DPIA · Evaluación de Impacto · Ley 21.719
DPIA: identifica y reduce riesgos antes de tratar datos personales
Una Evaluación de Impacto en Protección de Datos permite analizar anticipadamente tratamientos que pueden generar un alto riesgo para las personas, identificar sus impactos y definir medidas para reducirlos.
Gestión de riesgos
¿Qué es una Evaluación de Impacto en Protección de Datos?
La DPIA o Evaluación de Impacto en Protección de Datos es un proceso de análisis previo que permite comprender cómo un tratamiento de datos personales puede afectar los derechos de las personas y qué medidas deben implementarse para reducir esos riesgos.
La Ley 21.719 de Protección de Datos Personales establece que debe realizarse antes de iniciar operaciones de tratamiento cuando, por su naturaleza, alcance, contexto, tecnología utilizada o finalidad, sea probable que exista un alto riesgo para los derechos de los titulares.
Alto riesgo
¿Cuándo debe realizarse una evaluación de impacto?
El criterio principal es el nivel de riesgo que puede generar el tratamiento para los derechos de las personas. La Ley 21.719 establece además determinadas situaciones en las que la evaluación se requiere expresamente.
Perfilamiento y decisiones automatizadas
Evaluaciones sistemáticas y exhaustivas de aspectos personales basadas en tratamientos o decisiones automatizadas que produzcan efectos jurídicos significativos.
Tratamiento masivo o a gran escala
Operaciones que involucren tratamiento masivo de datos o tratamientos realizados a gran escala.
Monitoreo sistemático
Observación o monitoreo sistemático de zonas de acceso público.
Datos sensibles y especialmente protegidos
Tratamientos de estas categorías en las hipótesis de excepción del consentimiento previstas por la normativa.
Algunas preguntas ayudan a detectar tratamientos que requieren mayor análisis
Estas preguntas sirven como orientación inicial. La determinación debe realizarse considerando las características concretas del tratamiento y los criterios establecidos por la normativa.
¿El tratamiento afecta a muchas personas?
El volumen, alcance territorial y duración pueden modificar el perfil de riesgo.
¿Utilizamos datos sensibles o especialmente protegidos?
El tipo de información tratada puede exigir un análisis más profundo.
¿Realizamos perfilamiento o decisiones automatizadas?
Conviene revisar efectos jurídicos o consecuencias significativas para titulares.
¿Usamos nuevas tecnologías para tratar datos personales?
Nuevas plataformas, IA o integraciones pueden cambiar el riesgo.
¿Existe observación sistemática?
El monitoreo constante o en zonas públicas requiere una evaluación cuidadosa.
¿Una decisión podría producir efectos significativos?
El impacto sobre derechos, acceso a servicios o condiciones relevantes debe analizarse.
Punto de partida
Primero necesitas saber qué tratamiento estás evaluando
Una evaluación de impacto necesita partir de una descripción clara del tratamiento: qué datos utiliza, qué titulares están involucrados, para qué se realiza, qué sistemas participan y qué terceros intervienen.
Evaluación
¿Qué debe considerar una evaluación de impacto?
La evaluación debe permitir entender el tratamiento, justificar su necesidad, identificar riesgos para las personas y definir medidas que reduzcan esos riesgos.
Descripción del tratamiento
Qué operaciones se realizarán, qué datos intervienen, qué actores participan y cuál es la finalidad.
Necesidad y proporcionalidad
Evaluar si el tratamiento y los datos utilizados resultan adecuados respecto de la finalidad perseguida.
Riesgos para las personas
Identificar situaciones que podrían afectar los derechos de los titulares y cuál podría ser su impacto.
Medidas de mitigación
Definir medidas destinadas a reducir los riesgos identificados y mantener evidencia de su implementación.
Orientaciones de la Agencia
La Agencia de Protección de Datos Personales deberá publicar orientaciones mínimas y una lista orientativa de operaciones que requieran o no evaluación de impacto. Esta página deberá actualizarse cuando dichas orientaciones estén disponibles.
De la actividad de tratamiento al riesgo controlado
Una DPIA transforma una iniciativa de datos en decisiones verificables: finalidad, personas afectadas, riesgos, impactos, medidas y evidencia.
Convertir incertidumbre en análisis
Situación que puede afectar los derechos de las personas como consecuencia del tratamiento.
Entender consecuencias
Consecuencia que ese riesgo podría producir para los titulares.
Tomar decisiones concretas
Acción técnica, organizativa o procedimental destinada a reducir el riesgo.
Privacy by Design
¿Necesitamos realmente estos datos y este tratamiento?
Una DPIA no analiza únicamente la seguridad técnica. También requiere revisar si el tratamiento es necesario para alcanzar su finalidad y si la forma en que se utilizan los datos resulta proporcional a ese objetivo.
Controles
Los riesgos deben convertirse en medidas verificables
Una vez identificados los riesgos, la organización debe definir medidas técnicas y organizativas que permitan reducirlos y mantener evidencia de su implementación. Los controles concretos deben evaluarse según el tratamiento y su nivel de riesgo.
Control de accesos y autenticación
MFA, segregación de funciones y perfiles ajustados al rol.
Cifrado y trazabilidad
Medidas para proteger datos y registrar acciones relevantes.
Gestión de terceros y monitoreo
Evaluación de proveedores, retención, eliminación y seguimiento.
Prioriza los riesgos según su impacto
Una matriz permite traducir hallazgos en medidas y estados de avance. Su metodología debe adaptarse al tratamiento concreto y a las orientaciones aplicables.
| Riesgo | Impacto | Nivel inicial | Medida | Estado |
|---|---|---|---|---|
| Acceso no autorizado | Exposición de datos | Alto | MFA + RBAC | En proceso |
| Conservación excesiva | Uso innecesario de información | Medio | Política de retención | Pendiente |
| Proveedor sin controles suficientes | Exposición a terceros | Alto | Evaluación proveedor | En revisión |
Ejemplo ilustrativo. La metodología y criterios deben adaptarse al tratamiento concreto y a las orientaciones aplicables.
La evaluación no termina al definir controles
Después de establecer medidas de mitigación, la organización debe revisar si el nivel de riesgo sigue siendo significativo y documentar la decisión adoptada.
Tecnología y datos
Nuevas plataformas, automatizaciones, analítica, inteligencia artificial y proyectos con grandes volúmenes de datos pueden modificar el perfil de riesgo.
Proveedores
Servicios cloud, plataformas tecnológicas, encargados u otros terceros deben considerarse dentro del análisis. Revisa también la gestión de terceros y proveedores.
Evidencia
Cada decisión debe dejar trazabilidad sobre tratamiento evaluado, criterios, riesgos, medidas y responsables.
Cambios relevantes
La evaluación debe revisarse cuando cambien finalidad, sistemas, datos, titulares, escala o terceros involucrados.
Privacy Operations
Lleva la DPIA a una operación conectada
PHARUS Privacy permite conectar evaluaciones de impacto con tratamientos, riesgos, responsables, controles y evidencia dentro de una misma operación de privacidad.
Implementación
De la identificación del riesgo a un plan de mitigación
GTD trabaja la DPIA como un proceso práctico: identificar, evaluar, priorizar, mitigar, evidenciar y revisar.
Definimos el tratamiento
Alcance, finalidad, sistemas, titulares y actores involucrados.
Analizamos el riesgo
Necesidad, proporcionalidad y riesgos para los derechos de las personas.
Determinamos intervención
Valoramos los riesgos y definimos cuáles requieren acción.
Definimos medidas
Controles técnicos, organizativos y procedimentales según el riesgo.
Documentamos decisiones
Responsables, medidas, resultados y trazabilidad del proceso.
Actualizamos ante cambios
Condiciones para volver a evaluar cuando cambien elementos relevantes.
Preguntas frecuentes
Preguntas frecuentes sobre DPIA y Ley 21.719
Respuestas breves para orientar la evaluación de tratamientos de alto riesgo, medidas de mitigación y evidencia.
¿Qué significa DPIA?
Data Protection Impact Assessment. En la Ley 21.719 se utiliza el concepto de Evaluación de Impacto en Protección de Datos Personales.
¿Cuándo debe realizarse una DPIA?
Cuando sea probable que un tratamiento, por su naturaleza, alcance, contexto, tecnología utilizada o finalidad, produzca un alto riesgo para los derechos de los titulares. La ley establece además determinados supuestos en los que la evaluación se requiere expresamente.
¿Debe hacerse antes o después de iniciar el tratamiento?
La evaluación debe realizarse antes del inicio de las operaciones del tratamiento cuando corresponde conforme al artículo 15 ter.
¿Qué debe analizar una DPIA?
Debe considerar descripción y finalidad del tratamiento, necesidad y proporcionalidad, riesgos para las personas y medidas de mitigación.
¿Todo tratamiento de datos sensibles necesita una DPIA?
La norma establece específicamente este requisito para el tratamiento de datos sensibles y especialmente protegidos en las hipótesis de excepción del consentimiento, además del criterio general de alto riesgo.
¿La DPIA se relaciona con el RAT?
Sí. El RAT permite identificar y caracterizar tratamientos que posteriormente pueden requerir una evaluación de impacto.
¿La Agencia puede participar?
La ley permite consultar a la Agencia cuando el resultado de la evaluación demuestre que el tratamiento es de alto riesgo, con el objeto de obtener recomendaciones.
¿PHARUS puede apoyar la operación de DPIA?
Sí. PHARUS forma parte de la capa tecnológica prevista por GTD para conectar tratamientos, riesgos, medidas y evidencia.
Evaluación DPIA
¿Necesitas evaluar un tratamiento de alto riesgo?
Cuéntanos qué tratamiento, proyecto o tecnología estás evaluando y revisaremos contigo los próximos pasos para determinar el alcance de una Evaluación de Impacto en Protección de Datos.