Antes de iniciar un tratamiento que pueda producir un alto riesgo para las personas, debes evaluar su impacto. La ley la exige siempre en cuatro casos: perfiles automatizados con efectos significativos, tratamiento masivo, monitoreo de zonas de acceso público y datos sensibles sin consentimiento. Omitirla es una infracción gravísimaarts. 15 ter y 34 quáter k.
Cuándo es obligatoria
La evaluación se hace antes de iniciar el tratamiento cuando puede producir un alto riesgo para los derechos de las personas, y la ley la exige siempre en estos casosart. 15 ter:
| Caso | Ejemplos |
|---|---|
| a) Evaluación sistemática y exhaustiva de aspectos personales, basada en tratamiento o decisiones automatizadas, como perfiles, con efectos jurídicos significativos | Puntaje de crédito que aprueba o rechaza; selección automática de postulantes |
| b) Tratamiento masivo o a gran escala | Bases con datos de gran parte de una ciudad o del país; programas de fidelización masivos |
| c) Observación o monitoreo sistemático de una zona de acceso público | Cámaras en tiendas, accesos, estacionamientos |
| d) Datos sensibles o especialmente protegidos sin consentimiento, en las excepciones que permite la ley | Datos de salud de trabajadores tratados por obligaciones laborales |
La Agencia de Protección de Datos Personales publicará además una lista orientativa de los tratamientos que requieren o no una evaluaciónart. 15 ter. La ley no fija un número para "gran escala". Como orientación, que no es un criterio legal, considera la cantidad de personas, el volumen de datos, la duración y el alcance.
Qué debe contener
La Agencia fijará orientaciones mínimas que consideran, a lo menosart. 15 ter:
- la descripción de las operaciones de tratamiento y su finalidad;
- la evaluación de la necesidad y proporcionalidad respecto de esa finalidad;
- la evaluación de los riesgos y las medidas de mitigación.
La plantilla en Word sigue esos tres puntos, más la identificación, la conclusión y la aprobación. Ajústala cuando la Agencia publique sus orientaciones.
Paso a paso
- Revisa si es obligatoria con el checklist de una página.
- Describe el tratamiento: finalidad, base legal, datos, personas afectadas, sistemas, proveedores y plazo de conservación.
- Evalúa necesidad y proporcionalidad: ¿hay una forma menos invasiva de lograr lo mismo? ¿usas solo los datos necesarios?
- Identifica los riesgos para las personas, con su probabilidad y gravedad: discriminación, pérdida de confidencialidad, fraude, decisiones injustas.
- Define medidas para reducirlos, con responsable y plazo: minimizar datos, acortar la conservación, cifrar, revisar las decisiones automatizadas con una persona.
- Concluye: si el riesgo residual es aceptable, iniciar con condiciones, no iniciar o consultar a la Agencia.
- Aprueba y agenda la revisión, al menos una vez al año o cuando cambie el tratamiento.
En Cumple21 las evaluaciones de impacto se hacen desde cada tratamiento del registro, con historial de versiones y recordatorio de revisión.
¿Hay que consultar a la Agencia?
No es obligatorio. Si la evaluación muestra un alto riesgo, puedes consultar a la Agencia para obtener recomendacionesart. 15 ter. No es una autorización previa: la decisión y la responsabilidad siguen siendo de tu empresa.
Sin registro. Puedes usarlas y adaptarlas libremente en tu empresa. Versión de octubre de 2026.
Opcional. Te escribiremos solo para eso.
Preguntas frecuentes
¿Tengo que hacer una evaluación por cada tratamiento?
No. Solo para los que pueden producir un alto riesgo, y siempre para los cuatro casos del art. 15 ter. Para el resto, basta dejar registro de que lo revisaste.
¿Las cámaras de seguridad de mi tienda requieren evaluación?
Si monitorean de forma sistemática una zona de acceso público, sí: es uno de los casos en que la ley la exige siempreart. 15 ter c.
¿Qué pasa si ya empecé el tratamiento sin evaluación?
Hazla cuanto antes y aplica las medidas que resulten. La ley pide hacerla antes de iniciar, y omitirla cuando es obligatoria es una infracción gravísimaart. 34 quáter k.
Sigue con: registro de tratamientos · vulneraciones de seguridad · multas.