Evaluación de impacto (EIPD): cuándo un colegio está obligado a hacerla

Cuando sea probable que un tratamiento produzca un alto riesgo para los derechos de los titulares —por su naturaleza, alcance, contexto, tecnología o fines— el responsable debe hacer, previo al inicio de las operaciones, una evaluación de impacto en protección de datos personales Art. 15 ter.

No es un informe para archivar: es un ejercicio previo que puede terminar en «este tratamiento no se hace así». Ese es el punto — la evaluación existe para cambiar la decisión, no para justificarla.

Además de la regla general del alto riesgo, la ley enumera cuatro situaciones en que la evaluación «se requerirá siempre»:

La pregunta útil no es si un colegio «necesita una EIPD», sino cuántos de sus tratamientos caen en los cuatro casos. Los que aparecen una y otra vez:

• Videovigilancia de patios y accesos — monitoreo sistemático de zona de acceso público (letra c), con menores como principales observados.
• El padrón completo del colegio — toda la matrícula, sus apoderados y sus vínculos, tratados de forma continua durante toda la trayectoria escolar: tratamiento a gran escala (letra b).
• Programa de integración y ficha de salud — datos sensibles tratados con una base distinta del consentimiento cuando corresponde (letra d).
• Alertas y priorizaciones automáticas — si un sistema calcula riesgo de deserción, asigna cupos o prioriza beneficios sin intervención humana, hay perfilamiento con efectos relevantes (letra a).
• Biometría para asistencia o acceso — los datos biométricos son sensibles por definición legal, y su tratamiento a escala de matrícula rara vez escapa a la letra b) o la d).

Qué cuenta como dato sensible en un colegio chileno —que es lo que decide la letra d)— está en su propia página: la lista es más larga que la intuición.

La ley encarga a la Agencia fijar las orientaciones mínimas, pero ya enumera lo que esos criterios deben considerar «a lo menos»:

1. 01La descripción de las operaciones de tratamiento.
2. 02Su finalidad.
3. 03La evaluación de la necesidad y la proporcionalidad respecto de esa finalidad.
4. 04La evaluación de los riesgos.
5. 05Las medidas de mitigación.

El punto 3 es el que cambia decisiones. «Necesidad y proporcionalidad» obliga a preguntarse si la finalidad se puede lograr con menos datos, menos tiempo o menos gente con acceso — y muchas veces se puede.

Un detalle que sí importa para que el resultado sea defendible: el informe debe declarar con qué metodología se calculó el riesgo. Un documento que afirma «riesgo alto» sin decir con qué rúbrica llegó ahí no es discutible ante nadie.

Incumplir el deber de realizar la evaluación de impacto es infracción gravísima Art. 34 quáter k): hasta 20.000 UTM. Es notable que una obligación documental esté en el mismo tramo que ceder datos sensibles sin base legal, y dice algo sobre cómo entiende la ley el análisis previo: no como papeleo, sino como la única oportunidad de evitar el daño.

Los tres grados, con montos convertidos a pesos, están en la página de multas.