Cómo hacer una EIPD / DPIA bajo la Ley 21.719: guía con ejemplo
La Evaluación de Impacto en Protección de Datos (EIPD) es obligatoria para tratamientos de alto riesgo bajo la Ley 21.719. Aquí está cómo hacerla bien — desde el test de obligatoriedad hasta el cierre con medidas de mitigación.
Test de obligatoriedad: ¿necesito hacer EIPD?
No todo tratamiento requiere EIPD. La Ley 21.719 la exige cuando el tratamiento implica alto riesgo para los derechos de los titulares. Si tu tratamiento cumple 2 o más de estos 9 criterios, la EIPD es obligatoria:
Estructura de una EIPD completa
Una EIPD bien hecha tiene 7 secciones obligatorias:
- Descripción del tratamiento: qué se hace, quién, cómo, con qué finalidad
- Necesidad y proporcionalidad: ¿es necesario tratar TODOS esos datos para esa finalidad?
- Riesgos identificados: amenazas a derechos de titulares (acceso ilícito, uso indebido, pérdida)
- Probabilidad e impacto: matriz de riesgo
- Medidas de mitigación: técnicas y organizativas
- Riesgo residual: lo que queda después de mitigar
- Aprobación: del DPO y validación por el responsable
Ejemplo real: EIPD de biometría laboral
Una empresa quiere instalar lectores biométricos para registro de asistencia (huella + reconocimiento facial). Veamos la EIPD:
| Descripción | Captura biométrica diaria para control horario en 12 sucursales (1.200 empleados) |
|---|---|
| Finalidad | Verificación de asistencia con base legal en contrato de trabajo |
| Datos | Templates biométricos (sensibles), nombre, RUT, fecha-hora, sucursal |
| Necesidad | SÍ — sistema actual (tarjetas) tiene 18% de fraude por préstamo |
| Proporcionalidad | Templates almacenados, NO imágenes. Cifrado AES-256. Retención 90 días |
| Riesgos | Fuga de templates, uso para fines ajenos al horario, acceso no autorizado |
| Medidas | (1) Cifrado en reposo y tránsito (2) Acceso solo a 3 personas de RRHH (3) Audit log inmutable (4) Imposibilidad de extraer templates (5) Consentimiento explícito firmado por trabajador |
| Riesgo residual | BAJO — controlable con el monitoreo continuo |
| Aprobación DPO | Carolina G., 22 abril 2026, vigencia 24 meses |
Medidas de mitigación típicas
- Técnicas: cifrado, seudonimización, control de accesos, audit log, retención mínima, anonimización en analítica
- Organizativas: capacitación, políticas internas, contratos con encargados, revisiones periódicas
- Transparencia: información clara al titular, canal ARCOP accesible
Cuándo consultar a la Agencia
Si después de aplicar medidas el riesgo residual sigue siendo alto, la Ley 21.719 obliga a hacer una consulta previa a la Agencia de Protección de Datos antes de iniciar el tratamiento. La Agencia tiene plazos para responder con recomendaciones o eventualmente prohibir el tratamiento.
EIPDs con IA: del Excel al sistema vivo
Confirmer360 incluye plantillas guiadas, test de obligatoriedad automatizado y propuestas de medidas con IA.
Solicitar demo gratuita