Webinar Implementación Ley de Datos Personales en tu Organización

que nos pueden ir dejando en el chat y
finalmente esta seción la va a ir
liderando Ignacio Gallardo que es socio
también de ley de datos entonces durante
la última semana bueno las últimas dos
semanas hemos tenido dos sesiones de
comisión mixta en total hemos logrado 10
bueno han logrado ellos no nosotros 10
acuerdos Y les queremos resumir los
cuatro más importantes y también dejar
los invitados a revisar linkedin por ley
de datos si es que quiere leer estos
otros seis acuerdos que no les vamos a
comentar hoy día sí Entonces el primero
en la aprobación del artículo 8 artículo
8 bis que estableció el derecho posición
de los titulares de datos para
decisiones automatizadas eso ya está
aprobado que sería después despachado el
artículo toter que aprobó el derecho al
bloqueo de tratamientos de datos
personales de manera temporal cada vez
que un ciudadano o un usuario le haga
una consulta de datos a una organización
Sí el artículo noveno que establece que
la portabilidad datos va a ser
electrónica y finalmente el artículo 11o
que amplió el paso a las organizaciones
de 15 a 30 días corridos para responder
consultas y además da una prórroga de 30
días más entonces mi primera pregunta
acá va para Felipe que bueno él desde el
2012 estaba comentando esta ley
eh estaba de hecho en el caso muy
bullado del banco chile con la
filtración de las cartolas y ahí
solicitó Bueno necesitamos reformar esta
ley y necesitamos crear una agencia de
protección de datos personales entonces
Felipe bueno primero que todo buenos
días y preguntarte cómo ves El Avance Y
si crees que vamos a tener humo blanco
Este primer
semestre Hola qué tal Rodrigo buenos
días saludar a todas eh las asistentes y
los asistentes saludar Por cierto
también a mi copanel ista Macarena
Gatica e felicitar por la iniciativa a
ver yo diría en términos muy prácticos
creo que sí vamos a tener vamos a ver eh
probablemente humo blanco eh
durante el primer semestre de este año
si uno ve y siguiera el ritmo digamos de
la comisión mixta probablemente eh se va
a estar despachando se estaría
despachando el proyecto A fines de abril
eh fines de abril principio de mayo o
Ojalá antes eh Porque los temas más más
delicados como lo comentábamos antes de
de iniciar el el webinar siempre
legislativamente se dejan para el final
para no generar un ambiente de
confrontación antes de resolver temas
pacíficos en consecuencia como tú bien
dices el resumen que hiciste ha ido
resolviendo temas que son bastante
pacíficos y y por tanto los temas de
régimen de multas fuente acco público y
otro digamos Probablemente van a ser los
últimos en tomarse eh la discusión en la
comisión mixta Así que yo tengo toda la
esperanza de que vamos a tener
prontamente finalmente nuestra ley de
protección de
datos perfecto eh Mira Macarena sigue
con problemas así que quizás est ser la
pregunta que tenía preparada para
Macarena Eh bueno Tú mencionaste ahí que
teníamos dos puntos conflictivos que son
el acceso a datos públicos y las multas
tú cómo crees que va a terminar
resolviendo la comisión mixta esos dos
artículos no no no sé no sé cómo
terminará resolviéndose pero pero a ver
lo que hay aquí son criterios distintos
no respecto de monto de multas eh Hay
quienes plantean que las multas
incorporadas o los los guarismos que
tienen las multas son excesivamente
altos y pueden significar una
afectación de la continuidad de de la de
la empresa digamos y por otro lado hay
quienes dicen que las multas que tienen
techo
eh No siempre logran su objetivo por
cuanto muchas veces se incorpora dentro
de los costos de producción eh la multa
asociada entonces también hay que buscar
un equilibrio en eso y y respecto a la
Fuentes deo público La verdad es que yo
me inclino más por la por la posición
del senado eh pero pero no sé cómo se va
a resolver eso entiendo que los asesores
están dando una al respecto eh una cosa
es establecer ciertas restricciones pero
pero no considerar las fuente de acceso
público como una base de licitud o
fuente de legitimidad puede traer
complicaciones prácticas particularmente
para para efecto de los chequeos tipo de
información entonces creo que hay que
resolverlo de buena forma y creo ha hay
propuestas de redacción intermedia que
serían satisfactorias para ambas partes
por aquí se requiere por un lado
proteger los derechos de los titulares
pero también garantizar y dar certeza
para que las empresas que deban realizar
o personas algún tipo de consulta o uso
de datos tengan el marco regulatorio eh
bastante claro digamos para que pueda
desarrollarse perfecto muchas gracias
Felipe eh vamos a partir con la
presentación entonces Bueno vamos a
partir con nuestra primera presentación
el es socio de H abogados es ex senador
es ex convencional Constituyente autor
de la Reforma constitucional que
consagra el derecho de protección de
datos personales en nuestra Carta Magna
y además el autor del proyecto que
actualmente está en discusión
legislativa dejo con ustedes entonces a
Felipe
arb Muchas gracias nuevamente Rodrigo
Bueno voy a intentar hacer una
presentación que la voy ir pasando
rápido pero la idea es ir comentando
digamos algunos elementos que me parecen
relevantes para efectos de El proyecto
de ley pero también un poco dar dar algo
de contexto solo les voy a decir antes
de partir la presentación que ayer
estaba una exposición sobre Inteligencia
artificial con a nivel internacional y
da una cifra que era francamente
impactante que decían que eh los
teléfonos móviles se demoraron 16 años
en llegar a los 100 millones de usuarios
16 años internet se demoró 7 años
Facebook se demoró 4,5 años en llegar a
los 100 millones de usuario y chat gpt
Se demoró TR meses es decir lo que que
estamos en presencia es de un cambio
epocal donde la adopción de tecnologías
de desarrollos va cada vez más rápido y
eso va obligar necesariamente a que
aquellos que estamos vinculados al mundo
del derecho o en actividades
empresariales o incluso al legislador a
tener Claridad que ya la impaciencia de
la ciudadanía respecto de la demora de
proceso legislativos eh aumenta
considerablemente Y eso también
significa que en los procesos de adec
de de nuestras empresas de nuestras de
nuestras actividades diarias tiene que
ser mucho más rápido de lo contrario
enfrentar eventualmente daño
reputacional sobre todo considerando que
según los ú los últimos estudios del
Banco Mundial los consumidores entre 18
y 35 años eh seis de cada 10
consumidores entre 18 y 35 años
consideran eh la protección de los datos
personales al momento de la decisión de
sus opciones de consumo para decirlo de
otra forma eh estos consumidores
prefieren empresas que protegen sus
datos sobre aquellas que no lo hacen lo
cual también eh nos obliga a entender
que la protección de datos personales no
solo es un costo sino que también es un
inversión desde el punto de vista
incluso de la posibilidad de tener buen
buen público o mayor eh mayor eh
beneficios reputacionales Cuál ha sido
lo qué es lo que ha ido ocurriendo ha
ido ocurriendo que a nivel global
evidentemente eh las empresas que más
crecen son las empresas vinculadas a la
gestión de datos piensen ustedes que
Facebook eh No no crea contenido pero es
la mayor plataforma piens ustedes que
Waze no tiene vehículos que airbnb no
tiene inmuebles Dónde está el negocio el
negocio está justamente en el el
tratamiento de información en la
capacidad de segmentación En definitiva
en el manejo de de datos eh Y el trabajo
de los mismos razón por la cual se
requieren regulaciones digamos que vayan
por un lado dándole certezas Cuáles son
los Marcos jurídicos los cuales pueden
moverse Pero por otro lado también que
generen un marco de protección a los
derechos ciudadanos para efecto de
evitar que nuestra identidad digital se
afecten los derechos no solo digitales
sino los derechos que hoy día consagran
los ordenamientos constitucionales o
incluso la declaración universal de
derechos humanos y cómo se ido haciendo
esto bueno la respuesta regulatoria
occidente es que uno empieza a mirar
digamos que Europa ha muchas décadas
digamos que ha hecho esfuerzo en esta
materia recordemos el punto a pie
inicial probablemente en la ley del
censo eh que consagró por primera vez el
principio de autodeterminación
informativa allá en en Alemania luego
digamos viene ya todo el derecho
internacional la dección Universal de
Derechos Humanos habla de la privacidad
que luego tiene una aplicación práctica
en el convenio 108 digamos y finalmente
en el gdpr digamos no y en el caso
chileno También tenemos una evolución
normativa que la vamos a ir viendo
digamos en esta materia pero
evidentemente aquí quiero hacer un
paréntesis porque tenemos una respuesta
regulatoria internacional denominada el
gdpr nacido en Europa que hoy día se ha
transformado en la práctica en un
estándar de convocación global y cuando
uno observa las adecuaciones normativas
de los países están orientadas
principalmente con más con menos matices
digamos a ser reconocidos como un país
adecuado por la por la comunidad Europea
y por tanto adscribir a parámetros o
estándares de mayor nivel de protección
eh aquí tenemos un elemento digamos que
que estábamos comentando lo lo principal
digamos es que si uno tuviese que mirar
eh todos los diferentes estándares que
hemos ido conociendo a lo largo de la
historia es que en el último tiempo ha
habid un cambio de paradigma se discutía
sobre datos eh A partir del de la
concepción de la propietar ia del
derecho de propiedad y de hecho si este
webinar lo hubiésemos hecho
probablemente el año 2010 2012 e incluso
el 2015 eh algunas empresas dirían eh
los datos que yo tengo son míos porque
yo invertí en su depuración yo los
trabajé eh yo los eh los segment que Y
les di un valor y al darle el valor los
datos son míos hoy esa discusión no es
posible los datos evidentemente No
pertenecen a las empresas que los
administran sino a los titulares las
personas por eso que me permitio
sostener la tesis de que eh los datos
personales son hoy día o debieran ser
considerados un atributo de la
personalidad eh que se suma al estado
civil al nombre al domicilio que
conocemos tradicionalmente en el Derecho
civil porque efectivamente el dato
personal permite digamos generar una
identificación que a esa persona la
puede incluso condicionar no eh aquí
vemos un pequeño gráfico respecto a la
evolución regulatoria hablaba de 1983
aquí por 84 pero es más menos lo mismo
hasta que avanza digamos hasta el gdpr
pasando por todo tipo de ensayos y eh
modificaciones digamos eh normativas en
términos generales Aquí están los 10
requerimientos en materia de estándar de
gdpr digamos eh que es muy importante
tenerlos presente a la hora de que las
empresas toman decisiones de adecuación
porque eh hemos conocido casos de
personas que ofrecen comillas una
adecuación de la empresa pero resulta
que al no reunir los requerimientos
básicos del est gdpr finalmente hac un
esfuerzo las empresas importantes
económico sino también de dedicación
logístico y finalmente No necesariamente
reciben la adecuación que requieren por
eso tan importante ir avanzando en estas
materias fíjense ustedes lo que ha
pasado porque este régimen que se
instala Es un régimen que se esta con el
objetivo de la gente de que las empresas
lo cumplan Pero obviamente el el nivel
de cumplim imiento de las normas también
dice relación directa con los incentivos
y cuando uno ve el régimen de sanciones
del gdpr Bueno uno ve que por ejemplo es
natural la industria media
telecomunicaciones digamos son las que
más multas han enfrentado Y por qué el
régimen de multas es tan alto justamente
para que las empresas no lo incorporen
dentro de sus costos de producción y
tengan la capacidad o más bien el
incentivo de ir cumpliendo digamos sus
eh sus las normativas que se va
instalando acá tenemos alguna de las
últimas sanciones digamos de los últimos
5 años la conocida por ejemplo la
sanción de 1200 millones de euros eh a
meta eh lo más complejo en esa materia
fue que eh la razón por la sanción o la
la la la infracción que se que se
instaló fue una base legal insuficiente
digamos eh para esta materia
consecuencia se Consideró que la fuente
de legitimidad no era adecuada no eh Y
por qué digo fuente de legitim ida
porque partamos de la base de que el
gdpr y Los estándares Internacionales y
también nuestra ley instala la idea de
que el dato es de la persona del titular
y no de eh Como dije de la empresa que
lo administra y por tanto si un tercero
quiere administrar un dato si yo
quisiera administrar el dato de Macarena
o el dato de Rodrigo yo debiera
justificar el onus proband recae en mí
yo tercero yo responsable tengo que
probar por qué en virtud de qué fuente
de legitimidad o base de licitud
tengo o administro o trato ese dato y
por tanto los estándares nos establecen
un conjunto de fuentes de legitimidad o
base de licitud dentro de las cuales
encontramos la ley ejemplo práctico
típico digamos el Ministerio Público no
es que se le pida el consentimiento un
imputado para poder tratar su datos sino
que la ley lo habilita para ello
contratos por ejemplo relaciones
contractuales cuando hay consentimiento
es muy importante puede hacer relaciones
contractuales pue hacer consentimiento
eh que den origen a relaciones
contractuales o precontractuales
relación precontractual con compañía de
seguro la compañía de seguro para
efectos de hacer una cotización me pide
un conjunto de antecedentes un conjunto
de datos yo se los entrego incluso me
puede pedir exámenes médicos que son
información sensible y resulta que luego
cuando me dice mire su prima va a ser de
tanto aquí está su póliza yo digo no sab
que no estoy de acuerdo no llego a
acuerdo La pregunta es Qué se hace con
esa información Eh bueno Ahí la fuente
de legitimidad es una relación
precontractual pero habilita esa
relación precontractual como fuente de
legitimidad permanente aún cuando no
haya habido relación contractual bueno
parte de los elementos de discusión
digamos que uno tiene que ir
Estableciendo para efecto de la
adecuación también está el interés
legítimo muy muy polémico el interés
legítimo en el sentido de que alguien
podría extender alguien dijo que como
decimos los abogados este es como el El
Bolsón más abierto no donde cabe todo
pero no cabe todo el interés legítimo
supone que la empresa eh tiene el
derecho a tratar datos de terceros sin
consentimiento cuando sean estrictamente
necesarios para el desarrollo de eh su
eh de su eh del corazón de su negocio
ahora eh es siempre posible justificar
el uso de datos de tercero en base al
interés legítimo no Europa ha ido
Estableciendo bordes y regulaciones Sí y
por tanto aquí en Chile Lamentablemente
como no tenemos una agencia eh
especializada No tenemos tanta
regulación en esta materia Y
probablemente se va a ir acomodando en
función de lo que nos diga la nueva
agencia cuando esté creada y también de
la jurisprudencia en esta materia la
fuente de acceso público son otra
legislación y el consentimiento sin duda
el consentimiento es decir que que el
titular del dato otorgue su voluntad el
consentimiento No es otra cosa que la
expresión de voluntad no eh que
establece en el código civil digamos
para la validez de los contratos y dice
nuestro código civil que la voluntad
tiene que tener ciertos requisitos no es
cierto exenta de vicio etcétera error
fuerza dolo son los vicios del
consentimiento bueno en materia comillas
de derecho de protección de datos
derecho informático el consentimiento
también debe reunir requisitos y los
requisitos del consentimiento para que
este sea válido y sea considerado una
fuente de legitimidad supone que es un
consentimiento de requisito evolutivo en
razón de la criticidad del dato y es por
eso que los estándares Internacionales y
nuestra legislación contemplan por
ejemplo una categorización de datos
distinta y en función de esa
categorización entre dato personal dato
especialmente protegido y dato sensible
van exigiendo que ese consentimiento
tenga mayor nivel de deamos más
características para que sea válido dado
que se entiende que el titular debe
tener conciencia absoluto o absoluta de
que el consentimiento que está dando
puede dar origen o sea va a dar origen
al tratamiento de ese dato de parte de
un tercero y Que obviamente a medida que
la criticidad del dato va aumentando el
ento tiene que tener más requisitos no y
eso uno dirá Bueno eso es teoría no es
teoría Porque desde el momento por
ejemplo que en nuestra página web
digamos en la de una empresa digamos uno
tiene que poner en la casilla al
consentimiento por de pronto no puede
estar pre chequeada eh Pero
adicionalmente puede debe establecer por
ejemplo Que si yo estoy dando el
consentimiento eh para una empresa que
vende automóviles y doy mi
consentimiento para que me puedan usar
mis datos y mis cont actos Para enviarme
información frente a eventuales llamados
de emergencia del vehículo que he
comprado la pregunta que tiene que
hacerse es ese consentimiento para esa
finalidad alcanza también o permitiría
que esa empresa que tiene una filial que
hace car sharing me mandara
publicidad bueno eh se habla de la
especificidad del principio de finalidad
se habla de la proporcionalidad En
consecuencia los el consentimiento debe
ir reuniendo un conjunto de
consideraciones o características para
que sea una fuente válida a 5 años del
gdpr la cooperación ha mejorado
ciertamente Hay nuevas reglas
procedimentales digamos la obligación de
las autoridades ha ido cambiando ha
habido reducción de desacuerdos pero hoy
día Ya estamos hablando del gdpr 2.0 por
dos yo diría dos elementos fundamentales
que Europa ha identificado en su proceso
de implementación del gdpr el primero es
que eh la evolución eh tecnológica la
evolución tecnológica ha sido más rápida
la que Ellos pensaban yo les ilustraba
respecto de los 16 años para llegar a
100 millones de teléfonos móviles versus
los 3 meses de stpt la irrupción de la
Inteligencia artificial generativa
genera también un desafío pero en el
caso de Europa otro de los elementos que
ha sido importante para efecto de
iniciar la discusión de El gdp 2.0 di
relación con los datos industriales y
también con los datos públicos no
particularmente en yo diría eh el el
escenario geopolítico de la irrupción de
China como un eh actor fundamental en
materia de desarrollo de procesos
industriales y también tecnológicos no
eh luego la pregunta es bueno en qué
está nuestro país nuestro país la verdad
es que tuvimos en los 90 una ley pionera
éramos los primeros éramos los primeros
del barrio no existía Facebook los
teléfonos cuando llama por teléfono
había que pagar la llamada que le
entraba y la casilla y bueno y nos
quedamos con esa ley hasta el día de hoy
1999 eh 2024 En consecuencia estamos
hablando de que la evolución tecnológica
la globalización financiera el
desarrollo de de mercados y de negocios
hicieron que nuestra ley quedara
completamente obsoleta una veas Data
prácticamente inaplicable difícil
engorroso eh No consagr institucionales
especializadas no promueve nuevos
modelos de negocio No contempla Norma de
transferencia internacional eh En
consecuencia hay un conjunto de vacíos
también lo que quiero decir En
definitiva es que nuestra regulación que
originalmente fue pionera en algún
minuto hoy día lamentablemente no lo es
sino que se encuentra obsoleta
declaración anticuada falta de eh
institucionalidad especializada Y cuando
digo falta institucional especializada
me refiero principalmente a una agencia
que es lo que estamos eh lo que está
incorporando en este proyecto de ley y
evidentemente por el el por el lado
digamos de la oferta tenemos legislación
anticuada y falta institucionalidad pero
por el lado de la demanda Es decir de
nosotros de los ciudadanos tenemos un
problema estructural es que no hay una
cultura no solo corporativa no hay una
cultura ciudadana ni corporativa en
materia de protección de datos y por
tanto no está en nuestro ADN entender
que nuestro dato tiene un valor y no
solo que tiene un valor sino que además
la mala administración de nuestro dato
puede generar daños en la en el
ejercicio de nuestros derechos
fundamentales eh Y si eso le pasa al
ciudadano en cuanto tal en cuanto a
titular del dato imagínense ustedes
cuánto le pasa en su condición de
prestador de servicio Es decir de
proveedor de servicio en la empresa no
hay cultura corporativa protección de
datos en general lo que hay más bien Es
decir mira tenemos que hacer una
política de privacidad pongamos los
derechos arc en la página web Pero bueno
después vemos cómo nos arreglamos pero
ya sí Bueno y cómo hacemos este trabajo
Bueno no sé Mira mándame Mándame la
planilla Excel de del datalake me mandas
digamos por correo no hay cultura
corporativa no no no no hay no hay no
hay adecuación de procesos y muchas
veces los directorios
eh le restan importancia a un tema que
puede generar un daño reputacional aún
mayor que las y y también sanciones aún
mayor de que los ingresos que percibe la
empresa y que todas las inversiones que
hacen para efectos digamos de mejorar su
reputación no cierto en Chile hemos
tenido una evolución normativa también
importante y Ho diría yo destacaría el
2018 por dos razones uno porque el gdpr
se nos levanta como una luz amarilla nos
dice Europa usted si quiere renovar el
tratado libre comercio usted tiene que
adecuar su normas de protección de datos
si no va a seguir siendo considerado un
país no adecuado y no le vamos a no
vamos a permitir que empresas de
matrices o filiales europeas o que o que
o que o que eh tratan datos de
ciudadanos europeos los manden a Chile
primer problema chile queda fuera de
varios negocios y de hecho bien lo saben
Quiénes operan en esta materia hay
empresas de matrices europeas que están
exigiendo a sus sus proveedores
crecientemente la adecuación al estándar
gdpr bajo la sanción de excluirlo de su
registro de proveedores por instrucción
digamos de sus matrices y lo segundo es
la constitucionalización del derecho a
la protección de datos personales
artículo 19 numeral cuarto año 2018 se
instala como derecho constitucional eso
primero hecha por la borda
esta esta explicación o justificación
que daba un sector de la industria
financiera que decía Mira la ley de
datos miren explicación Ah Es una ley
simple nuestra ley es una Ley Orgánica y
por tanto no se rige no no tenía lógica
pero bueno esa era una de las
explicaciones que por escrito entregaban
digamos e ciertas industrias des momento
que están a nivel constitucional
evidentemente se acaba esa discusión se
sanja pero adicionalmente se abre la
posibilidad de eh recurrir a las cortes
de apelaciones mediante el recurso de
protección y además como ha ocurrido ya
en un par de casos digamos eh hacer
tutela de derechos en materia de
protección de datos y por tanto eso Abre
a la empresa un desafío aún mayor no eh
que es muy importante entonces lo que
tenemos hoy día es que cuando alguien me
dice oye eh Cuánto falta para que salga
la ley de protección de datos yo creo
que falta muy poco pero yo no esperaría
a la ley de protección de datos por qué
Porque la lógica la lógica legislativa
era seguir el proceso como lo hizo
Brasil una ley de protección de datos
que sirva como base estructurante con
una agencia especializada capaz de
interpretar supervigilar fiscalizar y
sancionar luego de eso la ley de medios
de pago luego de eso la ley de finanzas
abiertas Y así sucesivamente porque se
suponía que amos a tener una ley una ley
base bueno como esa ley base se ha
trazado más que todas las otras el
problema que tenemos hoy día es que en
la práctica en materia de protección de
datos tenemos un ecosistema jurídico de
la economía t así lo lo he denominado
porque en la práctica tenemos un
conjunto o múltiples instrumentos
normativos de diferentes rangos que
están regulando las materias propias de
protección de datos por de pronto como
decía la base del artículo 19 número 4
Pero tenemos la ley de fintech que en el
capítulo de finanzas abiertas establece
regulaciones específicas a través de
Norma de carácter general que va a
dictar la cmf para toda la industria
financiera y que regulada por la cmf en
materia de protección de datos y por
tanto la cmf va a ser fiscalizadora en
esa materia también luego tenemos el
artículo 15 bis de la ley proconsumidor
para aquellos espacios donde existen
relaciones de consumo y está el cnac
como fiscalizador luego vamos a tener la
agencia de protección de datos no con la
nueva ley y por tanto vamos a tener un
tercer regulador también ahí eh Luego si
usted me me me me apura un poco tenemos
la ley de delitos informáticos que toca
tangencialmente pero por ejemplo
establece como delito la receptación
compra y venta de bases de datos en
consecuencia si de acuerdo a la ley de
datos yo no puedo justificar mi base de
datos en alguna base de licitud o fuente
legitimidad podrá podría presumirse que
esa base de datos fue comprada o
adquirida de manera ilícita si así Se
presume y así se sanciona por ley
delitos informáticos cumplo con decirles
que eh el delito de receptación de la
ley delitos informáticos es uno de los
delitos base de la ley de delitos
económicos en consecuencia también lo lo
pasa como si fuera poco tenemos la ley
de ciberseguridad la agencia de
ciberseguridad ley acaba a ser
despachada esa ley va a generar eh
También la creación de la agencia de
ciberseguridad que existe una relación
muy muy simbiótica entre ambos temas
toda vez que uno de las obligaciones o
deberes de responsable es velar por la
seguridad y obviamente como se trata de
datos muchos de ellos que son eh datos
informáticos se cruza con el principio
de seguridad que va a administrar
digamos la eh la agencia de
ciberseguridad y todo ello como
corolario con las circulares del cnac
sobre cookis y otros patrones oscuros
etca que están saliendo que crean como
digo este ecosistema jurídico En
consecuencia cuando uno asesora una
empresa no puede solo circunscribirse
digamos a el aspecto exclusivo de la ley
de datos sio tiene que ver todo lo
anterior e En consecuencia eso abre yo
digo algunos riesgos que vamos a ver más
adelante los principales cambios la
categorización de datos personales los
derechos de los titulares y deberes
responsables la lógica de existencia de
terceros delegados digamos y cuál es el
régimen de responsabilidad pues si yo
soy un grupo económico y un holding y
tengo diferentes empresas puedo
compartir los datos puedo tener un Data
ley común Cuál es el estándar que voy a
seguir el del más alto el del más bajo
tengo que hacer diferencia en dat Lake
en materia de ciberseguridad y niveles
de encriptación bueno algunos de esos
elementos si yo
tercerizar eh disminuir mi nivel de
responsabilidad frente a una eventual
infracción que Cometa el delegado todos
estos elementos tienen que estar en
consideración Al momento de eh
eh diseñar los sistemas de adecuaciones
que es un poco lo que hacemos nosotros
digamos eh un régimen de infracciones
sanciones y Registro Público pensemos
que tenemos como vamos a ver un régimen
de infracciones
eh multidisciplinario tenemos
infracciones civiles infracciones
administrativas infracciones penales
digamos En consecuencia ese régimen
diverso de eh infracciones genera un
régimen diverso de sanciones y por tanto
de responsabilidad y ahí entonces
también es muy importante estar atento
porque uno podría dar perfecto
cumplimiento íntegro a el proyecto de
ley que viene y que se va a aprobar
prontamente pero podría estar a la vez
incumpliendo algunos de os otros
elementos o normativas del denominado
ecosistema jurídico de la economía
digital eh vienen normas en materia
trans conferencia internacional de datos
eh De hecho de hecho recuerden ustedes
que yo les hablaba de las sanciones de
meta una de las sanciones que tuvo eh
fue por entregar información de sacar
información de ciudadanos europeos a
Estados Unidos al país al cual la Unión
Europea considera un país no adecuado En
consecuencia se generan cambios
importantes también para nosotros no
deber el responsable están acá
principalmente si uno tuviese que mirar
digamos eh ese evidente que eh los
program de cumplimiento salta
inmediatamente como un elemento de eh
prevención eh que podía generar también
un incentivo a la disminución digamos de
sanciones sanciones cuando hay algún
tipo de incumplimiento ya voy terminando
Eh ya me aprendí la luz de alerta Así
que estoy casi listo las obligaciones de
seguridad eso es muy importante ciertas
características qué es lo que se debe
asegurar y ojo con esto se debe asar la
confidencialidad así que no se nos
filtren los datos pero también la
integridad y ahí los riesgos pueden ser
externos pero también internos porque
muchas veces vemos empresas que
invierten software muy sofisticados en
materia de ciberseguridad para evitar
incidentes pero resulta que se comparten
digamos la información a través de
planillas Excel dentro de la corporación
Y eso puede generar un impacto eh
desastroso el punto de vista de la
integridad Entonces cuando uno
identifica los riesgos hay riesgos
internos en las corporaciones y también
hay riesgos externos dentro de los
internos obviamente vimos que está de la
el desconocimiento de regulación la
falta de de preparación y cultura y
capacitación procesos inadecuados y
tercerización sin delegación y los
externos Acá está cuando uno habla de
dispersión normativa Aquí está por
ejemplo las multas del proyecto ley de
datos en lo que dice el cnac la agencia
de ciberseguridad la ley de delitos
económicos la ley fintec la ley de
delitos informáticos dentro de alguno de
los elementos consecuencia aquí tenemos
la confluencia de reguladores el
principal objeto yo creo de la comición
mixta lo que debiera pensar también es
poner alguna Norma de coordinación
porque tener por ejemplo a una empresa
de retail que tiene actividad financiera
actividad de consumo y maneja base de
datos tendría cuatro reguladores para un
mismo tema la agencia de ciberseguridad
la eh el cnac la agencia de protección
de datos Y obviamente también la cmf en
cuanto eh corresponde En consecuencia se
va a requerir una norma de coordinación
la acumulación de sanciones yo ya lo
dije lo que se puede instalar hay que
identificar oportunidades sepan ustedes
que la la la la venta de de Twitter hoy
día ex uno de los puntos principales que
tuvo como piedra de tope se cerca de TR
meses la negociación no fue el precio
fue justamente la el formato de la
plataforma de datos entregable en
consecuencia hoy día una empresa con eh
una base de datos adecuada segmentada
tiene un nuevo activo valoriza y es muy
importante incluso permite crear nuevas
unidades de negocio que financien
probablemente otras actividades de
adecuación no eh y aquí se ponen algunos
elementos de Por qué es necesario
valorizar los datos para desarrollar
nuevos negocios para eficientar procesos
para segmentar eh segmentar Y proveer de
nuevos servicios digamos a a nuevos
ámbitos de de gestión muy repaso muy
rápido pero ya está adás porque ustedes
ya lo hicieron pero en queé está la
mixta lo que está en verde lo que se ha
discutido lo otro lo que está está
pendiente Yo diría tal como lo dije al
principio los temas más complejos van a
quedar para el final eh Y Finalmente
solo para decir esto y aquí termino eh
Un par de eh eh recomendaciones de por
ejemplo eh crear un informe de brechas
extern creo que siempre es importante
una mirada de afuera de la corporación
porque que necesitamos dentro de
nuestras corporaciones estamos
probablemente subsumidos en una en una
en una vorágine que no nos permite
advertir una mirada eh externa para que
fije parámetros vea Cuáles son las
brechas para decir cuál es el T subcero
como decen los ingenieros Cuál es el
punto de partida dónde estoy qué es lo
que tengo Cuáles son mis riesgos Cuáles
son mis brechas de incumplimiento y
luego de eso temporalizar digamos Cuáles
son las modificaciones que hay qui
haciendo de acuerdo a los niveles de
urgencia o importancia No es cierto
revisión de procesos Esto no es solo
contratos también es contratos también
son cláusulas contractuales pero también
son procesos y flujograma de datos No es
cierto los riesgos de ciberseguridad los
software de comunicación interna el
organigrama de distribución de
responsabilidades no solo debe ser
pensado en función de la ley de
protección de datos sino también de la
ley de delitos económicos porque
evidentemente un po tiene un grado de
responsabilidad mayor eh por
infracciones en materia de protección de
datos Y si no tiene cortafuegos Podría
eh generar una cadena de
responsabilidades eh ascendentes lo cual
obviamente hay que tratar de evitar Cómo
enfrentar enfrentar los cambios
capacitación y distinguir la
capacitación es completamente distinto a
aquellos que participan de los procesos
de los que no participan y también los
niveles que participan administrativo
directivo y estratégico típico ejemplo
Nosotros hemos hecho cuatro cursos de
capacitación me dijo el otro día una
persona una empresa grande eh Mis
funcionaros están todos muy a caballo lo
que vi la nueva ley del nuevo estándar
yo le digo le agradezco mucho pero usted
me invitó esta charla y yo entré y el
Guardia me pidió todos mis datos me
pidió una fotocopia de carne identidad y
no me dijo ni para qué era Ni cuánto
tiempo lo iba a almacenar no había un
documento que lo acreditara En
consecuencia incorporen la próxima
capacitación también al guardia que sepa
que tiene que informar la finalidad de
la del registro el tiempo duración y el
proceso de de eliminación así así de
simple elementos prácticos hay que
buscar compromiso del directorio
entender que hay riesgos reputacionales
y riesgos de sanciones acumulativas que
pueden ser comillas cuasi expropiatorios
si uno las va sumando y por tanto es muy
importante hacerlo es de esa forma
eh caso práctico caso práctico eh una
empresa irrumpe los medios anunciando la
implementación de desarrollos inhouse de
Inteligencia artificial para facilitar
la gestión diaria y optimizar las
prestaciones iones que reciben los
consumidores pregunta se informó los
consumidores Cuáles datos fueron
utilizados para entar los modelos Cuál
sería la injerencia del dpo existe la
posibilidad de oponerse a tratamiento
automatizado algo dijo el proyecto de
ley y último caso para que se den cuenta
que no solo las empresas de tecnología o
del retail o financieras tienen que
adecuarse acá tenemos un caso laboral
todos tenemos trabajadores bueno Qué
pasa si un empleado justifica una
asistencia por la enfermedad de un hijo
dónde queda esa licencia médica en el
mismo repositorio quién tiene acceso a
la licencia médica puede el jefe conocer
la enfermedad específica del hijo
tratándose de un niño niña y adolescente
datos especialmente protegido y una
enfermedad datos sensible bueno Estos
son algunos de los desafíos que yo creo
que son muy importantes de IL lucidar
por ahí están las recomendaciones se las
dejo ustedes las vean y finalmente les
agradezco mucho y Disculpen haberme
pasado un poquito en el
tiempo Muchas gracias Felipe por la
presentación le vamos a dar el pase a
magarena eh Macarena si nos escuchas sí
les escucho ustedes me escuchan superb
Ah ya me voy a desconectar Entonces el
celular para no tener eh acople de los
dos partes ya
eh Mientras tanto le doy las gracias por
por la invitación nuevamente Creo que
estas son las instancias eh que
necesitamos Ah para poder ver cómo
implementamos la norma eh Cuáles son los
cambios que los procesos van a necesitar
e en las empresas voy a compartir y
cuando hablo de empresa en realidad
debería hablar de organizaciones Ah eso
es bien bien
importante parece que no puedo
compartir Ya Muchas gracias Rodrigo hoy
día he tenido todos los problemas de de
tecnología que pueden que uno puede
tener cuando se va a conectar a un zoom
y y en realidad eso significa que que la
tecnología tiene riesgo ya y como decía
Felipe aquí hay riesgos reputacionales
de por medio También tenemos riesgos
operacionales y y también riesgos
normativa
eh ahí se ve no sí lo ven bien ustedes
cierto Sí ya si quieres pasamos no más
hacia adelante
e vamos quiero abordar tres temas
respecto a protección de datos pero la
implementación de la nueva regulación
Rodrigo Si quieres pasa nás a
siguiente
eh Y antes de entrar a los tres temas eh
un amigo que tenemos en común con Felipe
hizo un informe cristián maulen a través
de de Data triden cierto de customer
Trigger todos los años hace un informe y
creo que esto es muy relevante y muy en
línea con lo que comentaba Felipe
fíjense que el 80% de los líderes
encuestados que son empresas en general
chilenas es decir que prestan productos
o servicios en Chile consideran entonces
que los datos son importantes para su
organización 66 de los líderes afirman
que crecerán las inversiones y el 50% de
las empresas están avanzando en
prácticas de Data driven es decir sus
decisiones están basadas en datos Ahora
cuando este informe hasta este punto
habla de datos en términos generales
cierto pueden ser datos que No
necesariamente son datos personales
pueden ser datos productivos sujetos a
secretos comerciales vamos a la
siguiente
aquí viene el tema que a mí me preocupa
Ah y perdón que me ocupa me ocupa de
lunes a domingo ya a esta altura e el 21
21,8 por de Los profesionales
encuestados declara tener conocimiento
del proyecto de ley 21 y veníamos de un
70 y tanto por que considera que es
importante los datos es decir que hoy
día es un activo relevante tener datos
en la compañía el 53,3 de los líderes
empres seriales declara hacer uso
responsable los datos esto Esta es la
situación país y esto es lo que nos
debería es tener ocupado si si ocurre
que el proyecto de ley se aprueba eh
este semestre eh tenemos dos años para
aquellas organizaciones que no han
comenzado a trabajar de adecuar sus
procesos ya y pueden haber cambios
importantes en la forma de hacer los
negocios ya ahora sí eh les quiero ya
que que ya llamé la atención Ahora les
voy a les voy a comentar Tres puntos
relevantes eh En cuanto a la
implementación de la ley uno es el
consentimiento que Felipe ya lo mencionó
las fuentes de acceso público un cambio
importante eh que todavía no está
zanjado porque hay eh es de las materias
que va a revisar la comisión mixta y
luego de gestión de riesgo vamos con el
consentimiento
entonces la siguiente por favor ya eh el
proyecto de ley a diferencia la ley
vigente Define el consentimiento no Se
los voy a leer porque está ahí Ah Esta
es la definición que está en el artículo
2 letra p del proyecto de ley pero
quiero que levantemos las
características más importantes que es
esta voluntad libre específica Gracias
Expreso libre informado específico
previo e inequívoco y me voy a referir a
un a una característica que creo que es
el cambio más sustancial en cuanto a la
implementación ya eh Hay cambios bien
importantes en cuanto a los inequívocos
cierto y que sea previo eh pero me voy a
me voy a pronunciar respecto del libre
ya de esta característica que tiene que
ser un consentimiento libre y Qué se
entiende cuando un consentimiento eh es
libre y aquí voy a me voy a acordar de
de lo que decía Felipe cuando era
senador Y decía que esto atenta cierto
contra lo que es la venta atada y el
proyecto de ley específicamente señala
cuando Se presume que este
consentimiento no ha sido libremente
otorgado y es precisamente cuando
solicitamos un consentimiento que va más
allá de la finalidad que va en el
producto servicio que eh la persona está
requiriendo y voy a poner un ejemplo
bien simple estoy en línea y voy a
cotizar no sé eh un crédito ya y hoy día
la ley permite que podamos tener una
política de privacidad que contenga un
consentimiento específico pero que va
con todas las finalidades en un solo
consentimiento
eso de acuerdo al proyecto de ley cierto
eh sería un consentimiento con una venta
atada porque yo le estoy solicitando un
consentimiento para un tratamiento de
datos que va más allá de la cotización
por ejemplo no sé eh enviarle
comunicaciones promocionales de otros
productos él está cotizando Solamente él
o ella está cotizando solamente un
crédito pero aquí le estamos otorgando
solicitando un consentimiento de una
amplitud mucho mayor que ha sido
específica el tema está en que la ley
vigente hoy día lo permite ya y este es
el cambio en qué se traduce esto
materialmente y vamos al slide siguiente
en un consentimiento granular y en un
centro de preferencia ya A qué nos
referimos con consentimiento granular
Macarena Gatica entra al sitio de este
proveedor de servicio financiero y y va
a solicitar un la cotización de un
crédito y le van a tener que dar las
distintas opciones en cuanto al
tratamiento de datos recordemos Qué es
la protección de datos la protección de
datos es que nosotros podamos disponer
de nuestros datos salvo excepciones
cierto yo no le puedo decir al registro
civil No registre mi matrimonio o
elimino un matrimonio porque Obviamente
que hay excepciones legales pero frente
a estas situaciones la persona debe
tener la libertad para poder decir qué
consentimiento o qué tratamiento de
datos va a autorizar ahora esto implica
un centro preferencia esto es el
estándar europeo y es el estándar que
vamos a tener si Dios quiere en dos años
y algo más ya entonces eh parece muy
fácil de cara al consumidor al titular
del dato darle estas opciones sin
embargo esto requiere un gran ejercicio
al interior de la compañía Para poder
cumplir las preferencias que esa persona
otorgó hoy día a veces nos preguntan
usted quiere que nos comuniquemos con
usted por correo electrónico por
WhatsApp por por teléfono y uno da la
opción y la y esa compañía que recibe
esa información solo nos contacta por
esa vía bueno Esto es más o menos
similar pero es un mundo mucho más
amplio dentro de la compañía y que va
muy relacionado con gobierno de datos de
manera de tener las bases de datos
identificadas Y también etiquetadas los
datos de manera de poder ir eh creando
reglas de uso de los datos en base a las
finalidades y a los consentimientos
dados
vamos a la
siguiente las fuentes de acceso público
y la siguiente por
favor bueno Esto Aquí hay un cambio
sustancial
eh la ley
19628 define las fuentes de acceso
público como los registros
recopilaciones de datos personales
públicos o privados de acceso no
restringido es decir son aquellos sitios
donde nosotros podemos rescatar
información de titulares de datos como
por ejemplo podría ser el registro civil
el registro comercio y yo siempre digo
que la gran fuente de acceso público es
internet si ustedes ingresan y ponen
macar domicilio Macarena Gatica que el
otro día me lo hicieron en una charla y
me dic Macarena tú vives en tal
dirección no ya no vivo ahí y esa
información la sacaron del servel porque
yo no yo no no he actualizado el
domicilio Ya
e entonces uno podría decir que esas son
las fuentes de acceso público hoy día la
ley los considera una excepción al
consen ento eh podríamos decir que es
una base licitud por sí sola el momento
de que yo capture esta información de
una fuente de acceso público yo la puedo
tratar y es una excepción a la finalidad
yo puedo destinarlo a cualquier
finalidad pensemos en los en los web
scrapping que se hacen de diferentes
bases de datos o de sitios web Cuál es
el cambio sustancial que hay que deja de
ser una base de licitud y está regida
por el principio de finalidad ya por lo
tanto yo requiero una base de licitud
para poder tratar datos de fuentes de
acceso público voy a poner un ejemplo si
yo publico mi auto en Chile autos y
pongo público el teléfono ese teléfono
mi dato personal que está público la
finalidad Cuál es Es que ustedes me
llamen para comprarme mi auto y no para
que alguien tome el teléfono y después
por ejemplo me ofrezca no sé eh un
servicio de limpieza de ventana
ya Y esto es un cambio
sustancial y generalmente las bases de
acceso público van a ser tratadas en
virtud del interés legítimo y como dijo
Felipe el interés legítimo es una base
de licitud excepcional y fundada no es
El Bolsón del payaso donde yo voy a
tomar mis bases de datos voy a decir
todas estas no tienen consentimiento
bueno no tien ley ni consentimiento ni
contrato Ah las voy a tirar aquí el
interés legítimo no requiere un interés
cierto un interés superior por el cual
yo estoy tratando estos datos Y debo
además sujetarme a la finalidad de esa
base de datos Ya por lo tanto no sería
lícito que pudieran enviarme correo
cierto Perdón mensajes de texto o
WhatsApp ofreciéndome la limpieza de las
ventanas cuando la finalidad era la
venta del auto esto es clave y esto es
un punto que no está zanjado como les
dije estea que va a ser tratado en en la
comisión mixta y y cuál es Cuál es la
razón digamos Dónde está la discusión
porque obviamente hoy día la protección
de dato desde el 2018 es un derecho
fundamental cierto y por lo tanto no
debiese ser vulnerado y deberíamos
tender cierto a respetar este derecho
ahora bien existen ciertos casos d que
hoy día eh las la la información que
accedemos de bases de acceso público
tien una importancia sustancial en la
situación que hoy día vimos como país me
estoy refiriendo a todo lo que es
compliance fuentes de acceso público
delitos eh los delitos económico y
también por ejemplo relacionados con el
cibercrimen Y qué información podemos
disponer hoy día estamos en una
situación sumamente complicada porque eh
estas normas cierto
eh protegen un derecho un derecho
fundamental una garantía constitucional
y por proteger otro bien que podría ser
la seguridad pública Vamos a entrar a a
colisionar normas
eh lo comentaba en en octubre del año
pasado en en un congreso en Europa
Entonces los europeos me decían pero
Macarena por ningún motivo e y pero
nosotros estamos en una situación
bastante distinta en cuanto a seguridad
pública Ya por lo tanto eh creemos que
esto requiere un un mayor análisis
respecto de de qué casos se podrían
llegar a hacer eh uso de fuentes de
acceso público para una finalidad quizás
distinta a aquella de la cual eh nace
esta fuente propiamente tal Ya Entonces
esto es un tema que no lo dejen de de
tener en el radar y hoy día la fuentes
de acceso público estos datos se
utilizan para diversas cosas Ah y yo no
digo que no deba existir un límite a ese
uso pero sí tener presente la situación
país que tenemos respecto del crimen
organizado vamos a la siguiente me voy a
apurar para que tengamos espacio para
preguntas gestión de riesgo y aquí el
proyecto de
ley tiene un una norma expresa Ya esto
es riesgo en términos generales como yo
les decía al principio tenemos riesgo
como la contingencia la probabilidad de
que algo ocurra el riesgo operacional
que algunas industrias lo tienen en el
ADN como puede ser por ejemplo eh un
prestador de salud eh servicios
financieros cierto donde hay un ente
regulador que se preocupa las compañías
seguro también cierto que se preocupa de
este riesgo operacional porque el
incumplimiento o este riesgo si ocurre
puede llevar a que no se pueda prestar
eh el producto o servicio y luego
tenemos un riesgo normativo que viene
asociado cierto con los perjuicios que
puede causar un cumplimiento normativo
hay veces que se pueden producir
operacional y normativo a la misma vez
ya vamos a la siguiente est es un esto
es un ecosistema simple de lo que pasa
en el día a día con cuando nosotros eh
entregamos nuestros datos cuando las
organizaciones tratan nuestros datos
tenemos un responsable que es aquel
cierto que decide que se hace con los
datos nos ha pedido el consentimiento o
bien invoca otra base de licitud puede o
no tener un dpo cierto un Data
protection officer o un delegado de
protección de datos Existen varios
encargados de tratamiento de datos que
son aquellos que tratan datos e por
cuenta del responsable y además hay
empresas relacionadas con las cuales ya
sea que el titular entregó la empresa
relacionada y luego se da la vuelta
hacia la empresa principal que aparece o
vi Versa ya esto Generalmente es un les
insisto esto es un ecosistema simple de
la situación en la que nos encontramos
cuando vamos a hacer gestión de riesgo y
el riesgo no se acaba en el responsable
el encargado de tratamiento de datos
Está en nuestra línea de producción y
por lo tanto también lo tenemos que
considerar en el análisis de
riesgo vamos a la siguiente por favor ya
Estos son tres personajes que debiesen
existir en una organización y que
deberían tener roles independientes Y
por qué no pueden ser los mismos porque
es un conflicto de interés Y eso la ley
lo dice usted ipo usted puede tener
otras funciones sin embargo que no sean
un conflicto de interés estas tres
personajes si bien son roles
independientes sí actúan coordinadamente
y es muy importante que este eh Chief
Data officer cierto el de gobierno de
dato tenga la asesoría del dpo cierto de
manera o de alguien externo de manera
que cuando organiza los datos al
interior de la compañía que sean datos
de calidad que estén disponibles hayan
tenido la mirada de protección de datos
de lo contrario van a estar muy
ordenados pero con un riesgo latente que
no consideró la ley de protección de
datos siguiente por
favor Y esto es lo que les decía el
proyecto de ley viene con una mención
expresa los responsables de datos deben
adoptar acciones destinadas a prevenir
la comisión de infracciones a mí me
gusta más hablar en positivo deben
adoptar acciones para el cumplimiento de
la ley Entonces estamos hablando una de
una conducta proactiva y preventivas no
como ahora que generalmente matamos
incendios cierto porque no hemos tenido
cultura de protección de datos Y esto
significa que ti de haber una debida
diligencia Tenemos que tener una cultura
de evidencia para poder acreditar ante
la agencia de protección de datos cuando
nos venga a fiscalizar que algo hemos
hecho para poder prevenir acciones o
asegurar el cumplimiento de la norma
siguiente por
favor así tal como lo decía Felipe el
proyecto de ley contempla la posibilidad
de que una organización tenga un modelo
de prevención de infracciones no es
obligatorio es facultativo tiene que ser
certificado es un atenuante en caso de
infracción y tiene que ser un
instrumento vivo es decir a qu nos
referimos con un con un instrumento vio
tiene que ser uno representar la
realidad de esa compañía de esa
organización no copien el el plan de
cumplimiento el modelo de prevención que
hizo otra empresa porque no se va a
adecuar a sus procesos tiene y además
las organizaciones lo hacen suyo cuando
reconocen elementos propios y han
participado en la generación de este
documento ya Entonces tenemos que
capacitar tenemos controles tenemos
auditorías para ver cómo está
funcionando nuestro plan les voy a poner
un ejemplo e en el caso de la colusión
de los supermercados caso de los pollos
fíjense que la la fiscalía nacional
económica le dijo a dos de los tres
supermercados sus modelos de
cumplimiento no son creíbles es decir
estaban escritos Pero no eran vivos ya
Entonces tenemos que ir generando estas
cultura de cumplimiento la vigencia de
estos modelos es de 3 años y pueden ser
revocados por la agencia e por
determinadas causales que no voy a
entrar en detalle para poder avanzar un
poquitito más e en cu al contenido del
programa lo vamos a pasar bien rápido
Este programa de cumplimiento uno tiene
que tener un delegado de protección de
datos tiene que tener obviamente definir
los medios las facultades con que cuesta
el encargado Qué tipo de información
trata la compañía el ámbito territorial
naturaleza plazos de caducidad
características de los titulares de
datos Porque no es lo mismo tratar que
seamos un colegio y que estamos tratando
datos de menores de edad hacer por
ejemplo un bar cierto donde son
supuestamente tod mayores de edad
eh también vamos a identificar los
procesos las actividades y esto es lo
que generalmente llamamos un registro de
actividades de tratamiento de datos eh
partimos con una matriz de riesgo un
registro de actividades de tratamiento
de datos que se va a ir adecuando cierto
y complementando en la medida que la
compañía va creando nuevos procesos
también vamos a considerar el modelos o
instrumentos que permiten gestionar el
riesgo que son los p privacy Impact
assessment o Data privacy Impact
assessment vamos a crear reglas
protocolos procedimientos destinados a
qué a prevenir las infecciones Pero cómo
las vamos a prevenir básicamente Es que
la compañía la organización tiene que
tener un músculo que permita una
estructura gestionar el riesgo
eh Y obviamente que tienen que haber
sanciones si alguien se porta mal cierto
yo el otro día le ponía un ejemplo a a
un cliente que estábamos viendo el
proceso sanon yo le decía Mira si tú le
falsificas la firma a tu papá una vez y
se daban cuenta y no te hacían nada Qué
hacías tú no importa vamos falsificando
La Firma para no ir al colegio
nuevamente esto es básicamente lo mismo
Qué hizo usted cuando se dio cuenta que
alguno de sus trabajadores no no estaba
incumpliendo las normas internas de la
compañía ya siguiente por favor las
regulaciones de los modelos cumplimiento
deben incorporarse a nivel de
obligaciones o prohibiciones en los
contratos trabajo y o reglamento interno
bien importante esto porque el
reglamento interno es el marco de que
nos rige cierto en temas laborales Y que
además es establecer proceso
sancionatorio entonces de aquí yo me voy
a colgar para decir Bueno usted no
cumplió con esto Estas son las distintas
sanciones que contempla el reglamento
interno
siguiente entonces Este es un flujo bien
fácil dictamos normas internas no se
trata solamente de publicarlas tenemos
que capacitar a las personas y
reforzarlas luego vamos a auditar en
cuanto a su cumplimiento y luego vamos a
ver si con es necesario serc mejoras
puede que el procedimiento no fue lo
suficientemente idóneo para poder
prevenir infracciones o asegurar el
cumplimiento de la Norma y bien
Tendremos que sancionar aquellas
personas que corresponda fíjense que
ayer e haciendo una capacitación alguien
me decía no te preocupes Rodrigo si
quieres darle no más pas y yo me apuro e
me decía es que Macarena el jefe me dice
que que él lo iba a ver con la persona
que no cumplió con la política y yo le
dijo Le dije no si el jefe está
dispuesto a dejarlo pasar que se haga
responsable que firme el papelito en la
medida que las responsabilidades son
personales va cambiando la orientación y
de alguna manera reforzando el
cumplimiento a la Norma recomendaciones
fáciles capacitar establecer una
gobernanza deed
levantamiento de proceso lo que decía
Felipe Necesitamos saber dónde estamos
bien y dónde estamos mal dónde están
nuestras brechas Cómo va a cambiar el
negocio en estos dos años que nos quedan
es decir en el día uno que entra a regir
la ley qué voy a hacer con esos datos
que quizás tengo que no tienen
consentimiento implementar modelos lo
que les decía este músculo que permita
gestionar los riesgos marco legal
reglamento interno contrato trabajo y
demás políticas internas y luego
sanciones anti incumplimiento
yo creo que terminé si hablé muy rápido
me perdonan y ahí está mi dato
personal para que tengamos tiempo para
para preguntas Muchas gracias magarena
por la presentación voy a dejar de
compartir antes de irnos las preguntas
muy rápidamente les vamos a hacer
nuestra presentación para contarles en
qué estamos s Yo estoy acá buscándola
que se me desconfiguró Acá está
eh
presentar y compartir
acá y í estamos entonces bueno Qué es
ley de datos ley de datos es un software
as a service o un software para el
cumplimiento normativo de la ley de
protección de datos personales Y por qué
nace ley de datos nosotros identificamos
tres problemas principales primero el
registro manual o sea cuando uno levanta
los procesos la primera respuesta
probablemente entas responderlos y
llenarlos en Excel Pero quién tiene
acceso a ese Excel quién lo respondió
qué no qué dejamos en blanco quizás en
ese Excel y luego también vimos que hay
unos cambios regulatorios dinámicos o
sea está bien se publica la ley pero va
a haber un reglamento después van a
haber distintos dictámenes o normativas
que haya en el camino cambiando este
tipo de documento Entonces cuando uno
tiene un Excel tendría que actualizar
toda la sábana en vez de tenerlo en un
software y solamente llenar los datos
importantes y finalmente vimos que hay
múltiples usuarios o sea esto no va a
ser solo el área legal sino también va a
estar el área de datos por ejemplo
entonces quién tiene acceso a qué quién
puede editar quién quién hizo el control
o sea Quién hizo el último cambio
entonces también es importante
identificar ese control de cambios y por
ha por eso noce ley de datos con
distintas soluciones les presento acá
les voy a comentar brevemente las cuatro
más importantes una que es el mapeo de
datos que es Identificar y documentar
todo el flujo de datos en la
organización el segundo que es el
registro de actividades de tratamiento
que nos permite tener un listado
detallado de las operaciones de datos
que que estamos realizando la evaluación
de impacto que finalmente es un análisis
de los riesgos que estamos haciendo o o
o tocando al sujeto de datos y que
tenemos que ver si estamos vulner
vulnerando alguno de sus derechos y
finalmente el risk insight que nos
permite tener un mapa en tiempo real de
Qué cosas nos faltan Qué documentos
quizás no hemos llenado Y qué cosas
quizás deberían estar llenadas y por
ejemplo no hemos llenado como la base
licitud Entonces si alguien quiere ver
la presentación eh les voy a dejar mi
correo Rodrigo @at com también nos
pueden agendar por el calendi y la
invitación también a seguirnos en
linkedin en ley de datos para enterarse
de todas las novedades respecto a El
Avance legislativo y ahora sí los voy a
dejar con Macarena Ignacio para que
podamos responder algunas
preguntas Muchas gracias Rodrigo Muchas
gracias Macarena por tu presentación eh
También agradecerle a Felipe por su
presentación que tenía otro compromiso a
continuación así que no se pudo quedar
con nosotros para las preguntas eh pero
Macarena está disponible para poder
responder a todas sus dudas hay muchas
preguntas
eh agradezco también el interés porque
se nota que hoy en días cada vez está la
gente más enterada de de estos temas
entonces cada vez están un poquito más
detalladas las preguntas eh traté
agruparlo un poco para por concepto para
tratar de agrupar todas eh Hay una
pregunta hay varias preguntas referente
a datos de fuentes públicas
eh Qué pasa Qué establece la ley
respecto de cuando se obtiene un dato de
una fuente pública Quiénes pueden
utilizar esos datos Y también vincular
un poquito esto con aquellas empresas
que se dedican a vender datos o a ceder
datos a terceros como parte de su
negocio qué va a pasar con ellas que
tienen que tener en cuenta un poquito Si
nos puede explicar esos dos aspectos Sí
hoy día como lo dije la ley vigente
establece como una excepción al
consentimiento las fuentes de los datos
que obtenemos de F fentes de acceso
público Entonces el tratamiento que yo
hago de ello eh podríamos decir que la
base licitud es la ley cierto que me
autoriza a tratarlo y lo puedo destinar
para cualquier finalidad pasa a ser una
excepción al consentimiento como también
al principio de finalidad ya eh y por lo
tanto las empresas que es nos proveen de
estas bases de datos lo que hacen es de
alguna manera agruparlas organizarlas
para tener un mejor acceso en vez de que
yo esté con Root por Root cierto al
registro civil o al código comercio
Perdón código al registro comercio lo
hacen en forma más automatizada cierto
Entonces es un negocio totalmente lícito
estamos hablando de datos de fuentes de
acceso público e el cambio sustancial es
el que les digo deja de ser una
excepción al
consentimiento en términos simples
requiero de una base licitud Entonces
algo voy a tener que hacer cierto si yo
quiero seguir tratando estos datos eh
buscaré un consentimiento o el interés
legítimo por ejemplo para efectos de de
cumplimiento el tema está en que eh hoy
día Yo puedo obtener esos datos y
destinarlos absolutamente cualquier
tratamiento de datos cualquier finalidad
que se me ocurra sin embargo cuando yo
obtengo pensemos en el registro
civil Por qué nace el registro civil ya
eh la el registro civil nace
eh Porque eh el control de Quiénes
nacían quién se casaba y quienes morían
lo tenía la iglesia estoy hablando en
1800 ya ni me acuerdo cuá es la ley de
matrimonio civil y ahí nace pero no es
para que nosotros por ejemplo lo
destinos para no sé segmentar estoy
estoy inventando voy a mutear Aquí hay
una persona que lo tiene ahí sí
eh Entonces tenemos que pensar en esa
finalidad llévenlo al ejemplo burdo que
yo les puse de chile autos ya de que yo
publico mi auto en Chile autos para que
yo lo venda ese dato no lo debiese
captar cualquiera sino solamente para
que me llamen para la compra del auto es
un cambio sumamente importante Ya en
compliance Obviamente que podría ir
ligado a un interés legítimo nuevamente
esto requiere ser fundado y como lo dijo
Felipe no tenemos jurisprudencia el
interés legítimo no aplica en chile no
ha aplicado nunca en Chile por lo tanto
también Vamos a esperar un
pronunciamiento en la agencia pero lo
importante es que a lo menos empecemos a
hacer el ejercicio de dos cosas qué
datos de fuente de acceso público
tenemos para qué los estamos usando si
dice o no relación con la finalidad de
la base donde yo lo obtengo y de manera
de ir etiquetándonos y también
determinando su uso y cómo cambia mi
negocio y eventualmente ir trabajando en
sí puedo hacer un fundamento de eh Para
poder llegar a concluir que podría
basarse en el interés
legítimo Muchas gracias Macarena
efectivamente la importancia de
documentar y registrar De dónde se
obtuvo ese dato no basta con que estaba
publicado en internet y la evidencia o
nunca en eso que para estos sistemas nos
ayudan a eso a poder tener la
documentación y no estar buscando cuando
nos vengan a
fiscalizar exactamente y por eso mismo
herramientas que puedan solucionar ese
tipo de circunstancias pueden ser muy
útil Mira hay una pregunta relacionada
con las tarjetas de crédito
que me llamó bastante la atención porque
uno Generalmente otorga la los datos de
la tarjeta de crédito y la tarjeta de
crédito tiene tu nombre también y una
información también eh que se puede
vincular a la persona Pero cuál es la
fuente de licitud detrás de las empresas
que yo le estoy entregando mi tarjeta de
crédito el consentimiento hay un interés
legítimo en qué sentido cuando yo lo
pago cuando yo pago con mi tarjeta de
crédito en ese sentido cuando yo entrego
los datos de mi tarjeta de crédito a una
empresa o a un medio de pago s eh Y
ellos se quedan con esa información a
ver en ese caso estamos entrando por
ejemplo ya yo voy a entrar a un retail y
compro algo y luego cae una plataforma
de pago que generalmente no es el mismo
proveedor el que me está vendiendo los
zapatos que donde yo pago cierto
Generalmente cargo caigo en una
plataforma de pago esa plataforma de
pago en estricto rigor es algo que me
pid un consentimiento distinto solamente
puedo usar esos datos para el pago del
producto y servicio está en ese marco ya
que claro nosotros no tenemos contrato
como tal como base de licitud por lo
tanto es la ley que regula eh el uso de
tarjetas como medio de pago cierto
porque necesariamente yo le tengo que
entregar el número de la tarjeta ya es
en en Europa se habla de un
consentimiento perdón de un
consentimiento necesario eh Y aquí hay
un tema porque originalmente nuestro
proyecto de ley contemplaba que para el
tratamiento de datos personales el
consentimiento tenía que ser inequívoco
y para datos sensibles tenía que ser
Expreso había una diferencia hoy día no
se modificó y quedaron Exactamente igual
los dos entonces para ambos casos para
el tratamiento un dato personal puro y
simple con como con un dato personal eh
sensible ya entonces yo tengo que
acreditar que eh que tengo un
consentimiento Expreso Entonces cuando
yo paso a la plataforma en algunos casos
Incluso el retail establece ese la
descripción del uso ese tratamiento de
datos en y ni siquiera en la política de
privacidad sino los términos y
condiciones señalando que es una
plataforma distinta y por lo tanto
cuando yo salgo del del mundo del
ambiente del retail y entro otro
ambiente todo lo que ocurre en el otro
ambiente es responsabilidad del otro ya
y fíjense que hay en algunos casos que
dice eh que si uno quiere que ese ese
proveedor digamos eh se quede con la
tarjeta de crédito se han fijado y viene
con un check como adicional cierto expro
entonces también es importante eso
porque en estricto rigor paga y luego
elimina el dato o solo lo guarda como
como un respaldo de la transacción no sé
cómo en realidad opera
bien y siguiendo un poco con el ejemplo
de la tarjeta de crédito eh que
considero yo que una de las grandes
novedades y avances de la del proyecto
de ley y de lo que ocurre fuera tema de
las brechas de seguridad Qué pasa si se
capturan un hacker obtuvo información de
esto de la tarjeta de crédito esto se
vende después en un mercado negro en en
páginas eh negras Y qué tiene que hacer
el responsable una vez que ocurre ocurri
una brecha de seguridad Cuál es su
obligación Buen punto a ver pensemos que
debió haber hecho porque Quizás lo hizo
Ah quizás empleó toda la debida
diligencia que tuvo en sus manos
atendido la naturaleza de datos que que
trataba cierto e porque es la naturaleza
los datos eh el estado la técnica es
decir en si yo tengo un un uso un
software y que va como la versión 20 y
yo tengo La 3.0 Obviamente que no voy a
tener todos los parches de seguridad y
eso es una negligencia ya Entonces
primero debió haber empleado la debida
diligencia para prevenir ya eh Y luego
cuando Ocurre algo cierto e dependiendo
de la industria no solamente quizás va a
tener que ir a notificar a la agencia de
protección de datos sino también eh
acabo ver que salió el pronunciamiento
del del tribunal constitucional de la
ley marco ciberseguridad la agencia
ciberseguridad si fuésemos un servicio
financiero la cmf Si fuéramos una caja
compensación Uf ya qué es lo que quiero
explicar con esto que y hasta Alguien
podría pensar que yo le debía saizar al
sennac que no está la obligación pero Eh
entonces hay distintos órganos eh de
control que podrían estar supervisando
no Respecto a los cuales yo debiera dar
un aviso ahora eh el proyecto de ley no
es un aviso en términos generales ya
sino es un aviso eh En qué caso se debo
avisar a la agencia y a los titulares de
datos ya estamos hablando de datos
sensibles de menores de
edad Pero además de eso hay que contener
el daño cierto eh pensemos que esto es
como un incendio yo tengo que evitar que
esto se propague al resto de la
organización y tratar de salvar la
información de protegerla ya entonces
ahí hablamos muchas veces de eh de
comités de crisis de cómo operar cierto
vamos a tener que tener un Un
responsable no responsable de datos sino
una persona encargada de hacer el
contacto con la agencia si no tenemos un
tpo Bueno quién va a ser esta persona
que va a tener que dar aviso a a la a la
agencia correcto siempre tiene que haber
una persona responsable y tener muy
clara la la organización eh quiénes son
son suente reguladores como señalaste no
puede ser que no solo sea la agencia
exacto y no solamente eso Quién es el
responsable adentro de la compañía pasó
algo no nos podemos estar mirando la
cara entre todos nosotros diciendo Bueno
qué hacemos para dónde partimos ya eh
Por eso es importante tener estas
estructuras e y que ojalá nunca nos
ocurra pero tener estas estructuras que
permitan prevenir Y también cómo vamos a
operar si llega la
crisis Exacto veo que se conectó
Felipe Muchas gracias Felipe estás
disponible para una
pregunta Sí claro logré safar de la
reunión que tenía Así que no hay
problema Ah Excelente Muchas gracias e
creo que esta pregunta puede ir bien
dirigida para ti
respecto del uso de datos que realizan
universidades
e y no solo universidades colegios
jardines eh ahí distinguiendo un poquito
datos de menores datos de otras personas
eh qué contempla la ley la ley respecto
a estos temas Y qué tiene que
preocuparse también estas instituciones
educacionales yo distinguiría en primer
lugar entre más allá de de las
instituciones distinguiría en función de
nuevamente la criticidad del dato y la
ley Establece que los datos de niños
niñas y adolescentes que generalmente
llegan a los 18 años digamos a a a los
colegios pero podría ocurrir que haya un
niño niña adolescente de la universidad
perfectamente con 16 17 años La La La
regulación especial va a regir
persiguiendo a la persona no a la
institución a la cual pertenece primero
ya o sea cuando una universidad Me dice
Mire yo no necesito tener normas
especiales porque no son datos de niños
eh niñas y adolescentes yo le digo
cuidado porque probablemente puede tener
más de alguno digamos en su en su
establecimiento ahora respecto de eh
niños niñas y adolescentes la ley
establece una oría especial de
protección y por tanto
exige un estándar mayor en todos los
niveles de responsabilidad para
redundancia del
responsable
desde la captura el almacenamiento y
todo el flujograma de trabajo
tramitación de los datos al interior del
establecimiento y exige también un
conjunto de
condiciones para el tratamiento de estos
datos de mayor seguridad y mayor
confidencialidad dado que se entiende
que al no tener la capacidad de defensa
personal de los niños niñas adolescentes
y adicionalmente al entender que una
eventual filtración o mal uso de esos
datos puede generar un daño aún mayor se
establecen grados mayores de
responsabilidad nosotros tenemos una
unidad especializada solo en educación
de hecho adecuamos colegios porque les
voy a contar un par de Par de
experiencias eh hemos estudiado colegi
y nos hemos encontrado con 178
contratos desde el contrato de
matrícula Perdón partiendo por la
postulación contrato de matrícula
asociación de padres cámara de
televigilancia sistema alimentación
transporte escolar eh el anuario el
derecho a la imagen los cobros O sea hay
un conjunto obviamente la comunidad
escolar desde el punto de vista de
padres apoderados pero también eh
docentes rgic docentes régimen de
responsabilidad etcétera Y la verdad es
que adecuar un
colegio es un proceso largo y complejo
por las particularidades que tiene y mi
percepción es que en general en chile no
hay mucha conciencia de ello todavía y
eso es un tremendo problema porque están
trabajando con datos altamente altamente
riesgosos debido como digo a su especial
naturaleza de
protección caso
colegio del sector Oriente de
Santiago una niña aparece en una red de
pederastas en Londres la foto que usan
es la foto del anuario de su
colegio quién
responde hay consentimiento
eh respecto del uso de la imagen primero
el consentimiento es válido si es de la
menor o es de los padres segundo Ese
consentimiento fue para la difusión un
determinado eh ejemplar eh o digamos
finalidad eh resulta que El fotógrafo
era una persona externa al colegio pero
la imprenta donde se mandó la empresa la
empresa de diseño era una una tercera
empresa y la empresa de diseño
subcontratado a su vez a una imprenta y
resultó que en la investigación penal el
imprentero apareció o uno de los
imprenteros apareció vinculado a esta
red de
pedofilia pero finalmente la relación
entre la niña y el es con el colegio
ella no conoce ni al fotógrafo
probablemente nunca vio la empresa de
diseño y menos aún el imprentero
entonces La pregunta es cómo se
establece
eh algún tipo de cláusula que por lo
menos permita disminuir los niveles de
responsabilidad en Casos como esto u
otros no entonces eh En este caso como
digo yo para para no no seguir ándome eh
la adecuación de colegios supone
eh No solo la adopción de estándar es
más elevado sino también observar las
particularidades propias de las normas
internas que el Ministerio de Educación
ha ido dictando la superintendencia de
Educación en esta materia Felipe
complementando lo que cuentas el año
pasado me llamó una apoderada de un
colegio de vitacura y eh Me dice
Macarena mira lo que pasó el colegio
tiene un proveedor para el casino para
el almuerzo de los niños y enroló a
todos los niños reconocimiento facial
UPS a todos a todos y me dice para peor
mi hija lleva almuerzo o sea ni siquiera
almuerza en el
casino nadie y claro el colegio estaba
pidiendo autorización para poner la foto
en el anuario cierto porque esas cosas
como que son hoy día más comunes pero se
le olvidó que estamos hablando de
reconocimiento facial y no solamente
reconocimiento facial sino de menores de
edad ya entonces
no gravísimo
gravísimo otro otro caso típico
eh llevas a postular un niño en estos
procesos que son angustiosos para los
padres y para los niños y resulta que el
niño no
queda destru
información qué pas
información Hay también una relación
precontractual Cuál es la fuente de
legitimidad El niño ya no es alumno
nunca fue alumno por tendría que existir
esa información Eso es la información
que se llama información tóxica es
inform ación que estando en poder de una
empresa no le genera mayor valor en sus
procesos productivos pero que en el
evento de una fiscalización o de un
incidente de inseguridad van a ser un
problema porque van a obtener una
sanción y lo importante de revisar esos
procesos en esos casos es entender
también el
negocio por qué lo digo porque quizás
ese colegio si quiere saber por ejemplo
cuántos hombres mujeres eh postularon Y
por qué razones esos niños no quedaron
sin saber que era magrana Gatica cierto
sino un nn ya entonces también entender
esas posibilidades porque a ver nosotros
cuando cualquiera de nosotros eliminamos
vamos a eliminar un archivo al
computador nos Baja un terror cierto cu
dice chuta lo voy a necesitar imagínense
cuando el negocio tiene que eliminar
estos datos entonces bien importante que
que los que asesoren organizaciones
también tengan esta mirada de negocio
decir mira no te voy a dejar ciego te
voy a dar cierto vamos a adoptar medidas
técnicas y organizativas que te van a
permitir Tener información válida para
el negocio y que no necesariamente son
datos personales por para evitar este
riesgo de Fuga Los anonimizado pero de
verdad anonimizado porque me dicen no es
que yo ahora sí lo puedo determinar
Quiénes son no no no anonimizado ya
quizás exactamente en forma definitiva
Irreversible y quizás alguien diga no
pero que sabes que Macarena de repente
esos niños vuelven a postular más grande
bueno revisemos revisemos si es válido
tener esa información Qué porcentaje
vuelve a postular y cuando uno les hace
estas preguntas hay veces que nos
encontramos con información que dicen
pucha nunca más volvieron o fue el 0,01
por Entonces vamos a guardar vamos a
correr este riesgo gigante por un 0,01
por le pongo el caso final del colegio
el otro los egresados del colegio la
base de datos del colegio de los
egresados se
justifica hay un interés legítimo del
colegio para poder tener una base de
datos de egresados del colegio eh qué lo
habilita Cuál es la fuente de
legitimidad la base licitud ha se hay
consentimiento no hay problema pero si
no lo hay
eh resultaría lícito por ejemplo que
llegara un correo invitando alguna
actividad al
colegio te fijas Entonces porque esto
ocurre que puede ser inocuo pero un
ejemplo como es en un colegio puede
replicarse en otra institución y por
tanto también uno tiene que mirar con
mucho detalle por ejemplo Yo ponía el
caso de la compañía de seguros la razón
precontractual porque alguien podía
decir Oye sabes qué Ya vamos a sugerir
que eliminemos a todos aquellos respecto
de los cuales no ha no no se ha firmado
un contrato finalmente No hemos tenido
un contrato de seguro cotizaron pero
tienen contrato seguro ya vamos a
eliminar esto eh va a llegar el
comercial dec no sab pasa para nosotros
muy importante porque permite
perfilar por ejemplo el tipo de
enfermedades que tienen los hombres
entre 35 y 55 eh que viven en las
comunas de tal o cual esa perfilación es
correcta es adecuada habrá que hacerla
anonimizada eventualmente para que pueda
hacerla Bueno pero esa anonimización
como decía tiene que ser Irreversible si
no no vale Qué pasa si yo tengo una
decisión automatizada sobre eso el el
artículo que se resolvió el otro día da
el derecho de oposición pero el derecho
a la inferencia que es el derecho que va
a tener toda persona natural para exigir
no para que cuando se sienta afectada
por una decisión algorítmica pueda
exigir a una persona física natural la
exhibición de los patrones de
programación para decirlo en fácil si a
mí me afecta una decisión tomada por
algoritmos voy a poder exigir que me
exhiban los patrones de
programación Por qué Porque el algoritmo
no es ni Bueno ni
malo a mí mira yo ahí tengo mi tengo mi
postura distinta ese es un lo estoy
planteando Pero es verdad es hay un
derecho y que de hecho hoy día existe
cierto en en el consumo respecto de
servicios financieros que me tienen que
decir en base a qui me van a analizar mi
riesgo y por qué Por ejemplo me negaron
un producto el tema es que este artículo
que es textual del reglamento europeo es
del uno de los que se está revisando
porque más allá qué qué es lo que busca
no no lo que busca es que efectivamente
no no hayan cesgo discriminaciones se
nieguen productos arbitrariamente cierto
tiene una mirada muy de consumo y se
confunde mucho muchas veces lo que es la
transparencia algorítmica eh en
Alexandria hemos participado en las
mesas de trabajo de de la la cmf por la
ley fintec y también Hemos llegado a
este punto ya si yo
eh si me pentas transparencia
algorítmica que básicamente mal
entendida es entregar una sábana de
número que es el código fuente la
autoridad no sirve de nada cierto
Entonces si aplicamos
autorregulación lo que yo tengo que
acreditar a esa autoridad Es que este
software esta Inteligencia artificial
este sistema Este modelo que yo
tengo por ejemplo eh selecciona los
niños ya selecciona los niños para que
queden en el colegio y que eh lo reviso
constantemente y de alguna manera
acreditar que no se produzcan sesgos ya
sin embargo cuando yo voy a preguntar
esto en la ley dice que el derecho es
que que lo revise cierto y como fue
automatizado ojo que hoy día un chatbot
que me pregunte si yo voy a ir al
dermatólogo o ir al traumatólogo es una
decisión automatizada ya para que
entendamos la magnitud de este artículo
Entonces cuando yo voy y pregunto tengo
la opción de que alguien pregunte un
humano revise esto hasta qué punto me
puede entregar información relacionado
con el modelo propiamente tal
porque aquí entramos que vamos a tener
una colusión de otros derechos Como
puede ser propiedad intelectual Claro
pero veamos el caso Sí pero pero hay un
punto porque
cuando hay una colión de derecho en este
caso prop intelectual con el legítimo
derecho digamos a exigir el patrón de
programación mi percepción es que la
agencia de protección de datos va a ser
la que va a regular que es un poco lo
que ha ocurrido en Europa que se haid
regulando sobre la base de la
jurisprudencia administrativa o judicial
por qué lo digo porque acá esto puede
parecer como teórico o un un Más bien
una especie como de problema para
desarrollo de negocios pero caso
práctico pandemia el estado de eh New
Orleans vacunación se se hacía a través
de un orden eh algorítmico Y se
descubrió que se habían programado los
algoritmos para que los últimos en
vacunarse fuera la población
afroamericana y latina ejemplo práctico
como eso Nosotros hemos conocido ya
cerca de 12 casos eh respecto de
programación algorítmica sesgada para
tomar determinado tipo de decisiones
imaginémonos por ejemplo que un gobierno
con el objetivo de simpatizar con la
ciudadanía cualquiera sea el gobierno
tome la decisión de decir mire sabe que
ahora las licaciones públicas las vamos
a hacer con decisión algorítmica muy
transparente y resulta que se dice por
ejemplo en la la legislación que
eh se lapresión del servicio de asesoría
jurídica y postula Macarena y postulo yo
y resulta que quien programa El
algoritmo de manera muy sabia pondría
que tiene que ser un estudio jurídico
que teng más de 100 años más de 100
años creo que hay uno o dos en Chile no
sé bueno evidentemente Más allá de las
capacidades Más allá de las propuestas
Más allá de los valores incluso eh la
decisión está predeterminar entonces por
eso que es tan importante que este
derecho se mantenga con los cuidados
adecuados tiene que mantenerse porque si
no cuando alguien quiera tomar una
decisión algorítmica sin necesidad de
ningún tipo de contrapeso para poder
chequear la podría producirse el uso
algorítmico abusivo como una tentación
de resolución de muchos términos les voy
a contar un caso que va en línea con la
gobernanza y con la gobernanza de la
Inteligencia artificial que que ha sido
como el Boom cierto eh Ya está la ley en
en Europa y nosotros tenemos un proyecto
de ley y que está ahí pendiente Entonces
qué hacemos para de alguna manera
gobernarnos eh en la en las
organizaciones que estén utilizando
Inteligencia artificial eh Y me contaban
en una empresa que usaron un crearon un
modelo de Inteligencia artificial para
el reclutamiento y selección de personal
ya y empezó a elegir más hombres y yo
dije Se repitió el caso de Amazon del no
sé cuándo cierto del 2015 que le daba
más puntaje a los hombres que las
mujeres y fíjense que es peor todavía o
sea es peor en el sentido de porque Y
por qué se dieron cuenta porque ellos
tienen una gobernanza de ir revisando
todos estos procesos que tienen basado
en Inteligencia artificial
periódicamente para ver que
efectivamente No se estén produciendo
sejos y miren lo que ocurría eh con chat
ypt el chat ypt leía Los los currículum
ya y eh aquí hay un tema cultural social
que los hombres son más de poner logros
yo lideré yo logré esta meta yo aument
las ventas en cambio la mujer Eh somos
más de poner yo participé en un grupo
que sí mucho más bajo perfil Si tú
hubieses entrevistado esas dos personas
imaginemos que tenían los mismos logros
te habrías dado cuenta pero el chat gpt
al leer la forma como estaba escrito
hablemos algo objetivo lo otorgaba más
puntos al currículum del hombre porque
Aparentemente tenía más logro ya y esto
hace ir arreglando esto que estábamos
hablando de tener una gobernanza y de
revisar los sistemas para evitar sesgo
ya eh o o cualquier otra vulneración de
derechos que pueda
ocurrir muy de acuerdo muy de acuerdo Eh
bueno Macarena Felipe ya estamos en el
tiempo está muy buena la conversación de
hecho se me acaba de ocurrir que un
próximo webinar podríamos hacerlo en
Inteligencia artificial y algoritmo es
un tema que está muy entretenido Sí muy
entretenido y como lo podemos vincular
también con la protección de datos Así
que dejo la invitación y lo pongo sobre
la mesa eh Y bueno cerramos
oa se dedica mucho más esto que yo
digamos el tema de propiedad intelectual
pero la relación Inteligencia artificial
generativa y propiedad intelectual es
una relación explosiva en los próximos
sí es uno de los grandes riesgos cierto
uno podría decir que es dato
Intel garantías constitucionales cierto
todo lo que es discriminación Pero es
verdad Bueno hay por ahí algunas
demandas tanto en
Chile
dech Muchas gracias por la invitación un
gusto
Gracias gente que ahí soport había
muchas preguntas bastante buenas haba
una del censo que vamos dejar otra
ocasión lean miren hay una columna de la
Daniel sarot lanla salió en El mercurio
legal es muy buena en relación al censo
es superca eh para que la lean Oye si
alguien le gusta el fúbol hay otra
columna muy interesante sobre el
Registro Nacional de hinchas y
protección de datos ot
tema que escribió ahí el abogado José
Miguel catepillan también está muy buena
ya
bueno ponemos término el webinar Muchas
gracias por su asistencia a todos los
participantes que se quedaron también
hasta el final y lo dejamos también
invitado para visitar nuestra página de
ley de datos nuestros canales de Youtube
de
linkedin y también estén atentos para
los próximos eventos que estaremos
organizando Muchas gracias muchas
gracias Que est bien
chao
al
al