesgo real y las medidas que lo mitigan — antes de que ocurra un problema, no después.
Modelo adaptado del estándar europeo (RGPD/EDPB) — el marco que la Ley 21.719 sigue explícitamente
Cuándo Es Obligatoria
Tres Señales de que tu Tratamiento Es de Alto Riesgo
Datos sensibles a gran escala
Biométricos (huellas, reconocimiento facial), de salud, o cualquier categoría especial procesada sobre una base grande de personas, no un caso aislado.
Monitoreo sistemático
Vigilancia continua de personas — ej. cámaras con reconocimiento, tracking de comportamiento a gran escala.
Decisiones automatizadas significativas
Un algoritmo que aprueba/rechaza crédito, filtra postulaciones de empleo, o afecta de forma relevante a una persona sin intervención humana en la decisión final.
Si ninguna de las tres aplica, la EIPD no es obligatoria — pero documentar por qué se descartó (una nota breve en el RAT) también cuenta como evidencia de responsabilidad demostrada.
La Plantilla
4 Secciones que Toda EIPD Real Debe Tener
Descripción Sistemática del Tratamiento
Qué datos, de quién, con qué finalidad, por cuánto tiempo, y con qué flujo (de dónde entran los datos, por dónde circulan, dónde salen).
Necesidad y Proporcionalidad
Por qué este tratamiento es necesario para la finalidad declarada, y por qué no hay una forma de lograr lo mismo con menos datos o menor riesgo.
Análisis de Riesgos
Qué le puede pasar a los titulares si algo sale mal (filtración, uso indebido, discriminación algorítmica) — probabilidad e impacto de cada riesgo identificado.
Medidas de Mitigación
Qué hace la empresa concretamente para bajar cada riesgo identificado a un nivel aceptable — cifrado, anonimización, controles de acceso, auditorías periódicas.
No Son lo Mismo
El RAT Mapea Todo — La EIPD Profundiza lo Peligroso
El Registro de Actividades de Tratamiento (RAT) es el inventario de TODOS los tratamientos de datos de tu empresa, sin importar el riesgo — una fila por cada uno. La EIPD es un análisis profundo que solo se hace para los tratamientos de ALTO riesgo que el RAT ayuda a identificar. Son complementarios: primero se mapea todo (RAT), después se profundiza en lo peligroso (EIPD).
Preguntas Frecuentes
Sobre la Evaluación de Impacto
¿Cuándo mi empresa necesita hacer una Evaluación de Impacto (EIPD)?
Cuando el tratamiento implica alto riesgo para los titulares: datos sensibles a gran escala (biométricos, de salud), monitoreo sistemático de personas, o decisiones automatizadas que afectan a alguien de forma significativa (ej. un algoritmo que aprueba o rechaza un crédito). Si no hay alto riesgo identificable, no es obligatoria, pero documentar por qué se descartó también es evidencia de responsabilidad demostrada.
¿La EIPD reemplaza al RAT?
No, son documentos distintos y complementarios. El RAT es el inventario de TODOS los tratamientos de datos, sin importar el riesgo. La EIPD es un análisis profundo que solo se hace para los tratamientos de ALTO riesgo detectados en el RAT — el RAT te dice cuáles tratamientos existen, la EIPD analiza en detalle los que son peligrosos.
Los Otros 6 Entregables
El inventario base del que sale la lista de tratamientos que podrían necesitar una EIPD.
El proceso completo para responder solicitudes de tus clientes, y los plazos reales.
El protocolo de notificación a la Agencia en 72 horas, y por qué el registro es obligatorio aunque no notifiques.