La evaluación de impacto en protección de datos es el documento que obliga a pensar un tratamiento antes de ponerlo en marcha: qué datos usa, para qué, qué riesgo crea y cómo se mitiga. En una faena, varios de los sistemas que ya operan caen en los casos en que la ley la exige siempre. La vigencia plena de la Ley N° 21.719 está fijada por la propia ley y hay un proyecto que propone postergarla. Los artículos citados corresponden al texto de la Ley N° 19.628 que fija la Ley N° 21.719.
La regla general
El inciso primero del artículo 15 ter de la Ley N° 19.628 dispone que, cuando sea probable que un tipo de tratamiento, por su naturaleza, alcance, contexto, tecnología utilizada o fines, pueda producir un alto riesgo para los derechos de los titulares, el responsable debe realizar la evaluación de impacto previo al inicio de las operaciones del tratamiento. La evaluación es anterior: no se hace después de instalar el sistema para justificarlo.
Los cuatro casos en que se exige siempre
El inciso segundo del artículo 15 ter enumera cuatro casos en que la evaluación se requiere siempre. Cada uno tiene un equivalente reconocible en la minería.
Evaluación sistemática con decisiones automatizadas
La letra a comprende la evaluación sistemática y exhaustiva de aspectos personales basada en tratamiento o decisiones automatizadas, como la elaboración de perfiles, que produzca efectos jurídicos significativos. La letra w del artículo 2° define la elaboración de perfiles como el tratamiento automatizado que evalúa o predice aspectos como el rendimiento profesional, la salud, la fiabilidad, el comportamiento, la ubicación o los movimientos de una persona. Un sistema que evalúa la fatiga del operador y decide si puede conducir puede encajar en esa descripción. El artículo 8° bis agrega que el titular tiene derecho a no ser objeto de decisiones automatizadas que le afecten significativamente, salvo excepciones, y que aun en ellas se le debe asegurar la intervención humana y la revisión de la decisión.
Tratamiento masivo o a gran escala
La letra b se refiere al tratamiento masivo de datos o a gran escala. La ley no fija un número. La dotación propia y contratista de una faena grande, con sus registros de acceso, turnos y exámenes, plantea la pregunta de inmediato.
Monitoreo de una zona de acceso público
La letra c exige la evaluación cuando el tratamiento implica observación o monitoreo sistemático de una zona de acceso público. Las cámaras de la faena que cubren un camino o un acceso abierto al público pueden quedar dentro de esta hipótesis en la parte que captan.
Datos sensibles sin consentimiento
La letra d comprende el tratamiento de datos sensibles y especialmente protegidos en las hipótesis de excepción del consentimiento. La letra e del inciso segundo del artículo 16 bis permite tratar datos de salud sin consentimiento para fines de medicina preventiva o laboral y de evaluación de la capacidad laboral del trabajador, aunque el penúltimo inciso del mismo artículo prohíbe tratar y ceder los datos de salud recolectados en el ámbito laboral, salvo que la ley lo autorice expresamente en casos calificados. Y el artículo 16 ter remite a esas mismas excepciones para los datos biométricos del control de acceso. Cuando la empresa se apoya en una excepción y no en el consentimiento, la evaluación es obligatoria.
Qué debe contener
El inciso tercero del artículo 15 ter encarga a la Agencia de Protección de Datos Personales publicar una lista orientativa de las operaciones que requieren o no una evaluación, y fijar las orientaciones mínimas para realizarla. La propia ley adelanta el contenido mínimo que esas orientaciones deben considerar:
- la descripción de las operaciones de tratamiento;
- su finalidad;
- la evaluación de la necesidad y la proporcionalidad respecto de esa finalidad, y
- la evaluación de los riesgos y las medidas de mitigación.
El último inciso permite al responsable consultar a la Agencia cuando el resultado de la evaluación muestra que el tratamiento es de alto riesgo, para obtener sus recomendaciones.
El contratista también evalúa
La obligación del artículo 15 ter recae en el responsable del tratamiento. El contratista que decide los fines y medios del tratamiento de los datos de su propio personal, por ejemplo sus exámenes o su registro de asistencia, es responsable respecto de esos datos y debe evaluar sus propios tratamientos. Lo que hace la mandante no cubre automáticamente lo que hace el contratista, y al revés.
El costo de omitirla
La letra k del artículo 34 quáter de la Ley N° 19.628 califica como infracción gravísima incumplir la obligación del artículo 15 ter en los casos que corresponda. La letra c del artículo 35 sanciona las infracciones gravísimas con multa de hasta 20.000 unidades tributarias mensuales. Con la UTM de agosto de 2026, que el Servicio de Impuestos Internos fija en $71.649, ese tope equivale a 20.000 × $71.649 = $1.432.980.000.
Por dónde empezar
- Levantar los tratamientos de la faena y marcar los que caen en alguno de los cuatro casos.
- Para cada uno, dejar escrita la finalidad y la razón por la que ese dato, y no uno menos invasivo, es necesario.
- Identificar los riesgos concretos, como la filtración de un examen, un error del sistema de fatiga o un acceso indebido a las grabaciones, y la medida que mitiga cada uno.
- Para los tratamientos nuevos, hacer la evaluación antes de iniciar las operaciones, como exige el inciso primero.
Sepa qué tratamientos necesitan evaluación de impacto
SIDAP Minero detecta qué actividades de tratamiento requieren evaluación y la arma sobre una plantilla construida a partir de las exigencias del artículo 15 ter de la Ley N° 19.628.
Conocer SIDAP Conversemos