Mi empresa necesita una evaluación de impacto en protección de datos

¿Tienes razón?

Lo que determina si necesitas una evaluación de impacto son tres cosas: la naturaleza del tratamiento, la escala y el riesgo para los derechos de las personas. Tratamientos de datos sensibles, profilado que afecte decisiones automatizadas, tratamientos masivos o la combinación de bases que pueda generar perfiles detallados justifican una evaluación. También influye si tu empresa opera en varios países o transfiere datos fuera de Chile, ya que eso eleva el riesgo legal. No existe una regla única pero sí criterios: mayor volumen, mayor variedad de datos y mayor probabilidad de afectar derechos implican la necesidad de un estudio previo. Otra variable es la obligación contractual o sectorial: ciertos contratos con proveedores o exigencias regulatorias sectoriales piden explicitamente un análisis de riesgos de privacidad.

Cómo se soluciona

1. Designa responsables y define alcance.

• Nombra a la persona o equipo encargado (DPO/encargado de privacidad) y establece qué procesos, sistemas y perfiles de datos entran en la evaluación.

1. Mapea el flujo de datos.

• Identifica las fuentes de datos, categorías (identificadores, financieros, sensibles), destinos internos y externos, terceros involucrados y plazos de conservación.
• Documenta los soportes (bases de datos, servicios en la nube, backups).

1. Describe finalidades y bases legales.

• Para cada tratamiento, deja constancia escrita de la finalidad y la base que lo legitima (consentimiento, contrato, obligación legal, interés legítimo, etc.).

1. Identifica y valora riesgos.

• Haz un inventario de amenazas (pérdida de confidencialidad, acceso no autorizado, filtración) y valora su probabilidad e impacto sobre derechos y libertades.

1. Define medidas técnicas y organizativas.

• Propón controles: cifrado, control de accesos, anonimización, registro de actividad, formación de personal, contratos con proveedores y cláusulas de seguridad.

1. Decide si procede mitigación, no iniciar el tratamiento o medidas complementarias.

• Si el riesgo residual sigue siendo alto, evalúa alternativas: reducir la colección de datos, cambiar la finalidad o adoptar medidas adicionales.

1. Documenta y conserva el informe.

• El informe debe contener conclusiones, responsables y plan de ejecución de medidas. Sirve como evidencia frente a auditorías o reclamos.

1. Revisa periódicamente.

• Los cambios en la tecnología, en proveedores o en finalidades obligan a actualizar la evaluación.

1. Diferencia tareas internas y necesidad de asesoría externa.

• Tu equipo puede mapear y documentar muchos procesos, pero es recomendable contar con asesoría legal y técnica para la valoración de riesgo y la redacción del informe, sobre todo si hay datos sensibles o transferencias internacionales.

Qué puede pasar

1) Resolución interna y mejora técnica: la empresa implementa controles sugeridos.

• En el mejor escenario la evaluación detecta riesgos y se corrigen sin más consecuencias. Esto reduce la probabilidad de incidentes y de sanciones regulatorias; además mejora la confianza de clientes y socios.

2) Negociación con clientes o proveedores.

• Si el informe revela deficiencias en la cadena, puede implicar renegociar contratos, imponer cláusulas adicionales o exigir certificaciones de proveedores. Un acuerdo práctico puede resolverlo sin litigar.

3) Procedimientos administrativos o sancionatorios.

• Si ocurre un incidente y no existió evaluación en tratamientos de alto riesgo, la autoridad puede cuestionar la diligencia y aplicar medidas correctivas. También puede haber responsabilidad civil si la negligencia causa daño a terceros.

Y si ganas en un conflicto contractual, ¿cobras? Si un cliente reclama por fallas y un tribunal te da la razón, la resolución puede ordenar medidas correctivas o indemnizaciones. La ejecución depende de la capacidad financiera del condenado y del mecanismo contractual acordado.

Errores que arruinan el caso

• Hacer una evaluación genérica sin mapear flujos concretos: un informe vago no protege frente a una investigación.
• No documentar las decisiones ni los responsables: sin trazabilidad, es difícil demostrar diligencia.
• Subestimar a proveedores: asumir que un proveedor cumple sin exigir pruebas o cláusulas contractuales aumenta el riesgo.
• No actualizar el informe ante cambios tecnológicos o de negocio: una evaluación antigua pierde valor.
• Confundir cumplimiento técnico con cumplimiento legal: medidas técnicas sin una base legal clara no evitan responsabilidad.