Proyecto de ley de datos personales: ¿Qué se viene para este año 2023?

El proyecto de ley que busca reemplazar la Ley 19.628 sobre Protección a la Vida Privada y Protección de Datos de Carácter Personal (“Proyecto de Ley”) se sigue discutiendo en la Cámara de Diputados y Diputadas (“Cámara”), específicamente en la Comisión de Constitución, Legislación, Justicia y Reglamento.

Si bien en algún momento se especuló que el Proyecto de Ley pudiera convertirse en ley durante el año 2022, de igual forma hubo avances importantes que permiten anticipar que este año 2023 continúe, de forma positiva, la tramitación del proyecto en cuestión. De hecho, el Proyecto de Ley se mantiene con “urgencia suma” para su discusión, lo que significa que tiene prioridad para su conocimiento y despacho por parte de la Cámara. 

Ahora bien, durante el año 2022 se presentaron algunas indicaciones a un borrador de proyecto que ha experimentado varias modificaciones desde los inicios de su tramitación (“Indicaciones”). 

En este contexto, el presente resumen tiene por finalidad ilustrar sobre el estado del Proyecto de Ley en los temas que a continuación se indican, sin perjuicio de modificaciones que pueda experimentar durante su tramitación:

I. Agencia de Protección de Datos Personales

El Proyecto de Ley contempla la creación de una nueva autoridad que tendrá por objetivo velar por la efectiva protección de los derechos que garantizan la vida privada de las personas y sus datos personales. Si bien en algún momento de la discusión se propuso que fuera el Consejo para la Transparencia, la propuesta actual contempla la creación de una autoridad nueva denominada “Agencia de Protección de Datos Personales”.

Como consecuencia de lo anterior, la carga de velar por el respeto de los datos personales ya no recaerá exclusivamente en los titulares de esos datos, aumentando la exposición legal en caso de infracción.

II. Multas

A diferencia de la ley vigente, el Proyecto de Ley impone sanciones y multas que serán aplicables a los responsables que incurran en infracciones a la ley. 

Conforme a ciertas Indicaciones, las infracciones:

1. Leves, serán sancionadas con multas de hasta 100 unidades tributarias mensuales, eliminándose el mínimo de 1 unidad tributaria mensual del Proyecto de Ley original. 
   
2. Graves, serán sancionadas con multa de 101 a hasta 5.000 unidades tributarias mensuales o, en el caso de las empresas, multa de hasta la suma equivalente al 2% de los ingresos anuales por ventas y servicios y otras actividades del giro en el último año calendario, con un máximo de 10.000 unidades tributarias mensuales.
3. Gravísimas, serán sancionadas con multa de 5.001 a hasta 10.000 unidades tributarias mensuales o, en el caso de las empresas, multa de hasta la suma equivalente al 4% de los ingresos anuales por ventas y servicios y otras actividades del giro en el último año calendario, con un máximo de 20.000 unidades tributarias mensuales.

III. Nuevas fuentes de legitimidad

El Proyecto de Ley incorpora nuevas fuentes de legitimidad que permitan el tratamiento de datos personales, en adición al consentimiento del titular (que hoy solo puede otorgarse expresamente y por escrito), la ley y cuando los datos se hubieren obtenido de fuentes de acceso público. 

En este contexto, el Proyecto de Ley adiciona las siguientes:

1. Cuando los datos han sido recolectados de una fuente de acceso público.
   
2. Cuando el tratamiento esté referido a datos relativos a obligaciones de carácter económico, financiero, bancario o comercial y se realice de conformidad con las normas de Título III del Proyecto de Ley.
3. Cuando el tratamiento sea necesario para la ejecución o el cumplimiento de una obligación legal o lo disponga la ley.
4. Cuando el tratamiento de datos sea necesario para la celebración o ejecución de un contrato entre el titular y el responsable, o para la ejecución de medidas precontractuales adoptadas a solicitud del titular.
5. Cuando el tratamiento sea necesario para la satisfacción de intereses legítimos del responsable o de un tercero, siempre que con ello no se afecten los derechos y libertades del titular. 
6. Cuando el tratamiento de datos sea necesario para la formulación, ejercicio o defensa de un derecho ante los tribunales de justicia u órganos públicos.

En cuanto a las fuentes de acceso público, de acuerdo con las indicaciones, dejarían de ser una excepción al principio de finalidad en el tratamiento de datos personales; en términos tales que los datos obtenidos de dichas fuentes, deberán procesarse teniendo en consideración la finalidad existente al momento de su incorporación en las fuentes de acceso público respectivas.

IV. Consentimiento

El Proyecto de Ley también innova respecto de las características del consentimiento para el tratamiento de datos personales. 

Mientras la ley vigente establece que el consentimiento debe darse de manera expresa y por escrito (o por medios electrónicos equivalentes), el Proyecto de Ley señala que el consentimiento del titular debe ser libre, informado y específico en cuanto a su finalidad o finalidades. 

Además, el consentimiento deberá manifestarse de manera inequívoca, mediante una declaración verbal, escrita o a través de medios electrónicos equivalentes, o bien mediante un acto afirmativo que dé cuenta con claridad de la voluntad del titular.

V. Derechos ARCOP

El Proyecto de Ley reconoce al titular de datos los derechos de acceso, rectificación, cancelación y oposición que actualmente la ley vigente comprende. 

Si bien el derecho de cancelación ahora pasaría a llamarse de supresión, el Proyecto de Ley también incorpora el derecho de portabilidad, en virtud del cual, el titular de datos tiene derecho a solicitar y recibir una copia de los datos personales que le conciernen, que haya facilitado al responsable, en un formato electrónico, estructurado, genérico y de uso común, que permita ser operado por distintos sistemas y, a comunicarlos o transferirlos a otro responsable de datos, siempre que se cumplan ciertos requisitos.

Por otra parte, el titular, en ejercicio de su derecho de portabilidad, tendría la facultad de requerir que sus datos personales se transmitan directamente de responsable a responsable de datos cuando sea técnicamente posible. De esta forma, el titular de datos no tendría la carga de llevar sus datos personales de una empresa a otra.

VI. Catálogo de deberes para los responsables de datos

El Proyecto de Ley además contempla una serie de obligaciones con las que deben cumplir los responsables de datos, entre las que se encuentran:

1. Informar y poner a disposición del titular los antecedentes que acrediten la licitud del tratamiento de datos que realiza. 
   
2. Asegurar que los datos personales se recojan de fuentes de acceso lícitas con fines específicos, explícitos y lícitos, y que su tratamiento se limite al cumplimiento de estos fines. 
3. Comunicar o ceder información exacta, completa y actual. 
4. Suprimir o anonimizar los datos personales del titular cuando fueron obtenidos para la ejecución de medidas precontractuales.
5. Tener permanentemente accesibles y a disposición de cualquier interesado de manera precisa, clara, inequívoca y gratuita, sus políticas y las prácticas sobre el tratamiento de los datos personales.

Adicionalmente, entre muchos otros deberes, deberán aplicar las medidas técnicas y organizativas para garantizar un nivel de seguridad de los datos personales teniendo en cuenta por ejemplo estado de la técnica, los costes de aplicación, fines del tratamiento o riesgos de vulneración, tales como:

1. La seudonimización y el cifrado de datos personales; 
   
2. La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; 
3. La capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; 
4. Un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.

VII. Modelos de prevención

El Proyecto de Ley finalmente contempla que los responsables de datos puedan voluntariamente adoptar un modelo de prevención de infracciones, agregando que constituyen este tipo de modelos tanto:

1. la designación de un encargado de prevención o delegado de protección de datos personales, como 
   
2. la adopción de un programa de cumplimiento o de prevención de infracciones donde un reglamento determinará los requisitos, modalidades y procedimientos para la implementación, certificación, registro y supervisión de los modelos de prevención de infracciones y los programas de cumplimiento.

Si bien la adopción de estos modelos es “voluntario” de acuerdo con el texto propuesto del Proyecto de Ley, la importancia de su implementación es crítica teniendo presente que el certificado referido anteriormente constituye un atenuante de responsabilidad en caso de infracción.

VIII. Deber de reportar vulneraciones

Si bien hoy en día solo ciertas industrias del mundo privado tienen la obligación de reportar incidentes de seguridad, el Proyecto de Ley incorpora nuevos deberes de reporte de vulneraciones de medidas de seguridad. 

En particular, el Proyecto de Ley establece que se deberán reportar a la Agencia, por los medios más expeditos posibles y sin dilaciones indebidas, las vulneraciones a las medidas de seguridad que ocasionen la destrucción, filtración, pérdida o alteración accidental o ilícita de datos personales que trate, o su comunicación o acceso no autorizado, cuando exista un riesgo razonable para los derechos y libertades de sus titulares. 

Incluso más, se contempla que bajo ciertas circunstancias también se deba efectuar esta comunicación a los titulares de datos.

IX. Transferencias internacionales

El Proyecto de Ley regula expresamente las transferencias internacionales de datos personales, las que actualmente no se encuentran reguladas por la ley vigente. Al respecto, el Proyecto de Ley establece una serie de hipótesis en que la transferencia internacional de datos será lícita. 

Algunas de ellas son:

1. Cuando se realice a una entidad sujeta a un ordenamiento jurídico de un país que otorgue niveles de protección adecuados de datos personales. 
   
2. Cuando la transferencia se regule por cláusulas contractuales o instrumentos jurídicos suscritos entre los responsables (el que realiza y el que recibe) de la transferencia o quienes procesen en calidad de mandatarios, en donde se establezcan los derechos y garantías de los titulares, las obligaciones de los responsables y los medios de control. 
3. Cuando los responsables y terceros mandatarios que reciben datos adopten un modelo de cumplimiento o autorregulación vinculante y certificado, de acuerdo con la ley aplicable a cada uno. 
4. Cuando se cuente con otras fuentes de legitimidad, tales como, el consentimiento expreso, autorización legal y/o la ejecución o celebración de un contrato. 

De acuerdo con ciertas Indicaciones, para transferir datos personales al extranjero, la Agencia de no solo deberá poner a disposición del público modelos tipo de cláusulas contractuales, sino que además un listado de aquellos países que tengan un adecuado nivel de protección en materia de datos personales.

El Proyecto de Ley supone un cambio transcendental para el ecosistema que hoy existe en Chile en materia de procesamiento de datos personales. ¿Te has hecho la pregunta de si tu organización está preparada para enfrentar los desafíos que impondrá la nueva regulación de datos personales?