Implementación Ley de Protección de Datos Personales

Hola, buenas tardes. Eh, buenas tardes,
socios y socias que nos sintonizan el
día de hoy. Hoy vamos a tratar un
webinar en la gerencia de asuntos
regulatorios propiamente sobre la
protección de datos personales y para
eso tenemos una super invitada. Tenemos
a Javiera Sepúlveda. Ella es abogada de
la Pontificia Universidad Católica y
tiene un máster en derecho comercial con
especialización en derecho informático
de la Universidad de Merburg. También
ella es sociaídico
BITLW, el cual se especializa en
derecho, tecnología, privacidad y
protección de datos. Y también, bueno,
antes trabajó como asociada senior en
estas materias, en el estudio jurídico
KIP. Entonces, dado la complejidad de
estas materias, nosotros invitamos a
Javiera para que Javiera pueda hacernos
una presentación al respecto, ver las
distintas eh alcances, eh obligaciones y
responsabilidades quienes tienen datos
personales. Y respecto a eso va a
exponer Javiera y luego vamos a pasar a
las preguntas. Por lo tanto, hay un
WhatsApp disponible. Hagan las preguntas
al WhatsApp y yo aquí los voy a ir
recibiendo. Y también tengo algunas
preguntas que ya ciertos socios no nos
han transmitido. Así que Javiera, no te
quito más tiempo, por favor, si le das
con la presentación.
Bueno, muchas gracias, Camila, muchas
gracias a la Cámara por la invitación.
encantada de compartir en esta en este
ratito que tenemos eh aquellos aspectos
más importantes de esta nueva regulación
eh que ha tenido tanta relevancia eh en
el país eh por lo complejo de sus
obligaciones, por lo técnico de sus
obligaciones y también por el eh
catálogo de multas que terminó
aprobándose en el Congreso Nacional. Así
que hoy día vamos a estar conversando un
poquito de eh aquellas obligaciones más
relevantes y la idea es también llevarlo
a la industria, ¿cierto? Eh eh quiero
que que participen y que ojalá nos hagan
hartas preguntas eh relacionadas,
¿verdad?, con la aplicación de estas
obligaciones, específicamente a la
industria que nos convoca. Hoy día
quiero revisar con ustedes muy
brevemente ciertos conceptos básicos de
privacidad de esta regulación de
protección de datos personales, de qué
hablamos cuando hablamos de tratamiento
de datos, de qué hablamos cuando
hablamos de un dato personal. Hay harto
desconocimiento, ¿verdad?, respecto de
qué significan en la práctica y cómo
bajamos, ¿verdad?, a los impactos
operacionales de la compañía eh esta
este verbo, ¿verdad?, eh esta actividad
regulada que es el tratamiento de los
datos personales. Por otra parte, como
les dije, les quiero comentar eh de las
obligaciones más relevantes para los
responsables del dato. Voy a comentarles
también quién para esta regulación se
entiende como el responsable, como el
principal obligado por la ley, que noes
son los protagonistas de esta
regulación. Quiero comentarles en
particular eh porque sé que les interesa
la relación que tenemos en el mundo de
la protección de datos con nuestros
proveedores eh y también con el
tratamiento de datos que realizamos
respecto de nuestros trabajadores. Sé
que los socios, verdad, esta cámara
tienen modelos de negocio bien diversos,
pero sé que muchos de ustedes, muchas de
las empresas de ustedes prestan
solamente servicios B2B, ¿cierto? A
empresas y por lo tanto existe un cierto
mito, ¿verdad?, de yo solamente tengo
clientes empresas, a mí esta regulación
poco me importa. Vamos a hablar de eso
también. Eh, y quiero explicarles en en
en ese sentido que también hay ciertos
silos de titulares que incluso las
empresas B2B van a tener que preocuparse
de cumplir con esta regulación. Y
finalmente vamos a hablar eh brevemente
también de las sanciones eh del catálogo
de multas que les dije terminó
aprobándose muy muy alto eh y de la
nueva autoridad de la Agencia de
Protección de Datos Personales, que es
una agencia nueva, ¿verdad?, que se crea
e que debería estar constituida ya en
noviembre del próximo año y que va a
comenzar a funcionar una vez que entre
en vigencia esta ley, que es el primero
de diciembre del 2026. Estamos a casi un
año de la entrada en vigencia.
¿Cuáles son estos conceptos
fundamentales? Primero quiero
explicarles cuál es el panorama
regulatorio cuando hablamos de
privacidad, cuando hablamos de la
protección de los datos personales.
Tenemos jerárquicamente, ¿verdad?,
arriba el derecho constitucional del 19
número 4, que consagra, verdad, a la
privacidad como un derecho fundamental.
Y en el 2018 hubo una reforma a este 19
número 4 que reconoció expresamente la
protección de los datos personales como
una de las derivadas, ¿verdad?, o como
una de las ramificaciones de este
derecho fundamental a la privacidad. Por
lo tanto, cada uno de ustedes, cada uno
de nosotros como ciudadanos tenemos
derecho a la protección de nuestros
datos personales y a que cualquier
tratamiento de nuestros datos se haga
conforme a la ley. ¿A qué ley?
actualmente y todavía me van a escuchar
hablar de la ley antigua, de la ley
actual, pero lo cierto es que todavía
está vigente la ley 19628, que es una
ley que data del año 1999, totalmente
obsoleta, totalmente desconocida y poco
cumplida eh en el país, porque no
existía una autoridad a cargo de
fiscalizar estas materias, porque la
carga de la prueba era para el titular,
de ir a un tribunal civil, ¿verdad?,
aprobar una infracción a esta ley, pero
lo cierto es que en Chile tenemos
actualmente una ley de protección de
datos y la nueva regulación de
protección de datos modifica casi casi
esta esta ley 19628. Entonces, vamos a
hablar de la nueva ley cuando nos
refiriamos a la ley 21719, que es una
ley que se aprobó en diciembre del año
pasado, que le dio a las empresas y a
los órganos públicos, porque esta ley no
solo regula a los privados, también
regula al mundo público, 2 años de
vacancia le llamamos nosotros, ¿verdad?
2 años para que eh las entidades que
tratan datos personales, es decir, todos
adecuemos, ¿verdad?, a nuestras
prácticas, nuestros procesos, nuestra
normativa interna, nuestros sistemas,
nuestra tecnología a las obligaciones de
la nueva regulación de protección de
datos personales.
Esta nueva ley es una ley que sigue
bastante de cerca el reglamento general
europeo de protección de datos, que es
sin ninguna duda la regulación más
estricta que hay en el mundo en materia
de datos personales. La gran mayoría de
los países
de Occidente, incluso también ciertos
países de de Asia, ¿verdad?, han
modernizado sus regulaciones de
protección de datos siguiendo, ¿verdad?,
o equiparando el estándar local a este
estándar GDPR, al famoso GDPR por sus
siglas en inglés. Entonces,
evidentemente el GDPR en Europa entró en
vigencia el 2018, se había aprobado el
2016, por lo tanto, en Europa pasó lo
mismo que está pasando en Chile, que se
otorgó a las empresas 2 años para
adecuarse y hay bastante cancha
recorrida, ¿verdad? Y vamos a tener que
sin ninguna duda estar mirando el cómo
se han ido interpretando las
obligaciones allí, el cómo han estado
actuando las autoridades en Europa,
cuáles son, verdad, las instituciones de
esta ley que han sido más fiscalizadas y
que han generado mayores multas. un
gran, etcétera. Lo más probable es que
nuestra agencia de Protección de Datos
esté mirando bastante de cerca lo que
hizo la Agencia Española de Protección
de Datos por la cercanía, ¿verdad?, de
cultura y de idioma y por la cantidad
por por la fuerte relación internacional
que existe entre ambos países. Además,
eh vamos a tener las futuras
instrucciones o las directrices de la
nueva Agencia de Protección de Datos,
que es bien importante. Hay ciertos
reglamentos que e que se van a que se
deben emitir a propósito de de la
promulgación de esta ley, pero además de
los reglamentos,
eh la Agencia de Protección de Datos va
a tener que enseñarnos a cómo es que se
deben cumplir o a cómo es que la agencia
va a interpretar ciertas instituciones
que son, como les digo, que tienen un
alto componente técnico. Por lo tanto,
eh es bien importante también estar
mirando eh el actuar de la agencia en
ese sentido. Y finalmente, normas
sectoriales, ¿cierto? Eh, en esta
industria en particular tal vez no
existan tantas, pero en la industria
financiera, en la industria de los
seguros, ¿verdad?, Hay un montón de
normativa sectorial que se refiere, que
cruza de alguna manera, que toca el cómo
es que las empresas deben resguardar los
datos, almacenar los datos, cuidar los
datos, incluso tratar los datos
personales, para qué fines, con qué
propósitos, etcétera. Entonces, tenemos
que estar mirando en el fondo todo este
panorama a la hora de e interpretar
correctamente y determinar cuáles son
las obligaciones que le van a pegar a mi
empresa en particular.
¿Qué es el tratamiento de datos
personales? Esta es la actividad
regulada por esta regulación. El dato
personal es cualquier información
relativa a personas naturales. Por lo
tanto, dejamos fuera a todas las
empresas, a todas las personas
jurídicas, ¿cierto? No están reguladas
por esta ley. Identificadas o
identificables. Es cualquier pedazo de
información, verdadero, falso, objetivo,
subjetivo, que se refiere a una persona
natural. Mm.
Camila Ramos es abogada de la
Universidad Católica, Camila Ramos, dato
personal,
abogada de la Universidad Católica,
personal, dato personal y evidentemente
todo lo que yo pueda decir de ti porque
es información que está dirigida o que
está relacionada a una persona natural,
¿cierto?
Cuando hablamos de un nombre, ¿verdad?,
de un identificador que permite eh
identificar directamente, valga la
redundancia, de una persona como el
root, como un nombre, eh como un
teléfono, como un correo electrónico.
Este concepto no es tan complejo, parece
no ser tan complejo, pero se vuelve
complejo cuando nos empezamos a meter en
el mundo de la identificabilidad,
¿cierto? Cuando un dato hace
identificable a una persona. Y lo cierto
es que yo puedo no decirte el nombre de
una persona o puedo no decirte el root
de una persona, ¿verdad? Pero te puedo
entregar pedazos de información que
combinados a ti te van a permitir
inferir de quién estoy hablando.
Y en esos casos eh y hoy día,
evidentemente con la gran capacidad que
tienen las empresas para procesar,
¿verdad?, eh grandes volúmenes de
información y para acceder además a
información de distintas fuentes, esa
identificabilidad se vuelve más sensible
y más fácil, ¿cierto? Entonces, a la
hora de cuando lleguemos a determinar,
okay, estoy frente a un dato personal o
no, vamos a tener que en el fondo
evaluar cuáles son los zapatos en que
está, ¿verdad?, vestido esta empresa y
si es que efectivamente esa empresa con
toda la información que tiene tiene la
capacidad de identificar a una persona
natural. ¿Ya? Entonces, eso es un dato
personal, es un espectro bien amplio y
las autoridades en general han ido
interpretando de manera cada vez más
laxa, ¿verdad?, a lo que cae dentro de
este saco de los datos personales y por
otro lado, el tratamiento, la actividad
regulada. Esa no es la definición legal,
pero quisiera que se queden con esa
idea, pues la definición legal es
tremendamente amplia y es una definición
que además se repite en todas las
legislaciones modernas, pero básicamente
el tratamiento es cualquier forma de uso
desde que yo almaceno, ¿verdad?, el dato
en mis sistemas para fines de backup o
para fines de seguridad, ¿cierto? hasta
el tratamiento que puedo hacer a través
de analítica, ¿verdad?, que me va a
permitir inferir el comportamiento de
compra de una determinada persona eh de
inmuebles en los próximos 10 años.
Pero, por ejemplo, ahora me llega una
consulta, o sea, un currículum que me
llega, yo lo guardo ya al guardarlo
es tratamiento de dato personal.
Absolutamente, absolutamente. E incluso
un currículum puede tener datos
sensibles.
Tiene lo que decías tú identificarle,
¿sí? No, y además tiene información,
¿verdad?,
su experiencia
profesional, etcétera.
Dentro del mundo de los datos
personales, y no vamos a alcanzar a
profundizar en esto hoy, pero
hablamos del género dato personal y hay
distintas especies de datos personales
que son
especialmente protegidas por esta
regulación. están los datos sensibles,
que en general son los datos personales
que se refieren más a la esfera de la
intimidad de una persona, eh o a sus
aspectos físicos o morales, como eh el
que un trabajador pertenezca a un
sindicato, por ejemplo, o el que
pertenezca a una asociación gremial, por
ejemplo, o sus preferencias religiosas,
sus preferencias sexuales, eh sus datos
de salud, todo ese mundo más de la
esfera de la intimidad de una persona
son los datos sensibles. Tenemos los
datos de salud, que son una subespecie
de datos sensibles, los datos de
menores, los datos biométricos,
¿verdad?, que son los rasgos físicos que
hacen eh unívocamente identificable una
persona, como nuestro iris, nuestra
huella, eh nuestra voz, ¿cierto? incluso
nuestro caminar puede ser, eh, etcétera.
Hay un y los datos de georreferenciación
también son una especie de datos
personales particularmente protegidos
por la ley, entre otros, pero
pero esa tendría una regulación más
un poquito más estricta, un poquito más
estricta y ciertas bases de licitud que
se los voy a explicar en un momento, que
es aquello eh que se aplican en el fondo
de manera limitada a estos tipos eh
particulares de datos personales.
Perfecto.
¿Quiénes son los protagonistas de esta
regulación? El sujeto protegido es el
titular, así como en el derecho laboral,
¿verdad? El trabajador, en el mundo de
la protección de datos, el sujeto
protegido es la persona natural titular.
Cada uno de ustedes, cada uno de
nosotros somos titulares de datos
personal,
el cliente de una de una compraventa
inmobiliaria, el trabajador de una
empresa, ese es el titular.
Ese es el titular.
Por ejemplo, si yo estoy tratando con un
proveedor, ¿cierto?, que es una empresa.
Igual estoy haciendo un tratamiento de
datos personales de el representante
legal de esa empresa, del representante
comercial, del ejecutivo comercial, de
el ser humano, ¿verdad?, con el que me
relaciono en representación de esa
persona jurídica.
Evidentemente es un tratamiento de datos
personales eh menos intensivo, ¿verdad?
porque lo hago a propósito de mi
relación contractual con esa empresa.
Eh, pero igualmente es un tratamiento de
datos personales y tenemos que
preocuparnos de cumplir eh con las
obligaciones establecidas en esta ley.
El responsable del tratamiento, que es
un pésimo nombre porque para aquellos
que estén eh presentes y que son
abogados saben que cuando hablamos de
responsabilidad en derecho nos
imaginamos un gran espectro de verdad de
cosas, pero lo cierto es que esta ley lo
define como el responsable que es la
entidad,
persona jurídica, organismo público,
¿verdad? que toma las decisiones de por
qué y cómo voy a tratar un dato
personal. Cuando ustedes toman la
decisión, ustedes empresa, por ejemplo,
que trabajan en el departamento de
recursos humanos, toman la decisión de
pedir los datos personales de los hijos
de sus trabajadores, ¿verdad? Para
enviarles un regalo a fin de año. Regalo
Navidad.
Ya. ¿Quién está tomando la decisión? La
están tomando ustedes, personas
naturales, ¿cierto? Pero lo están
haciendo en representación de su
empresa, de la compañía. En ese caso, el
responsable de cumplir ante la ley es la
compañía, es la empresa. Ese es el
responsable ante la ley. ¿Ya? Y
finalmente, eh el mandatario es otro de
los protagonistas y lo menciono, lo
vamos a profundizar en un par de slides
más, pero el mandatario es quien actúa
en representación del responsable y esta
figura se da muy comúnmente en los en
nuestros proveedores, en el proveedor
del payroll, en el proveedor, ¿verdad?,
de alguna solución tecnológica que le
permita tener acceso a los datos
personales de la empresa.
Perfecto.
Ya. Todos esos eh tratamientos de datos,
esas esos terceros, esos proveedores los
realizan. Sí. tratan los datos
personales de nuestros trabajadores, de
nuestros clientes, de nuestros
proveedores incluso, pero no lo realizan
determinando un fin de manera
independiente, lo realizan bajo las
instrucciones que yo le estoy dando,
porque yo estoy contratando ese
servicio, ¿ya? Entonces, en esos casos,
la ley nos exige que en esa relación con
nuestros proveedores que puedan acceder
a mis datos personales, y acá no hay un
derecho de propiedad, pero es para que
lo entiendan,
eh, la ley nos exige, ¿verdad?, que
exista un mandato, un data processing
agreement, como se llama en en en
legislaciones anglosajona.
Voy a profundizar en eso más adelante,
¿sí? Porque varias preguntas van en esa
línea.
Van en esa línea. Perfecto.
Algo que quiero desmitificar también es
cuál es la verdad, la esfera de todo lo
regulado por esta ley. Nos pasa con
muchos clientes que nos dicen, "Yo tengo
una política de privacidad perfecta, me
preocupé, ¿verdad?, con mi equipo de
tecnología de tener el checkbox de
aceptación de mis clientes, mi página
web, mi ecommerce, lo que sea. Entonces,
pido el consentimiento, estoy al otro
lado.
Ese es uno de los momentos que regula
esta ley, el cómo recojo el dato o
aquello que debo estar cumpliendo cuando
recojo el dato. Pero esta ley tiene
obligaciones relacionadas con el
almacenamiento, cómo debo cuidar el
dato, cómo protejo el dato en tanto esté
bajo mi custodia, ¿cierto?
¿Cuándo o cómo debo ceder el dato? Se lo
debo traspasar a otro responsable. La
gran mayoría de las entregas que hacemos
a una autoridad, por ejemplo, cuando nos
requiere de alguna manera información
que contenga datos personales, esa es
una sesión de datos personales. O cuando
en un grupo económico, por ejemplo, una
empresa decide, ¿verdad?,
transferir o traspasar bases de datos a
otra compañía para que los trate para
sus propios fines, no como mandatario
mío, para sus propios fines. Eso también
es una sesión de datos y eso es algo que
no está
preliminarmente prohibido, pero se tiene
que cumplir con ciertas condiciones,
¿verdad? Tanto en el fondo como en la
forma. Entonces, esta ley también nos
enseña a cómo es que tenemos que sacar
el dato eh para traspasarlo a un
tercero, para transferírselo a un
tercero. El tratamiento por tercero se
refiere a esta figura del mandato que
les comentaba. Esta ley lo que hace es
hablar de transferencia o sesión cuando
el flujo de datos va de responsable a
responsable y habla de comunicación
cuando el flujo va de responsable a
mandatario. Ya.
Perfecto.
Transferencia internacional nos pasaba
con con mucha frecuencia que nos
llegaban eh consultas, ¿verdad?,
estudios extranjeros eh y nos decían
cómo se regula la Transferencia
Internacional en Chile. Decíamos, la ley
actual dice de la transferencia
internacional. Esta ley reconoce por
primera vez esta nueva institución de la
transferencia internacional que se
aplica cuando los datos salen desde
Chile hacia el extranjero y eso es super
importante entenderlo, ¿no? Cuando
recibimos datos, cuando recibimos datos
desde el extranjero, pues entonces se
deberían aplicar las reglas del país de
origen.
Ah, mira, ya
ya eh esta ley nuevamente y esta es una
de las instituciones donde la agencia eh
va a tener eh mayor eh urgencia,
¿verdad?, en en hacer las distintas
bajadas de los modelos, porque esta ley
regula que la Transferencia
Internacional está permitida, ¿verdad?,
en tanto concurran algunas de las
causales, como por ejemplo que esa
transferencia sea parte de e un flujo de
datos intercompany, ¿verdad?, con mi
matriz en el extranjero o con filiales
en el extranjero, siempre que se eh
celebren las famosas binding corporate
rules, ¿ya? eh que son unos modelos de
documentos que va a tener que emitir la
agencia y que vamos a tener que
suscribir o cuando contemos con el
consentimiento del cliente, entre otros
entre otras casuísticas, entre otros
escenarios donde está permitida la
transferencia internacional, pero lo
primero que tenemos que hacer como
empresa es ir a identificar dónde
estamos transfiriendo internacionalmente
datos. ¿Ya? Y aunque suene como un poco
lejano,
sí, me suena.
Lo cierto es que cualquier servicio de
nube que tengamos contratado, ah, ya,
muy probablemente va a significar que
estamos haciendo una transferencia
internacional de datos. ¿Por qué? Porque
los servidores, ¿verdad?, de ese
servicio de nube muy probablemente estén
fuera de Chile. Por lo tanto, significa
que los datos están saliendo al
extranjero. Entonces, no es un no es una
figura tan distante como pareciera.
hiciste esa prevención porque para mí
habría sido externalizar datos a otro
país para que los analicen y no
necesariamente así. No necesariamente es
así. No necesariamente es así. La
preservación y la eliminación están
bastante relacionadas, ¿cierto? Pero lo
que quiero transmitirles es que esta ley
además nos exige que nos hagamos cargo
por cuánto tiempo vamos a tener ese
dato. Ya. Eh, en estricto rigor uno
debería eliminar el dato en tanto cese,
en tanto finalice el propósito de uso
para el cual recogí el dato
originalmente.
Acá está en la instancia donde todos nos
empiezan a tirar tomates porque nos
dicen, "Es imposible eliminar los datos.
¿Cómo sé yo? Si es que no va a venir
luego una autoridad, ¿verdad?, a pedirme
la información y todo eso es correcto.
Tanto así que esta ley equiparó,
¿verdad?, la eliminación con la
anonimización. Por lo tanto, no es
necesario, en estricto rigor, eliminar
el dato, porque sabemos que técnicamente
eso hoy día es casi imposible de hacer,
pero sí podemos aplicar medidas para que
se anonimice el dato, para que los datos
personales pasen por un procedimiento
que sea irreversible y que permita
desconectar ese pedazo de información
con la persona natural a quien pertenece
o a quien se relaciona. Ya, esa es la
anonimización.
Eh, ¿y por cuánto tiempo voy a retener
el dato? Esta para mí es una de las
pegas más difíciles que nos toca hacer a
a los profesionales de privacidad,
porque para yo poder decirles a ustedes
tranquilamente, los datos de sus
trabajadores pueden guardarlos por 5
años luego de que terminó la relación
laboral,
tengo que ir a identificar todas las
categorías de datos que existen dentro
de la compañía y tengo que ir a
identificar todos los propósitos de uso
de esos datos dentro de la compañía
para luego poder asociarlos con
plazos legales de retención
que son distintos porque viven en
normativas distintas.
Eso estaba pensando lo tributario, por
ejemplo,
general en general van a coincidir con
los plazos de prescripción de las
acciones.
Ya, en general, pero en materia
tributaria hay hay eh plazos
establecidos en materia laboral, en
materia financiera hay plazos distintos.
Entonces, tenemos que salir a pescar en
el fondo eh los distintos tipos de datos
que tenga una empresa, los distintos
propósitos de uso y luego de eso armar
una política de retención de datos donde
vayamos estableciendo plazos de
retención. Ya, pero si nosotros tenemos
una obligación legal que cumplir y para
eso necesitamos retener el dato,
tranquilamente pueden retener el dato.
No hay un plazo que te ponga la le
exista un plazo. La ley no no especifica
un plazo. La ley simplemente dice
se debería eliminar tan pronto se es el
propósito. Eh, como una regla general y
uno tiene que ahí empezar a
interpretarla. Si es que también como
relacionadas a las otras eh
responsabilidades que tú mencionabas, eh
yo quisiera en términos muy de
conservadores, pero mientras menos tengo
el dato, menos opciones tengo de que no
sé, pues se filtre eso como que está
eso. Pero también lo que decís tú, hay
que compatibilizarlo con otros eh
exigencias de responsabilidad de otras
legislaciones.
Exactamente. Exactamente. Y en general
en Chile, además, tenemos una tradición
histórica de tener guardar todo.
Absolutamente, [risas]
absolutamente. O sea, el 99%,
yo diría, de los casos que que hemos
estudiado es así. Hay un almacenamiento
histórico de la información, porque así
se hace. Yo creo que hay una cosa,
sí, es una cuestión cultural también. Y
si es que en el fondo no hay un
almacenamiento digital, están, ¿verdad?
la
las los backups de de de almacenamiento
físico en las empresas de bodega,
etcétera.
Sí.
¿Qué son las famosas bases de licitud?
No quiero ponerme tan jurídica en este
webinar, pero sí es muy importante
porque esta es la obligación, la primera
y la obligación más importante que
tenemos que cumplir.
Hay una percepción, una equivocada
percepción de que esta regulación viene
a prohibir el tratamiento de los datos
personales y eso no es así. Esta
regulación lo que hace es establecer
condiciones. La primera condición y la
más importante para que podamos tratar
un dato personal es contar con un
sombrero, le decíamos nosotros. Contar
contar con un permiso.
Para cada una de las actividades de
tratamiento de datos que ustedes
realicen, tienen que ir a buscar una
base de licitud, un fundamento legal.
Ya,
ya hasta hoy día en la legislación
actual, en la ley actual, teníamos la
obligación legal o el consentimiento del
titular. No había más que eso. Habían un
par de excepciones mal escritas y muy
poco probadas en tribunales, pero
existían dos. Por lo tanto, o yo
necesitaba una autorización legal
expresa o una obligación legal que no
podía cumplir si no era tratando un dato
personal como muchas de las obligaciones
laborales, ¿cierto? O bien tenía que
necesariamente ir a recoger el
consentimiento, ir a pedirle al cliente
que aceptara la cajita a la política de
privacidad, ir a pedirle al cliente que
me firmara el formulario de
consentimiento.
Y en mi opinión esa es la razón por la
que tenemos tan arraigada esta idea de
que para todo pedir consentimiento. Ya
esta ley abre ese abanico siguiendo
también eh eh la la regulación europea,
¿verdad? y establece una un catálogo
mucho más amplio de bases de licitud.
Estas no son todas, pero sí son las más
importantes. El cumplimiento de un
contrato. Si yo necesito tratar un dato
personal para cumplir con mi obligación
contractual o para exigir que mi
contraparte cumpla con su obligación
contractual, como por ejemplo procesar
el pago de un cliente que me está
comprando un producto a través de un
e-commerce, 100% de obligación
contractual, no necesito ir a pedirle
permiso para tratar su dato personal.
Ya, ese es el cumplimiento del contrato
y y en esta industria algo que me parece
muy interesante comentar es que el
cumplimiento del contrato también se
extiende a las negociaciones
precontractuales.
Ah, ya. Eso es interesante.
A eh las instancias donde llega un
titular a pedirme una cotización, un
presupuesto, ¿verdad? Siempre que sea
solicitud de el cliente. Ya.
En esos casos, evidentemente, necesito
tratar su dato personal, ¿cierto?
Necesito conocer su nombre, su correo,
probablemente su teléfono. Ojo ahí con
el principio de proporcionalidad,
probablemente no necesito conocer mucho
más que esos datos,
eh, pero voy a estar tratando esa
información y a lo mejor va a ser un
cliente que ni siquiera va a terminar
siendo un cliente, ¿verdad?, con un
contrato firmado. Eh, entonces esta base
de licitud también nos va a ayudar para
esas instancias precontractuales. Ya. El
interés legítimo es una es una base de
licitud que ha sido bien cuestionada en
Europa, pero que es necesaria, pues es
una base de licitud que nos permite un
poco hacer un un balance, ¿verdad? Un
test entre el legítimo interés que pueda
tener una empresa para tratar un dato
personal y cómo estoy afectando,
¿verdad?, la privacidad de esa persona.
Ya,
el gran ejemplo para esto, para
explicárselo de manera más simple, son
las cámaras de seguridad o en general el
tratamiento de datos para fines de
seguridad, donde
yo no puedo ir a poner de previo aviso,
¿verdad?, a una persona de
lo voy a estar grabando o tengo un
guardia, ¿verdad?, en la puerta pidiendo
el consentimiento de todas las personas
que puedan pasar por debajo de una
cámara de seguridad.
Entonces, en esas ocasiones se ha
entendido, al menos en Europa ya está
más o menos consagrado, que en general
para los fines de seguridad se puede
usar esta base de licitud. Se ha
entendido, ¿verdad?, que en esos casos
prima el interés legítimo, pero no es
tan simple como yo se los estoy
mencionando, pues requiere un poco este
análisis jurídico, ¿cierto?, de de a
través de una evaluación de interés
legítimo, donde pongamos sobre la mesa
el legítimo interés del responsable y
cómo se e cómo se puede, verdad, afectar
el derecho fundamental del del titular.
Eh, y además la empresa debería
establecer controles también para tratar
de mitigar esa afectación dentro de la
mayor medida de lo posible. Pero fines
de ciberseguridad, fines de seguridad eh
de seguridad lógica, de seguridad física
en general, van a poder vivir en interés
legítimo. Incluso podría ser en algunos
casos el marketing.
Ahí estoy me estoy me estoy
adelantando,
me estoy adelantando, pero podría ser
incluso en en algunas instancias el
marketing que viva como bajo la base de
licitud interés legítimo, ejercicio de
defensa de un derecho en un litigio,
¿cierto?
esa hay otes de licitud que recoge esta
nueva regulación, pero me interesaba
mucho comentarles en particularmente el
cumplimiento del contrato y el interés
legítimo. Oye, Javiera, si respecto la
la anterior, el tema del consentimiento,
que ahí me están preguntando harto,
ya,
¿cómo es necesario registrar este
consentimiento? H me ponen una pregunta
así como eh si me dan el me mandan un
currículum y el currículum puedo
almacenarlo para nuevas postulaciones.
¿Cómo almaceno así como tú conscientes
en que puedo guardarlo? Y
yo no soy fan del consentimiento, lo
transparento, antes de la respuesta. Eh,
es muy difícil cumplir con los
requisitos de validez del consentimiento
en esta nueva ley.
Ya.
El consentimiento tiene que ser libre.
Ah, ya. Perfecto.
Ya. Ese requisito de libertad se puede
cuestionar en escenarios donde hay un
desequilibrio de poder entre las partes,
como el mundo laboral, por ejemplo, como
un consentimiento que pueda levantar una
autoridad, un órgano público respecto a
un ciudadano. Entonces, primer requisito
difícil de cumplir. El consentimiento
tiene que ser específico.
Por lo tanto,
de nuevo, acá hay que esperar cómo
interpreta esto la agencia. Pero
hay directrices en Europa que nos hacen
pensar que la especificidad puede llegar
a significar
que requiramos que requiramos la
granularidad en la obtención del
consentimiento. ¿Qué quiere decir esto?
Que las famosas políticas de privacidad,
¿verdad?, que hacíamos aceptar a los
clientes,
donde los hacíamos aceptar de manera
atada,
para que se entienda mejor, una gran
cantidad de propósito para venderte el
producto, para llamarte para fines de
marketing, para mandarte información por
tu correo postal, para además pasarle
los datos, ¿verdad?, a mi empresa
filial.
Todo eso en bloque, acepto.
La especificidad puede verse cuestionada
en esos escenarios. Ya. Entonces, de
nuevo, el legal design nos lleva un
poquito a pensar en que uno debería ir
aceptando granularmente los distintos
propósitos de uso cuando estemos
basándonos en el consentimiento. Y por
eso yo les digo que yo no soy fan del
consentimiento. El consentimiento,
además, tiene que ser informado. Tenemos
que entregarle a ese cliente la
información al menos respecto de qué
datos voy a recoger, para qué propósitos
los voy a recoger, a quién se los puedo
enviar, ¿verdad?
Eh, les voy a hablar de eso un poquito
más adelante en en el contenido mínimo
de las políticas de privacidad que
también están reguladas por esta ley.
Eh, y tiene que ser inequívoco, tiene
que entregarse de una manera tal que no
pueda ponerse en duda, ¿verdad?, esa
manifestación de voluntad. Eso cambia un
poquito con la ley actual, que era un
consentimiento escrito,
escrito firma hógrafa o por efecto del
de la ley de de firma electrónica
también se entendía eh que cumplía ese
requisito los los medios electrónicos,
pero hoy día eh eso se abre un poquito
más, ¿verdad? Y y nos nos abre la puerta
a distintas formas de obtener el
consentimiento en tanto sea inequívoca.
Eh, pero pero aún así eh es harta
información la que hay que darle al
titular al momento de recoger su
consentimiento y son hartos requisitos
que tenemos que evaluar a la hora en el
minuto en que estamos levantando ese
consentimiento. Entonces, en el caso de
los currículums, por ejemplo, yo creo
super
probable evaluar si la entrega de ese
currículum puede ser parte tal vez de eh
la base de licitud cumplimiento de un
contrato en su etapa precontrual.
Ya podríamos eh poder justificar ese
tratamiento en esa base licitud. Claro,
en tanto ustedes no me digan, "No, lo
que pasa es que yo además agarro ese
currículum, ¿verdad? Y se lo paso,
¿verdad?, a mi filiar, por a mi filial,
por si hay una vacante en ese puesto de
trabajo que pueda eh tener un perfil
similar, ¿cierto? Eh, o yo utilizo los
currículums o la información que obtengo
de los currículums para ser analítica y
para entender cuáles son, ¿verdad?, eh,
la las las personas, ¿verdad?, que están
eh postulando, que se interesan en
postular a mi empresa. Esos son otros
propósitos de uso para lo cual ya no
vamos a eh solamente necesitar el
cumplimiento del contrato, vamos a
probablemente necesitar el
consentimiento. Ya.
Perfecto.
Sí, quiero que se queden con que el
consentimiento siempre se puede usar. E
el esta apertura, ¿verdad?, de bases de
licitud no nos obliga a elegir la mejor
base de licitud. En el fondo puede ser
el consentimiento o cualquiera de estas
otras. No es que tenga una te proteja
más que otra, sino que exa mis valor,
evidentemente desde la asesoría uno va a
tratar de recomendarle al cliente cuál
es la que uno considera más apropiada,
pero incluso si hubiera un cliente más
conservador que me diga, "No me
interesa, quiero igual pedir el
consentimiento." Lo pueden hacer y eso
va a ser eh totalmente lícito.
Oye, Javiera, quiero saber por temas
prácticos, ¿cuánto nos queda de
presentación? Porque estamos para saber
cuánto interrumpirte. No te interrumpo
más. Voy a ir, voy a ir más rápido. Voy
a ir más rápido.
Eh,
a mí me gusta harto hacer este ejercicio
de, "Okay, esta es la obligación, pero
¿cómo me impacta? ¿Cómo me pega en la
práctica?" Las bases de licitud nos
obligan
a ir a clasificar los datos que tenemos,
eh, así, a ir a hacer un inventario de
los datos personales que tenemos, porque
para poder ponerle un sombrero
necesitamos saber qué es lo que tengo,
¿cierto? Eh, y en general eso se hace a
través de un documento, un instrumento
que se llama el RAT, el registro de
actividades de tratamiento, que no es
una obligación tenerlo bajo esta ley si
lo es bajo GDPR, pero sí es una práctica
recomendada porque un poco te te ordena
la casa, ¿cierto? Y te permite tener un
mapa de qué es aquello que tengo y por
lo tanto eh ir a e conectar esos
tratamientos con una base de lícito
adecuada. Tengo que además identificar
las categorías especiales de datos, lo
que hablábamos. Tengo datos de menores,
tengo datos sensibles, tengo datos de
salud, eh tengo datos biométricos,
estoy, por ejemplo, usando eh sistemas
de biométrico para el sistemas
biométricos para el registro de
asistencia.
Asistencia
muy común hoy día. Eh
ahí eh en el fondo la ley solamente nos
dice usted va a poder tratar los datos
biométricos cuando lo autorice la ley o
con el consentimiento del titular.
Entonces ahí se nos achican las bases de
licitud y por eso les decía que son
tipos de datos que tienen una regulación
más estricta.
Y bueno, lo que estábamos hablando,
¿cierto? El consentimiento tiene nuevos
requisitos y la dificultad en particular
eh de cumplir con el con la libertad del
consentimiento que que en mi opinión
puede verse cuestionada en muchos
escenarios.
Quiero pasar esto rápido, pero estas son
las obligaciones más importantes que
tiene el responsable, su empresa. Ya
esta ley le hace un guiño a el
compliance y obliga en general a que las
empresas más que preocuparse de una
manera reactiva, se estén preocupando de
una manera preventiva. Estas dos
obligaciones en particular están muy
relacionadas con eso. Así como existen
las evaluaciones de impacto en el medio
ambiente, ¿verdad?, con la que ustedes
probablemente están muy familiarizados,
van a existir las obligaciones de
impacto en privacidad para todos
aquellos proyectos, soluciones,
¿verdad?, ideas que tengan sobre la mesa
que impliquen un riesgo eh hacia los
titulares de los datos personales cuyos
datos se van a tratar en virtud de ese
proyecto, ¿verdad? Se va a tener que
llevar a cabo una evaluación de impacto
en privacidad. Para eso hay eh modelos,
¿verdad?, templates y la agencia bien
podría tocarnos la puerta y decirnos,
"Me parece extraordinaria la solución,
¿verdad?, eh, que sacó al mercado.
Muéstreme
cómo evaluó
el impacto a la privacidad de los
titulares que podía tener este proyecto.
La privacidad por diseño y las
evaluaciones de impacto son un poco la
madre, ¿verdad?, de de las evaluaciones,
perdón, la privacidad por diseño y por
defecto, que es la la validación que
está arriba, es un poco la madre de las
evaluaciones de impacto, porque en
estricto rigor es una obligación que nos
obliga a pensar en la privacidad desde
el diseño, desde la arquitectura, desde
la generación de una idea, nos obliga a
hacer el check de cumplimiento
regulatorio. Nos pasa con mucha
frecuencia que clientes nos dicen, las
fiscalías, ¿cierto? las gerencias
legales nos dicen, el equipo de
tecnología llegó a preguntarme si esto
era legal cuando ya estaba contratado,
cuando ya estaba aprobado el
presupuesto, cuando estaba contratado el
proveedor, ¿verdad? Cuando ya tenían eh
el equipo casi
subiéndose las mangas para ponerse a
trabajar. Eh, y lo cierto es que este
proyecto implica muchos riesgos en el
tratamiento de datos personales.
Eso es lo que obliga o o o
trata de resguardar, ¿verdad?, La
privacidad por diseño y por defecto
deberían ser directrices dentro de la
empresa que nos obliguen a pensar en el
cumplimiento de la regulación de
privacidad desde el principio, ¿ya? Y
por defecto es tratando de recolectar la
menor cantidad de datos personales que
sean posibles.
Lo que decía
para evitar problemas, que ahora yo no
pediría nada, pues para evitar cualquier
problema.
Exactamente. Exactamente. Entonces,
enfoque proactivo, no un enfoque
reactivo, no las cajas prechequeadas.
Este es un ejemplo, pero es un ejemplo
de Privacy by design. las típicas cajas
prechequeadas, los checkbox que a veces
vienen con la flechita marcada,
ese sería una forma de implementar el
consentimiento que no cumple con la
obligación de privacidad por diseño,
porque ahí tú estás predisponiendo,
¿verdad?, al titular a que tásitamente
eh haya aceptado, ¿verdad?, el
tratamiento de sus datos personales. La
privacidad por diseño me obliga a que el
titular lea y a que yo lo implemente de
una manera tal, ¿verdad?, que obligue a
la manifestación del consentimiento de
manera inequívoca. Perfecto. No a pedir
más datos de los que necesito.
Privacidad por defecto. Política de
privacidad por diseño es la forma en que
las empresas en a través de la normativa
interna, ¿cierto?, deberían ser capaces
de cumplir. Y el PIA es son las siglas
en inglés de la evaluación de impacto en
privacy impact assessment. Necesitamos
tener un modelo de privacy impact
assessment porque además el no haber
hecho un privacy impact assessment
cuando deberíamos haberlo hecho va a
gatillar una infracción gravísima a esta
ley.
Gravísima con multas de hasta 20000 UTM.
deber de seguridad.
Otra confusión que hay muy seguidamente
en esta regulación es
nosotros, yo creo que estamos super bien
en la empresa porque tenemos un equipo
de seguridad la información
extraordinario. ISO 27,000 e todas las
medidas de seguridad nos asesoramos,
¿verdad?, con los expertos eh en
ciberseguridad eh de Israel, etcétera.
Estándares elevadísimos de seguridad.
Esta regulación tiene obligaciones
asociadas a el cómo debo cuidar los
datos personales. Evidentemente el mundo
de seguridad es más amplio que es más
amplio que es
eh y evidentemente deberíamos
preocuparnos de que sean coherentes,
¿cierto? Esta obligación nos eh esta
regulación nos obliga a implementar
medidas de seguridad técnicas y
organizativas, ¿verdad? Y la ley da
ciertos parámetros, ciertos criterios de
cómo es que me debo comportar cuidando
los datos personales dependiendo de la
naturaleza de los datos que tengo. No es
lo mismo una clínica, ¿verdad?, que un
negocio de la esquina que puede tener
alguna suerte de datos personales,
¿verdad? Pero no de la sensibilidad ni
con el volumen de los que tiene una
clínica.
eh la naturaleza de los propósitos de
uso, los el volumen de datos que tengo,
etcétera. Entonces, da ciertos
parámetros para que la empresa tome
decisiones de, okay, estas son las
medidas de seguridad adecuadas.
Perfecto.
En el mundo de la seguridad y la
ciberseguridad no estamos obligados a
ser infranqueabbles, estamos obligados a
tener la casa debidamente resguardada,
¿cierto? Nadie está libre de ser víctima
de un ciberataque e o de un incidente de
seguridad. Incluso lo importante es que
podamos demostrar a la autoridad es que
a pesar de yo haber sufrido un incidente
de seguridad, ¿verdad?, yo tenía mi casa
bien resguardada.
Ya,
perfecto.
Nadie está obligado a lo imposible,
decimos en derecho. Eh, y otra de las
obligaciones bien importantes es la
nueva obligación de reporte de
vulneraciones de seguridad de incidentes
de seguridad a la Agencia de Protección
de Datos. Vamos a tener que acusarnos.
Cuando suframos un incidente de
seguridad que afecte datos personales,
tenemos que ir a notificar ese incidente
a la agencia. Sufrimos un incidente de
seguridad. Incluso en algunas
circunstancias, cuando los datos
afectados sean datos de menores, datos
sensibles o datos financieros,
tenemos que ir a avisarle a todos los
titulares afectados.
Parecido a lo que pasa hoy día en la
industria financiera, ¿cierto? Eh,
tenemos que ir a a a acusarnos en el
fondo eh de que sufrimos un un incidente
de seguridad a cada uno de los
titulares. ¿Y qué se entiende por
incidente de seguridad? Porque, por
ejemplo, si yo tengo un trabajador que a
pesar de haber hecho todos los las
charlas y toda la cuestión, pasa la base
de datos o intencionalmente o
ya sin ninguna duda, un incidente
seguridad, pero en general
porque suena como ciberataque, pero no
necesariamente,
no necesariamente. Sí, al final es
cualquier incidente, cualquier
vulnerabilidad que pueda afectar la
confidencialidad, la integridad,
¿verdad?, de los datos e eh y y en ese
sentido una filtración de datos, por
ejemplo, es un incidente de seguridad,
sin ninguna duda, pero que tenga la
potencialidad de afectar datos
personales. Eso es lo importante bajo
esta regulación, ¿no? Bajo la regulación
de de ciberseguridad propiamente tal,
¿cierto?
Eh, ¿y cómo debo reportar? Bueno, la ley
también nos enseña eso, ¿cierto? Hay
ciertas contenido mínimo que vamos a
tener que informar a la futura agencia
de protección de datos.
Pero, ¿a quién debe reportar? Bueno, a
los titulares
en algunas circunstancias y a la Agencia
de Protección de Datos. Sí.
Agencia.
Eh, y además hay que ir actualizando ese
reporte aquí.
Ah, ¿cómo va avanzando este?
¿Cómo va avanzando? ¿Cómo lo voy a cómo
lo voy solucionando? ¿Verdad?
Evidentemente en estas materias la
empresa va a tener va a ir obteniendo
información a medida que avance la
investigación. Yo al principio y
probablemente eh puedan pasar días sin
que se la empresa se entere de que sufre
un incidente de seguridad. Sí. Eh, y en
ese sentido esta ley es muy buena porque
habla de sin dilaciones indebidas. Yo
tengo que notificar tan pronto tome
conocimiento.
Ya. Eh, y desde allí y una vez que
empieza la investigación, ¿verdad?,
tengo que ir actualizando a la autoridad
eh en cuanto a e cómo eh voy
entendiendo, ¿verdad?, qué datos se
afectaron, qué titular se afectaron, con
qué magnitud, ¿verdad?, y cómo lo
soluciona.
Entonces, acá muy importante de que la
prueba es de cargo del responsable. Esto
pasa en todas las obligaciones de esta
ley. Es deber de ustedes, de las
empresas, el ir a acreditar que estaban
en cumplimiento, no al revés, como
ocurría con la ley anterior, con la ley
actual. ¿Ya? Entonces, eh es muy
importante que busquemos en el fondo la
forma de acreditar, de documentar, de
tener una normativa interna, porque va a
ser la forma en que podamos demostrar,
¿verdad?, el cumplimiento. Trabajo
coordinado con con TI, con seguridad,
sin ninguna duda. Es más o menos obvio,
¿verdad? tener un protocolo de
notificación de brechas eh y y de
documentación de seguimiento de la
investigación, obligaciones de
notificación múltiples. Algunos de
ustedes eh probablemente se van a
enfrentar o o han sido, verdad,
catalogados como servicios esenciales o
como operadores de importancia vital
bajo la ley. Marco de ciberseguridad,
que gatilla la obligación de notificar a
la ANSI, a la Agencia Nacional de
Ciberseguridad. Pero por otro lado tengo
la ley de protección de datos, ¿verdad?,
que me obligaron a notificar a la
Agencia de Protección de Datos.
Entonces, al igual que en otras
industrias como la industria financiera,
donde incluso puedo tener un tercer eh
una una tercera autoridad a quien debo
notificar,
vamos a tener que hacer coherentes,
¿verdad?, los protocolos y las políticas
internas para que me permitan cumplir
con todas las regulaciones aplicables.
Derechos arco son los derechos del
titular, eh, que en realidad bajo la ley
actual se llaman derechos ARSOP, porque
la cancelación se cambió por la
supresión. Eh, básicamente acá quiero
que se queden con la idea de que un
titular nos puede tocar la puerta para
pedirnos una infinidad de cosas. nos
puede pedir eh cuál es la información
que tenemos respecto de él, nos puede
pedir una copia de esa información, nos
puede pedir que nos que dejemos de
realizar ciertas actividades de
tratamiento de datos en ciertas
circunstancias, nos puede pedir que
modifiquemos sus datos si es que están
desactualizados, incompletos, etcétera.
Y tenemos 30 días curridos para cumplir.
Entonces, si no tenemos ordenada la
casa, es bien poco probable que podamos
cumplir en ese plazo, ¿cierto? Eh, el
derecho a la portabilidad es un derecho
que también se se importa de Europa y
que busca precisamente o que buscaba,
¿verdad?, el el controlar un poquito la
información, la gran cantidad de
información que le estábamos dando a las
redes sociales, eh, y y un poco las eh
dificultades en la competencia también
que eso generaba. Eh, y por lo tanto hoy
día deberíamos poder ser capaces como
empresa de si llega un cliente a
decirnos,
quiero que me pase toda mi información
porque me voy a ir a o quiero pedirle
una cotización a la inmobiliaria B,
¿verdad? Deberíamos ser capaces de
hacerlo y entregárselo en un formato
interoperable.
Y ahí está obligado la empresa a hacer
lo que yo le diga como titular. Sí, hay
ciertas excepciones, evidentemente,
pero por reg
por regla general sí, estos son derechos
irrenunciables, son derechos
intransferibles, no se pueden limitar de
ninguna forma.
Ya,
eso es importante.
Sí.
Entonces, importante tener un protocolo
de respuesta a derechos arco de
clientes, de trabajadores, de
proveedores, de todos los silos de
titulares cuyos datos estamos tratando,
¿cierto? Conocer, clasificar y
administrar eficazmente nuestras bases
de datos, herramientas de autogestión de
datos. No sé si han visto las eh estas
famosas como paneles de autogestión de
datos que a veces se están ocupando
principalmente con las cookies en
páginas web donde uno puede ir,
¿verdad?, eh ejerciendo ciertas acciones
o clasificando en el fondo cuáles
cookies permite, cuáles cookies no. Esos
paneles también se están utilizando
harto en en la gestión de derechos arco.
Eh, y bueno, es una herramienta más
sofisticada, pero es es un es una
alternativa. Y mecanismos de
autenticación, super importante. Cuando
llega un cliente a pedir información,
tenemos que asegurarnos de que ese
cliente es quien dice ser, ¿verdad? Y
que no es
su ex eh marido, ¿verdad? que quiere
saber cuántos eh de cuánto está ganando
exactamente o cuántos departamentos
compró en el proyecto inmobiliario su
marido.
Eh, entonces super importante eh en los
mecanismos de autenticación
y esos 30 días corridos que tenía Javi.
Sí, ahí me pasé ahí
en la anterior.
30 días corridos para responder.
Ah, ya.
A cualquier solicitud de derechos arco.
Ya. Y eso se puede prorrogar por otros
30 días, pero no más de una vez. Esto
como una ley de transparencia, pero ya
para las empresas.
Sesión comunicación y transferencia
internacional. Ya les adelanté más o
menos de qué va, ¿cierto? Eh, la ley nos
obliga a firmar un data, un data
transfer agreement o una sesión de datos
personales cuando le entreguemos datos
personales a otros responsable. nos
obliga a firmar un mandato para el
tratamiento de datos cuando le
entreguemos los datos personales a un
mandatario. Y les voy a explicar un
poquito más de eso a propósito de los
proveedores. Y cuando enviemos datos
fuera de Chile, primero identificarlo,
evidentemente, y luego eh saber cuál es
el fundamento legal que podemos utilizar
en esos casos. Identificación,
data transfer agreement, gestión de
proveedores, los data processing
agreement, que se los voy a comentar,
identificación de las transferencias
internacionales y las normas
corporativas vinculantes son estos
documentos que les digo va a tener que
emitir la Agencia de Protección de Datos
para que podamos justificar esa
transferencia cuando se cuando ocurra eh
dentro de empresas de un mismo grupo
económico.
obligación de de información y
transparencia se las quise comentar
porque son las famosas políticas de
privacidad, que en realidad más que
políticas de privacidad son avisos de
privacidad. La ley me obliga a tener
permanentemente publicados ya
eh los avisos de privacidad con un
contenido
bien exhaustivo. ¿Qué datos trato? ¿Para
qué los trato? ¿A quién se los estoy
comunicando? ¿A quién se los estoy
transfiriendo? ¿Cómo los estoy cuidando?
si es que estoy haciendo tratamiento
automatizado de datos, si es que estoy
haciendo tratamiento de datos sensibles
y lo más importante y más difícil, ¿cuál
es la base de licitud que estoy
utilizando para todos esos tratamientos?
¿Ya? Eh, entonces al final es como un un
este instrumento busca recolectar,
muéstrame cómo estás cumpliendo con
todas las obligaciones de la ley. Y eso
lo tengo que tener permanentemente
publicado, ¿verdad? en mi página web en
el caso de clientes o en mi intranet en
el caso de trabajadores o incluso en el
caso de proveedores, ¿verdad? Dentro de
este set de documentos que enviemos a
los proveedores al momento de eh
evaluarlos, por ejemplo,
disponibilizar los textos actualizados,
modificar las políticas actuales. En
Chile va a pasar lo mismo que pasó en
Europa, que hubo una ola de
actualizaciones el 30 de noviembre,
¿verdad? eh del del 2000 del 2026 va a
pasar, nos va a llegar un montón de
requerimientos de actualización de
acepte, ¿verdad?, nuestra nueva política
de privacidad, nuestro nuevo aviso de
privacidad, porque sin ninguna duda hay
harta más información que entregar que
aquella que nos exigía la ley actual y
registros de las versiones aceptadas. Si
nos estamos basando en el
consentimiento,
necesitamos saber cuál es la versión de
esa política de privacidad que el
cliente me aceptó para poder saber cuál
es mi juego de piernas,
cuáles son los propósitos que me aceptó.
cuáles son las condiciones. Entonces, el
registro de las versiones es s super
importante cuando estamos hablando del
consentimiento.
Respecto al consentimiento, que ya estoy
un poco pegada con eso, pero si eh o
sea, se va a dar que si yo tengo el
consentimiento de cliente, etcétera,
antes de la ley, eh, y la ley me me
exige ciertas cosas, voy a tener que
actualizar esos consentimientos.
Sin ninguna duda.
Ya. Sí.
Harta pega.
Es harta [risas] pega. nuestra relación
con los proveedores. Bueno, les decía,
primero tenemos que ir a identificar
todos nuestros proveedores que tengan
acceso a datos personales de la empresa.
Ya. La primera y obligación más
importante es tener un mandato para el
tratamiento de datos, que puede ser una
cláusula cuando estemos hablando de
proveedores no críticos, ya,
pero en general y ojalá sea un anexo al
contrato de prestación de servicios
cuando estemos hablando de proveedores
críticos que tengan acceso a grandes
volúmenes de datos de la compañía,
¿verdad?, o a datos sensibles de la
compañía como un proveedor, por ejemplo,
de un la solución de tecnología para
recursos humanos. Ya. Eh, ese sin
ninguna duda es un proveedor crítico. Y
en ese data processing agreement o
mandato para el tratamiento de datos, lo
mínimo que tenemos que establecer son
las instrucciones del tratamiento de
datos. Ese proveedor no puede usar los
datos para
una cosa distinta que aquella que yo le
instruí y le permití. Ya, las medidas de
seguridad, cómo ese proveedor debe
cuidar mis datos personales o los datos
personales respecto de los cuales yo
tengo control, las obligaciones de
notificación de brecha. Si ese proveedor
sufre un incidente de seguridad, yo voy
a estar obligado a ir a notificar a la
agencia porque yo soy el responsable de
esos datos. ¿Ya? Entonces,
contractualmente tengo que establecer la
obligación de que ese proveedor me avise
tan pronto como pueda que sufrió un
incidente de seguridad. las obligaciones
de de eliminación al finalizar la
relación contractual. Pasa mucho y
también tradición histórica criolla,
¿verdad? Eh, que en general los
proveedores se quedaban con los datos de
sus clientes y que luego los utilizaban
para fines distintos. Debe establecerse
en el mandato que ese proveedor tiene
que eliminar los datos por si el
contrato termina por cualquier motivo.
Entonces, bueno, aquí voy a abarcar una
de las preguntas que que teníamos para
el final, pero está adoc. Ahora me
preguntaban qué requisitos de
consentimiento y documentación aplican
cuando se transfieren bases de datos a
tercero. Y ahí me ponen como ejemplo
los broker, las empresas de estudio de
crédito, las eh encuestas que se hacen
muchas encuestas de satisfacción a
cliente o marketing general. Todas estas
tú cuando está todo lo que señalaste es
aplicable a este tipo de servicios
100%. Pero ahí hay que ir a identificar
ya
cuándo estoy transfiriendo en calidad de
mandatario,
cuando estoy comunicando el dato a otro
en calidad de mandatario, como podría
ser el de la encuesta de satisfacción,
por ejemplo, ¿cierto? Que tratan el dato
porque me están prestando un servicio a
mí, no deberían quedarse con esos datos
ellos.
Eh, ¿y cuándo estoy entregando ese dato
a un tercero en calidad de responsable?
Porque de allí nacen obligaciones
distintas, como podría ser un broker,
por ejemplo. Estoy estoy pensando en voz
alta, pero pero en el fondo hay que ir a
identificar cuál es la naturaleza
jurídica de ese flujo de datos. Ya. Ya.
Si es una sesión, tengo que firmar una
sesión de datos personales,
para lo cual tengo que preocuparme
primero de tener yo una base de licitud
suficiente para poder ceder ese dato. O
el consentimiento o la autorización
legal o incluso el cumplimiento de un
contrato. Me habilitan a ceder.
Perfecto.
Esa ese esa sesión de datos personales,
ese contrato de sesión o esa data
transfer agreement, además tiene que
establecer los propósitos de uso eh que
están autorizados en esa sesión, ¿ya?
Eh, y una serie de cosas más, pero eso
al final es un contrato, ¿ya? Es un
documento que la ley nos obliga a
celebrar entre el cedente y el
sesionario. Ya. Cuando hablamos de mi
proveedor o de un tercero que actúa como
mi mandatario,
lo que hay que firmar es lo que acabo de
decir,
el mandato para el tratamiento de dato,
que puede ser una cláusula del contrato
o un anexo al contrato de trabajo o
incluso un instrumento separado, eh, que
establezca en el fondo cuáles son las
condiciones, cuál es el rayado de cancha
que tiene ese proveedor para tratar mis
datos personales. Ya. Los ejemplos que
me diste, eh, Cami, eran el broker,
broker, eh, empresa de estudios de
crédito, encuestas o marketing.
Ya los tres últimos, yo diría que muy
probablemente van a actuar como
mandatarios. Va a depender, esto es
principio de la realidad, va a depender
de las circunstancias, pero pero muy
probablemente los tres últimos actúen
como mandatario y yo creo que el broker
actúa como como responsable
independiente y por lo tanto ahí hay una
sesión.
Perfecto, gracias.
Algo muy bien importante que me interesa
comentarles, eh, y y en el fondo para
que nos tomemos en serio esta obligación
de tener un mandato para el tratamiento
de datos, ¿cuál es el régimen de
responsabilidad? Ya, el cómo responde
ese proveedor,
si
el fondo se se se
escapa, ¿verdad?,
de las instrucciones que le dimos para
tratar esos datos y trata los datos para
un propósito que no fue autorizado.
Si actúa fuera de los límites de ese
mandato, aplicando también las reglas
generales del mandato, ese proveedor va
a ser responsable directo, responsable
personalmente por las infracciones a la
ley. Ya.
Ya. Y para esos tratamientos que haga
fuera del rayado cancha actúa como un
responsable para todos los efectos. Ya,
pero respecto de los daños que esa
infracción pueda generarle a los
titulares, vamos a responder
solidariamente,
¿ya?
Ya. Proveedor y empresa que contrata
frente a ese titular. Entonces, es super
importante que nos preocupemos de tener
mandatos para el tratamiento de datos
que establezcan, verdad, obligaciones de
compensación o de repetición en el
evento de que yo tenga que
responsablemente, ¿verdad?, asumir un
daño frente a un titular por la culpa de
mi proveedor. Ese proveedor tiene que
estar obligado de alguna manera a
responderme contractualmente.
Eh, y eso es s super importante que que
lo tengan en consideración, sobre todo
los abogados.
Eso está bueno. Es que eso, ojo, para
todos mis colegas de fiscalías cuando
hagan los contratos con los proveedores.
Ese es un muy buen tip.
Exactamente. Exactamente. Protección de
datos en el ambiente laboral. Bueno,
también se los quise comentar porque
porque sé que hay muchas empresas
business to business. Entonces, con los
trabajadores pasa algo bien curioso, que
por un lado son titulares de datos,
¿ya? Eh, pero por otro lado también son
representantes de la empresa, entonces
tienen
eh un poco este este
esta dualidad, ¿verdad? esta relación
ambivalente. Por un lado, yo tengo que
preocuparme de cumplir con la ley para
el tratamiento de datos que hago
respecto de mis trabajadores en tanto
titulares y por otro lado, tengo que
enseñarle a mis trabajadores en tanto
subordinados o representantes de la
empresa a tratar los datos personales de
la forma legal o con las directrices que
establezca la empresa. ¿Se entiende?
Que me ayuden a cumplir en el fondo. Eh,
entonces son dos estatutos protectores,
además acá aplica también el derecho
laboral y la protección de datos. el
trabajador como titular de datos, cuáles
son eh eh cuál es la base de licitud
y ahí va a depender de el propósito del
uso. Si ustedes me dicen, "Yo trato los
datos personales para pagarle el sueldo
todos los meses a mis trabajadores."
Cumplimiento de un contrato. Si ustedes
me dicen para enviar, ¿verdad?, sus
cotizaciones eh previsionales o de salud
todos los meses, cumplimiento de una
obligación legal. Si ustedes me dicen,
"Porque los quiero invitar a un evento
corporativo, ¿verdad?, a fin de año,
yo creo que no nos queda otra que el
consentimiento. Ya. Entonces, va a
depender del propósito de uso la eh eh
de nuevo el fundamento legal o la base
de licitud que tengamos, pero sí o sí
para nuestros trabajadores tenemos que
tener un aviso de privacidad que esté
permanentemente publicado en la
intranet. Y acá aumenta también la
importancia del reglamento interno de
orden higiene y seguridad porque es el
instrumento al cual a través del cual
deberíamos enseñarle a nuestros
trabajadores a cómo se deben comportar
en representación de la empresa. Ya eh
el otro rol, digamos. Y además el Ríos
tiene que recoger la obligación de
cumplir con el programa de cumplimiento
o la o el modelo de prevención de
infracciones si es que la empresa decide
tenerlo. Ya es uno de los requisitos
para que se certifique ese programa ante
la agencia. trabajador como subordinado,
obligaciones de seguridad, las políticas
y los procedimientos, ¿verdad? Sobre
todo en seguridad la información,
capacitaciones, tenemos el deber de
capacitar a nuestros trabajadores en
esta regulación,
las obligaciones en los contratos de
trabajo y en el Ríos. Ya, eso es la son
los controles usuales a través de los
cuales yo tengo que enseñarle a mis
trabajadores a compórtese como la
empresa decidió que se iba a comportar
en el tratamiento de los datos
personales de clientes, de otros
trabajadores o de proveedores incluso.
Y aquí es son ejemplos, ¿cierto?, de de
bases de licitud y de distintos eh tipos
de tratamiento de datos en el mundo
laboral que son los más comunes.
Obligación legal, tramitación de
licencias, eh autoridades impositivas,
¿verdad? a los beneficios por las cargas
familiares e el contrato
Europa la mayoría, porque la mayoría del
en Europa ya está bien zanjado que la
mayoría del tratamiento de datos de
trabajadores puede vivir bajo el
contrato. Los datos de geolocalización
pueden ser parte del cumplimiento de una
validación contractual, ¿verdad? Eh, o
incluso el la transferencia de datos
dentro de un grupo empresarial. Las las
evaluaciones de desempeño también pueden
ser parte de el cumplimiento del
contrato
en consentimiento. Las pruebas
psicológicas, los datos biométricos,
¿verdad? Porque son datos sensibles.
Eh, los eh los los datos del del
artículo 10, que eran los que era el
artículo anterior que regulaba los datos
sensibles, los síntomas del COVID,
ejemplos, ¿cierto? eh los sistemas de
ingreso en general, en tanto sean datos
sensibles, muy probablemente vamos a
tener que ir a recoger el consentimiento
y el interés legítimo, la prevención de
fraude, la ciberseguridad, las cámaras
de de los circuitos cerrados de
televisión.
Y por último, con esto termino, eh la
autoridad de control. Hasta hoy día no
teníamos una autoridad especializada,
fiscalizadora, ¿verdad?, de estas
materias. nace, se crea la Agencia de
Protección de Datos Personales, que como
les digo, debería estar constituida en
noviembre del próximo año, que va a
tener facultades bien amplias, eh va a
poder impartir instrucciones generales,
evidentemente interpretar la regulación,
fiscalizar el cumplimiento y va a tener
facultades sancionatorias, por lo tanto,
puede, verdad, eh determinar y ejecutar
infracciones y cursar multas. Ya,
evidentemente ahí se abre todo un
procedimiento, ¿verdad?, de apelación
frente a la misma agencia en una primera
instancia y luego hay instancias
posteriores, pero va a ser una autoridad
que puede multar.
Quiero que se queden con eso.
Y estas son las sanciones. La ley
establece un catálogo de infracciones
leves, graves y gravísimas, ¿verdad? Las
gravísimas pueden llegar hasta cerca de
,illón y medio de dólar. Si cometemos la
misma infracción en un periodo de eh 30
meses, esa multa puede triplicarse o
incluso puede llegar a ser hasta el 4%
de los ingresos anuales de una empresa.
Ingresos, no utilidades, ingresos por
venta de eh productos o prestación de
servicio. Es tremendamente estricta este
catálogo de sanciones. Por supuesto que
a mí me gusta bien poner la pelota en el
piso. La industria en la que nos estamos
a la que nos estamos dirigiendo hoy día
no debería ser
las de las industrias en la primera
línea de fiscalización, ¿verdad? E la
industria de la salud está mucho más
expuesta a la industria financiera,
¿verdad? La industria del retail. Eh,
sin embargo, con estas multas bien vale
la pena el hacerse cargo, ¿verdad?, con
un periodo de anticipación adecuado y al
menos tener un baseline de controles
mínimos, ¿verdad? de cumplimiento que
nos permitan enfrentar la entrada en
vigencia a la ley
con cierta tranquilidad de de un nivel
de cumplimiento adecuado.
Perfecto.
Y este Registro Nacional de Sanes y
Cumplimiento va a ser público. Sí,
es como la deuda de los gastos comunes,
como que
no no no sabemos aún cuál va a ser el
contenido específico, eh, pero sí es un
registro público, por lo tanto, los
sancionados deberían vivir allí en ese
registro e y por lo tanto también hay
altos temas reputacionales en juego.
Perfecto. Oye, eh, estamos en tiempo,
pero no puedo terminar sin hacerte estas
preguntas,
por supuesto. Mira, eh, ¿qué pasa con,
pongamos el caso de un socio que le
dijeron, "Oye, escucha este webinar y
dice, ¿qué es esto? ¿Qué hago ahora?"
Como no tenía conocimiento de que se
viene esta ley, que ya está publicada en
el diario oficial, etcétera, pero que
falta entrada en vigencia. ¿Cómo se
puede eh afrontar a desarrollar un
compliance en relación a esta materia?
¿Cuáles son los elementos esenciales que
se tiene que que fijar?
Hay hartas capas eh de la forma en que
podemos enfrentar el desafío de
adecuación, de implementación, ¿verdad?
Hay empresas que les interesa tener un
levantamiento de información bien
exhaustivo y conocer como su estado de
salud de manera bien detallada y en
general
para poder armar un plan de acción super
ajustado y super adecuado a la realidad,
¿verdad? Y en esos casos hacemos
proyectos de diagnóstico, ¿verdad? Donde
levantamos toda la información, hablamos
con todos los stakeholders, ¿verdad? eh
identificado en las distintas áreas de
la compañía, hacemos un informe de
brechas, ¿verdad? Un un ejemplo, un un
ejercicio que probablemente muchos de
ustedes están familiarizados, plan de
acción, implementación del plan de
acción. Pero hay muchas empresas y asumo
que muchos de los asistentes a este
webinar están en esa situación que
dicen, "Mira, ¿sabes qué? No sé si me
interesa tomarme 6 meses levantando
información porque sé que no tengo nada,
sé que estoy en incumplimiento. Y en
esos casos, sobre todo en la industria
B2B, con la experiencia que tenemos,
sabemos cuáles son los controles
esenciales y en esos casos a nosotros,
por lo menos, nos gusta como empecemos a
implementar los controles esenciales,
tomemos cierto conocimiento, ¿verdad?,
de las prácticas de los procesos de la
compañía y luego de tener un baseline
mínimo, tal vez podemos hacernos cargo,
¿verdad?, de una bajada un poquito más
profunda e del cumplimiento, pero pero
mi recomendación es
abordar el el mundo laboral. Hay
controles que conocemos, tiene que haber
una política apreciada, tenemos que
modificar el contrato de trabajo,
tenemos que modificar el Ríos, ¿cierto?
Eh, tenemos que identificar los
escenarios donde estamos tratando datos
sensibles, datos biométricos, eh datos
de menor y datos de georreferenciación.
Mundo laboral, mundo de clientes. Si es
que tenemos personas naturales, tenemos
que identificar los puntos de
recolección del consentimiento y los
propósitos de uso. Ponerles el sombrero
a bases de licitud, armar una política
de privacidad adecuada. Ojalá lo más
global o que trate de englobar,
¿verdad?, a la mayor cantidad de
clientes posible.
Mundo de seguridad, política de
seguridad de la información la tenemos
que adecuar a esta nueva regulación,
procedimiento o protocolo de
notificación de incidentes de seguridad.
Tenemos que eh eh adecuarlo, ¿verdad?, a
esta regulación. Mundo de proveedores,
los DPA, ¿cierto? La gestión de
proveedores, el ayudarlos a pensar cómo
identifico un proveedor crítico de un
proveedor no crítico. Todas esas cosas
las podemos hacer desde ya. No
necesitamos tener un un conocimiento tan
exhaustivo de la compañía.
Eh, entonces, en mi opinión, dependiendo
de la empresa y el caso, nos gusta como
enfrentarlo por fases, por estos silos o
por estos, verdad, tipos de eh titulares
dependiendo del riesgo al que se
expongan. Eh, y desde allí empezar a
trabajar también en un set como de
normativa interna que nos deje
tranquilos una política corporativa de
protección de datos, ¿verdad? Y y cómo
puedo linquear este tema del compliance,
que tengo que hacer con todos estos
temas que tú me estás diciendo, con a
quién asigno en mi compañía. ¿Quién debe
hacer eso? Porque no, yo vi la ley así
muy superficialmente, pero me parece que
hay ciertas personas clave en la
compañía para desarrollar estas
funciones.
Sí, sí, es una excelente pregunta, Cami,
porque es un desafío multidisciplinario.
De todas maneras, esta es una regulación
que tiene una parte legal bien
importante, pero tiene aspectos técnicos
muy importantes y tiene
aspectos eh cierto procedimentales,
organizacionales también muy
importantes. Entonces, lo ideal, el
sueño del abogado de privacidad es que
la contraparte sea una mesa, ¿verdad?,
que involucre a los distintos actores de
seguridad, fiscalía, cumplimiento,
¿verdad? Eh, gobierno de datos, si es
que es una empresa que ya tiene
implementado gobierno de datos, eh
recursos humanos, marketing, etcétera, y
conversar con todos y armar los los
controles con todos involucrados. Eh,
pero si no es así, en general las
solicitudes están proviniendo de o los
equipos de compliance que tienen la idea
de armar al final del día un programa de
cumplimiento en privacidad para poder
registrarlo ante la agencia, porque eso
va a servir como una atenuante
responsabilidad
de eh los equipos o las gerencias
legales, ¿verdad?, o las fiscalías, que
son generalmente a los que les llegan
los requerimientos del día a día
o de los equipos de tecnología y
seguridad de la información. Eso estamos
viendo que son como los las áreas
protagonistas, ¿verdad? Pero ojalá
existieran los esfuerzos y y y
pudiéramos, ¿verdad?, llegar a conversar
con esta mesa multidisciplinaria.
Perfecto. Y ahora voy a pasar a dos
preguntas que son bien específicas, eh,
y son propiamente de de empresas eh
inmobiliarias que tienen mucho cliente
de venta de de inmueble.
Persona natural.
Sí, persona natural. ¿En qué momento se
obtiene el consentimiento válido del
cliente? ¿En qué sentido? te lo estoy
preguntando porque estos tienen
distintas interacciones con el cliente.
Parte primero una persona interesada que
va a pedir una cotización, obviamente
que le piden datos para poder mandarle
más información al respecto. Eh, o
cuando se vuelve y después puede pasar
que firme una promesa de compraventa,
después la escritura de compraventa. Eh,
¿cuándo tengo yo que preocuparme de los
datos personales de ese sujeto con el
cual estado interactuando? Porque es
cliente, ¿cuándo? es un cliente que va
que va mutando,
estamos jugando con el cliente y después
firma.
Sí,
en todo momento. Pero mi mi
recomendación específica a esa pregunta
o mi respuesta específica a esa pregunta
sería, primero preocupémonos de tener
una política de privacidad publicada en
la página web
que le informe a sus clientes en todo el
ciclo de vida del cliente cómo tratamos
sus datos. Ya, luego, habiéndonos hecho
cargo de ese primer control, que para mí
es el más importante, porque si tenemos
un cliente que quiera hacer un caso de
laboratorio, lo primero que hay hacer es
ir a mirar la página web de la
inmobiliaria,
¿ya? Y si no tenemos una una política
apreciada ahí publicada, e es mucho más
complejo eh salir jugando.
Luego vamos identificando todos los
momentos de recolección del dato,
¿cierto? Tú me dices, "Llega un cliente,
¿verdad?, a tocarme la puerta al piloto,
por ejemplo, y a pedirme un presupuesto
o a pedirme información respecto al
proyecto inmobiliario.
Salvo que ustedes utilicen los datos
para un fin distinto
de generar esa cotización y generar esa
relación precontractual, yo diría que no
necesitamos levantarle el consentimiento
siguiente porque podríamos fundamentar
ese tratamiento en el cumplimiento de un
contrato, medidas precontractuales
solicitadas por el titular porque fue el
señor que llegó a tocar en la puerta.
Lo mismo en las páginas web, ¿cierto? si
es una solicitud que hace a través de
una página web y solo vamos a utilizar
el dato para enviarle la cotización
pertinente a su correo electrónico y no
estamos pidiéndole datos financieros ni
que acredite su renta ni mucho menos,
solamente le pedimos el correo
electrónico su nombre, por ejemplo.
Yo también pensaría que no necesitamos
el consentimiento, pero si salimos de
esa esfera y van a utilizar los datos
para otros fines, probablemente si
tengamos que poner una glosa de
consentimiento en el formulario,
¿verdad? entrega de los datos o un texto
de autorización de uso de datos en el
formulario web, ¿verdad? A través del
cual ese cliente nos eh pida la
información o nos solicite la
cotización.
Un
poco un poco bien abogada mi respuesta,
pero pero de verdad que depende del
propósito de uso. Eso es lo que manda al
final.
Ya. Oye, y la última pregunta que es muy
propia de eh laboral. Eh, puedo seguir
pidiendo referencias laborales, así como
eh tu exjefe. Quiero saber cómo te
portaste con tu exfe.
Es una muy buena pregunta y yo creo que
es más laboral que de protección de
datos.
Ah, perfecto.
Porque desde la perspectiva de
protección de datos, claro, en tanto ese
postulante, ¿verdad?, me autorice a
llamar a un tercero para solicitar la
información respecto de su
antecedentes o de su desempeño,
¿verdad?, en en en una en una eh trabajo
anterior. Yo diría que en tanto hay una
autorización por parte de ese titular,
no le veo muchos riesgos desde el punto
de vista de protección de datos, más no
me atrevo a decir lo mismo desde el
punto de vista laboral porque lo
desconozco.
Ya, perfecto, gracias, Javiera. Bueno,
con esto terminamos este webinar. Te
agradezco, Javiera, toda la presentación
y tu buena disposición para todas estas
consultas que tenía. Y eh bueno, me
estaban preguntando por WhatsApp si esto
va a quedar grabado. Sí, efectivamente
va a quedar grabado en YouTube, así que
pueden eh acceder a esta a esta
grabación y la presentación la vamos a
disponer a quienes lo necesiten. Así que
muchas gracias por mantenerse
sintonizados y gracias nuevamente
Javiera por toda tu buena disposición.
A ustedes. Muchas gracias.