El RAT dice qué se trata. La EIPD dice si debiera tratarse así
El juicio formal sobre un tratamiento que ya está registrado, no un formulario aparte
La Evaluación de Impacto en la Protección de Datos (EIPD) documenta el análisis de riesgo de un tratamiento que, por su naturaleza, alcance o finalidad, puede entrañar un alto riesgo para los titulares. A diferencia de un formulario independiente, la EIPD comienza seleccionando el RAT que se va a evaluar — no existe una EIPD sin un tratamiento ya registrado detrás.
Un mismo RAT puede acumular más de una evaluación en el tiempo, cada una numerada de forma independiente. La finalidad, la base legal, las categorías de datos y los riesgos ya documentados en el RAT y en Gestión de riesgos se heredan automáticamente — la EIPD se concentra en lo que le es propio: proporcionalidad, alcance de la evaluación y decisión final.
La Ley 21.719 exige evaluar el impacto de los tratamientos que, por su naturaleza, alcance, contexto o fines, entrañen probablemente un alto riesgo para los derechos de los titulares — antes de iniciar el tratamiento, no después. Una organización que no documenta ese análisis no puede demostrar que evaluó el riesgo antes de decidir tratar esos datos.
La EIPD deja ese registro: qué riesgos existían al momento de evaluar, con qué controles, y qué decisión se tomó a partir de un juicio explícito de idoneidad, necesidad y proporcionalidad — la evidencia que se presenta ante una fiscalización de la Agencia de Protección de Datos.
La evaluación empieza eligiendo qué tratamiento se va a evaluar
El módulo lista los RAT ya seleccionados para evaluación, con su estado y el número de EIPD asociadas. Agregar uno nuevo abre un buscador de RAT disponibles — cada uno con su descripción y estado — para dejar explícito sobre qué tratamiento se justifica la evaluación.
- Un RAT puede tener cero, una o varias EIPD asociadas, visibles como contador en el listado
- Ver, gestionar o quitar un RAT de la lista de evaluación sin salir del módulo
Cada evaluación se nombra y se numera para distinguirla de las demás
Al crear una EIPD sobre un RAT se le asigna un nombre propio y un código correlativo — EIPD-AAAA-NNN, Evaluación N — para diferenciarla si ese mismo RAT llega a tener varias evaluaciones a lo largo del tiempo. Queda en estado 'En progreso' con su porcentaje de avance visible desde el primer momento.
- El nombre distingue la evaluación cuando un RAT acumula más de una EIPD
- El encabezado muestra el código, el estado y el porcentaje completado en todo momento
Lo que ya está en el RAT no se vuelve a pedir
El primer tab registra al responsable, la metodología empleada y el alcance de la evaluación. El segundo hereda del RAT su finalidad, base legal, criterio y plazo de conservación, categorías de datos, individuos y destinatarios — visibles en un bloque de solo lectura — y solo pide lo específico de esta EIPD: ciclo de vida de los datos, casos de uso e inventario de activos.
- Bloque 'Datos heredados del tratamiento (RAT)' colapsable, siempre disponible como referencia
- Responsable principal, metodología empleada y extensión de la evaluación son propios de la EIPD
El riesgo se lee en vivo desde Gestión de riesgos, hasta que la evaluación se cierra
Mientras la EIPD está en progreso, el tab Análisis de riesgos refleja en tiempo real los riesgos asociados al RAT en Gestión de riesgos. Al finalizar la evaluación, esos niveles, controles e historial quedan congelados como parte del expediente — la EIPD conserva la fotografía del riesgo tal como estaba al momento de decidir.
- Si el RAT no tiene riesgos asociados, el tab lo indica explícitamente antes de continuar
- Un campo de observaciones del DPO documenta el criterio aplicado sobre el análisis heredado
Idoneidad, necesidad y proporcionalidad, respondidas una a una
El tab Proporcionalidad exige tres juicios redactados y obligatorios: si el tratamiento es idóneo para el fin perseguido, si no existe una alternativa menos invasiva para lograrlo, y si sus beneficios superan los riesgos o cargas para el titular. Sin las tres respuestas, la evaluación no puede finalizarse.
- Los tres juicios son de texto libre y obligatorios — no hay una escala numérica que los reemplace
- Constituyen la justificación central que sostiene la decisión final ante una fiscalización
Lo que preguntan sobre Evaluación de impacto
¿Toda actividad del RAT necesita una EIPD?
No. La EIPD se reserva para tratamientos que probablemente entrañen un alto riesgo para los titulares — por su naturaleza, alcance, contexto o finalidad. El módulo comienza precisamente ahí: seleccionando el RAT sobre el que se justifica esa evaluación.
¿Puedo crear más de una EIPD para el mismo RAT?
Sí. Cada RAT puede acumular varias evaluaciones — por ejemplo, si el tratamiento cambia de alcance con el tiempo — y cada una se numera de forma independiente (Evaluación 1, Evaluación 2…) bajo el mismo código EIPD-AAAA-NNN.
¿Qué significa que los datos del tratamiento sean 'heredados' del RAT?
La finalidad, base legal, categorías de datos, de individuos y de destinatarios, así como el criterio y plazo de conservación, se completan automáticamente desde el RAT asociado. La EIPD no vuelve a pedir esa información — solo agrega lo específico de la evaluación de impacto.
¿De dónde salen los riesgos que aparecen en la EIPD?
Se heredan en tiempo real desde Gestión de riesgos mientras la evaluación está en progreso. Al finalizar la EIPD, esos niveles, controles e historial quedan congelados — la evaluación conserva la fotografía exacta del riesgo en el momento de la decisión, aunque el riesgo siga evolucionando después en su módulo de origen.
¿Qué es el juicio de proporcionalidad?
Son tres preguntas que debe responder toda EIPD: si el tratamiento es idóneo para el fin perseguido, si no existe una alternativa menos invasiva para lograr ese mismo fin, y si los beneficios superan los riesgos o cargas para el titular. Las tres son obligatorias para completar la evaluación.
¿Puedo guardar una EIPD sin terminarla?
Sí. El botón 'Guardar progreso' conserva el avance parcial en cualquiera de los tabs, y el encabezado muestra el porcentaje completado y el estado 'En progreso' hasta que se finaliza la evaluación.