En el artículo sobre qué cambia con la Ley 21.719 mencionamos que ciertos tratamientos exigen una evaluación de impacto previa. Esa mención deja una pregunta abierta que nadie responde: ¿y cómo se hace?
Este artículo es esa respuesta, en la medida en que hoy se puede dar. Porque hay una parte que todavía no existe, y conviene saberlo antes de que alguien te venda lo contrario.
Qué es, en simple
Una evaluación de impacto en protección de datos personales es un documento en el que quien trata los datos analiza, antes de empezar, qué riesgos genera ese tratamiento para las personas y qué va a hacer para reducirlos.
No es un trámite ante una autoridad. No se presenta ni se aprueba. Es un análisis que la comunidad produce, conserva y tiene que poder mostrar si alguien se lo pide.
Esa distinción importa porque cambia el costo: no estás esperando la respuesta de nadie, estás documentando tu propio criterio.
Cuándo es obligatoria
El artículo 15 ter de la Ley 21.719 la exige cuando un tratamiento pueda producir un alto riesgo para los derechos de los titulares, considerando su naturaleza, alcance, contexto, tecnología utilizada o fines.
Y establece cuatro casos en que se requiere siempre:
- Evaluación sistemática y exhaustiva de aspectos personales basada en tratamiento o decisiones automatizadas, como la elaboración de perfiles, que produzca efectos jurídicos significativos.
- Tratamiento masivo de datos o a gran escala.
- Tratamiento que implique observación o monitoreo sistemático de una zona de acceso público.
- Tratamiento de datos sensibles en las hipótesis de excepción del consentimiento.
Para un condominio con cámaras, los relevantes son el segundo y el tercero. Y ambos traen una pregunta sin respuesta cerrada.
¿Son las áreas comunes una “zona de acceso público”? Un condominio cerrado tiene control de acceso y un universo acotado de residentes. Pero también circulan visitas, delivery, personal de aseo y contratistas. Hay argumentos en las dos direcciones y no conocemos criterio publicado que zanje el punto.
¿Cuándo un condominio trata datos “a gran escala”? Ocho cámaras en un edificio de veinte departamentos no es lo mismo que cuarenta cámaras en un condominio de trescientas casas. La ley no da un número.
Nuestra postura, y la decimos como lo que es —una postura, no un dictamen—: si tus cámaras funcionan de forma permanente sobre accesos y áreas comunes, el escenario conservador es asumir que califica. Hacer la evaluación cuesta tiempo. No haberla hecho, si resulta que correspondía, cuesta bastante más.
La parte incómoda: “previo al inicio”
El artículo 15 ter dice que la evaluación se realiza previo al inicio de las operaciones del tratamiento.
Casi todos los condominios de Chile ya tienen cámaras funcionando. El tratamiento empezó hace años.
No vamos a inventar una respuesta que la ley no da. Lo que sí observamos es que la exigencia entra en plena vigencia el 1 de diciembre de 2026, y que llegar a esa fecha con el análisis hecho y fechado es una posición muy distinta a llegar sin nada y argumentar que el sistema es antiguo.
Si además vas a cambiar algo —sumar cámaras, contratar monitoreo externo, incorporar analítica— ahí no hay ambigüedad: eso es una operación de tratamiento nueva, y el “previo” aplica con claridad.
Vale decirlo aunque no nos convenga: contratar monitoreo externo para tu condominio es exactamente uno de esos cambios. Que un tercero pase a observar en vivo y a custodiar imágenes de los residentes modifica el alcance y el contexto del tratamiento, que son dos de los criterios que el propio artículo 15 ter manda considerar. Si tu comunidad va a dar ese paso, el análisis corresponde antes de firmar, no después de la instalación.
Las cinco partes que la ley nombra
Aquí está lo útil. La misma ley, al encargarle a la Agencia de Protección de Datos Personales que dicte las orientaciones mínimas, enumera lo que esos criterios deben considerar a lo menos. Esa enumeración funciona como el esqueleto del documento:
1. La descripción de las operaciones de tratamiento. Qué cámaras, dónde, qué captan, en qué horario, dónde se almacena lo grabado, por cuánto tiempo, quién accede. Es el levantamiento que la mayoría de las comunidades nunca ha escrito. Los criterios para definir el plazo de conservación y el control de acceso están en su propio artículo.
2. Su finalidad. Para qué. “Seguridad” no es una finalidad, es una categoría. “Prevenir intrusiones en accesos vehiculares y peatonales fuera de horario, y disponer de registro verificable ante incidentes” sí lo es. Esta frase es la que después sostiene todo lo demás.
3. La evaluación de la necesidad y la proporcionalidad respecto de esa finalidad. La pregunta más exigente del documento: ¿cada cámara es necesaria para la finalidad declarada, o está donde alcanzaba el cable? Una cámara apuntando a la vereda o al frontis del vecino es difícil de justificar como proporcional a la seguridad de las áreas comunes.
4. La evaluación de los riesgos. Qué puede salir mal para los residentes: acceso no autorizado a las grabaciones, uso para fines distintos del declarado, filtración, conservación indefinida, identificación de personas en contextos que no corresponden.
5. Las medidas de mitigación. Qué haces frente a cada riesgo. Control de acceso al grabador, registro de quién consulta qué, plazo de borrado efectivo, enmascaramiento de zonas que no corresponde captar, contrato con el proveedor que fije finalidad y obligaciones.
Cinco secciones. No es un documento de cien páginas: es el análisis honesto de un sistema que probablemente nadie ha revisado en años.
Lo que todavía no existe
La ley dice que la Agencia establecerá y publicará una lista orientativa de qué tratamientos requieren o no una evaluación, y establecerá las orientaciones mínimas para realizarla.
En tiempo verbal futuro. Al escribir esto, esos documentos todavía no están disponibles.
Esto tiene dos consecuencias prácticas que conviene tener claras.
Primera: si alguien te ofrece hoy una evaluación de impacto “conforme a los criterios de la Agencia”, está prometiendo conformidad con algo que aún no se publica. Eso no la hace inútil —el esqueleto viene de la ley, no del reglamento— pero sí obliga a mirar con cuidado quién promete certezas.
Segunda: cuando esas orientaciones salgan, lo que hayas preparado probablemente haya que ajustarlo. Documentar con fecha y dejar constancia del criterio usado te deja en mejor pie que no tener nada, y además hace barato el ajuste posterior.
La consulta que sí puedes hacer
Un detalle del artículo 15 ter que casi no se menciona: si el resultado de la evaluación muestra que el tratamiento es de alto riesgo, el responsable puede consultar a la Agencia para obtener recomendaciones.
Es voluntario, no un permiso. Pero para una comunidad grande, con analítica o reconocimiento facial de por medio, tener una recomendación de la autoridad vale bastante más que la opinión de un proveedor.
Quién hace qué
Un punto donde se confunden las responsabilidades y conviene dejarlo dicho.
El responsable del tratamiento es el condominio. La evaluación de impacto le corresponde a él, no al proveedor. Una empresa de monitoreo es encargada: trata datos por cuenta de la comunidad, bajo el contrato que exige el artículo 15 bis.
Eso no significa que estés solo. Un proveedor serio debería poder entregarte, sin que se lo ruegues, la información técnica de las secciones 1 y 5: qué capta cada cámara, dónde se almacena, cuánto se conserva, quién accede, cómo se registra ese acceso y qué medidas de seguridad existen.
Si no puede responder eso por escrito, no es un problema de la evaluación de impacto. Es un problema del proveedor, y está en el checklist que escribimos para comités.
Lo que vemos desde la operación
Dos cosas que aparecen apenas alguien intenta escribir la sección 1, y que explican por qué este documento es útil aunque nunca te lo pidan.
Nadie sabe qué capta cada cámara. Hay planos de instalación, hay facturas, pero rara vez existe un documento que diga “la cámara 4 cubre el acceso peatonal norte y alcanza tres metros de la vereda”. Escribirlo suele revelar dos o tres cámaras que nadie podría justificar hoy.
El plazo de conservación es teórico. El contrato dice treinta días; el disco se llena a los once y sobreescribe. O al revés: se cambió el grabador hace dos años y el antiguo sigue en una bodega con grabaciones que nadie borró.
Ninguna de las dos se arregla comprando equipos. Se arreglan con el levantamiento que la sección 1 obliga a hacer — y por eso la evaluación de impacto termina siendo útil incluso para quien la empieza a regañadientes.
Si tu sistema lo opera un tercero, esa información debería estar disponible siempre, no solo cuando la pide una ley. Es parte de lo que hacemos en el monitoreo para condominios: cada evento verificado queda registrado, y ese registro es exactamente la evidencia que las secciones 4 y 5 piden.
Antes de cerrar
Central 911 opera una central de monitoreo; no somos un estudio jurídico. Lo anterior describe el artículo 15 ter de la Ley 21.719 según su texto oficial publicado por la Biblioteca del Congreso Nacional y no constituye asesoría legal.
Si tu condominio califica, con qué profundidad y en qué plazo, depende de su realidad concreta y de los criterios que publique la Agencia de Protección de Datos Personales. Para decisiones que comprometan responsabilidad, consulta con un abogado.
Lo que sí puedes empezar hoy, sin esperar a nadie, es la sección 1.