Es probable que su empresa ya esté obligada, y no lo sepa. La Evaluación de Impacto en Protección de Datos (EIPD) no es una buena práctica voluntaria. La Ley 21.719 la exige cada vez que se tratan datos sensibles invocando una excepción al consentimiento, incluso cuando es la propia ley la que ordena ese tratamiento.
El mandato legal
El artículo 15 ter letra d) de la Ley N° 19.628, en su texto modificado por la Ley N° 21.719, es categórico al definir cuándo es obligatoria:
«Tratamiento de datos sensibles y especialmente protegidos, en las hipótesis de excepción del consentimiento.»
Cada vez que se procesan datos sensibles invocando una excepción al consentimiento, la EIPD es exigible. No importa que la habilitación legal sea expresa y específica. La obligación nace, igualmente, de los artículos 16, 16 bis y 16 ter de la misma ley.
Dónde se gatilla
No hace falta un proyecto extraordinario para que aparezca la obligación. Está escondida en la operación más rutinaria. Estas actividades cotidianas ya la gatillan:
- Datos de salud para prevención de riesgos laborales. Exámenes ocupacionales, evaluaciones de aptitud y exposición a riesgos.
- Licencias médicas e incapacidades. Gestión de reposos, mutualidades y subsidios en recursos humanos.
- Información sindical en relaciones laborales. Afiliación, descuentos por planilla y negociación colectiva.
Lo dispuesto en los artículos 16 letra e) y 16 bis letra e) de la ley deja poco margen de duda interpretativa.
A quién afecta
Si una empresa tiene trabajadores, probablemente le aplica. Las hipótesis típicas y a quién alcanzan:
- Salud para prevención de riesgos laborales: empresas con trabajadores expuestos a riesgos físicos o psicosociales.
- Datos sindicales: toda empresa con organización sindical o que gestione descuentos por planilla.
- Licencias médicas e incapacidades: toda empresa con un área de recursos humanos.
Una empresa mediana enfrentará al menos dos o tres EIPD obligatorias derivadas solo de su operación laboral ordinaria. Antes de pensar en proyectos especiales de marketing, perfilamiento o inteligencia artificial.
Qué es una EIPD
Una EIPD no prohíbe ni valida el tratamiento. Obliga a documentar los riesgos antes de tratar los datos y a aplicar medidas de mitigación proporcionales. El ejercicio tiene tres resultados posibles:
- Tratar los datos, con medidas de mitigación adecuadas.
- No tratar, cuando el riesgo es inaceptable e irreducible. Esta alternativa queda excluida cuando la ley misma exige el tratamiento.
- Consultar a la Agencia de Protección de Datos ante un tratamiento de alto riesgo que no puede mitigarse internamente.
Su función es instrumental: deja evidencia formal de que la organización analizó los riesgos y aplicó salvaguardas razonables antes de actuar.
El matiz importante
Cuando la base de licitud del tratamiento es legal, el juicio de proporcionalidad ya lo hizo el legislador. La evaluación no repite esa ponderación: operacionaliza las salvaguardas que vuelven el tratamiento tolerable en la práctica.
Se puede debatir, caso a caso, cuánto valor sustantivo agrega la EIPD. Lo que no se discute es que la obligación existe. El principio de responsabilidad proactiva del artículo 3 letra e) la transforma en un requisito documental cuya omisión es directamente sancionable.
Qué hacer ahora
La recomendación operativa es simple y se puede iniciar esta misma semana:
- Identificar qué tratamientos de datos sensibles realiza hoy la organización (salud, sindicato, licencias, biometría, geolocalización, etc.).
- Determinar cuáles de esos tratamientos gatillan la obligación de contar con una EIPD bajo el artículo 15 ter.
- Documentar los riesgos identificados y las salvaguardas aplicadas. La EIPD es la pieza que acredita el cumplimiento ante la Agencia.
La evaluación puede ser, en muchos casos, principalmente instrumental. Pero sigue siendo obligatoria.
¿Sabe cuántas EIPD le exige la ley?
En DCS Compliance, división especializada de Garín, ayudamos a mapear los tratamientos de datos sensibles de la organización y a documentar las evaluaciones que la Ley 21.719 vuelve obligatorias. El trabajo incluye:
- Diagnóstico de tratamientos de datos sensibles y bases de licitud aplicables.
- Inventario de EIPD obligatorias y plan de elaboración priorizado.
- Redacción de la EIPD con metodología validada y vocabulario compatible con la futura fiscalización de la Agencia.
Conversemos antes de que la primera notificación llegue a su empresa.
Este artículo tiene carácter informativo general. No constituye asesoría legal. Para un análisis adaptado a la situación particular de su empresa, consulte con un abogado especialista en protección de datos personales.