Implementación Ley de Protección de Datos Personales

Name: Implementación Ley de Protección de Datos Personales
Uploaded: 2026-06-30 16:27:37.901341
Description: Análisis y extracción de conocimiento del video 'Implementación Ley de Protección de Datos Personales'

Hola, buenas tardes. Eh, buenas tardes, socios y socias que nos sintonizan el día de hoy. Hoy vamos a tratar un webinar en la gerencia de asuntos regulatorios propiamente sobre la protección de datos personales y para eso tenemos una super invitada. Tenemos a Javiera Sepúlveda. Ella es abogada de la Pontificia Universidad Católica y tiene un máster en derecho comercial con especialización en derecho informático de la Universidad de Merburg. También ella es sociaídico BITLW, el cual se especializa en derecho, tecnología, privacidad y protección de datos. Y también, bueno, antes trabajó como asociada senior en estas materias, en el estudio jurídico KIP. Entonces, dado la complejidad de estas materias, nosotros invitamos a Javiera para que Javiera pueda hacernos una presentación al respecto, ver las distintas eh alcances, eh obligaciones y responsabilidades quienes tienen datos personales. Y respecto a eso va a exponer Javiera y luego vamos a pasar a las preguntas. Por lo tanto, hay un WhatsApp disponible. Hagan las preguntas al WhatsApp y yo aquí los voy a ir recibiendo. Y también tengo algunas preguntas que ya ciertos socios no nos han transmitido. Así que Javiera, no te quito más tiempo, por favor, si le das con la presentación. Bueno, muchas gracias, Camila, muchas gracias a la Cámara por la invitación. encantada de compartir en esta en este ratito que tenemos eh aquellos aspectos más importantes de esta nueva regulación eh que ha tenido tanta relevancia eh en el país eh por lo complejo de sus obligaciones, por lo técnico de sus obligaciones y también por el eh catálogo de multas que terminó aprobándose en el Congreso Nacional. Así que hoy día vamos a estar conversando un poquito de eh aquellas obligaciones más relevantes y la idea es también llevarlo a la industria, ¿cierto? Eh eh quiero que que participen y que ojalá nos hagan hartas preguntas eh relacionadas, ¿verdad?, con la aplicación de estas obligaciones, específicamente a la industria que nos convoca. Hoy día quiero revisar con ustedes muy brevemente ciertos conceptos básicos de privacidad de esta regulación de protección de datos personales, de qué hablamos cuando hablamos de tratamiento de datos, de qué hablamos cuando hablamos de un dato personal. Hay harto desconocimiento, ¿verdad?, respecto de qué significan en la práctica y cómo bajamos, ¿verdad?, a los impactos operacionales de la compañía eh esta este verbo, ¿verdad?, eh esta actividad regulada que es el tratamiento de los datos personales. Por otra parte, como les dije, les quiero comentar eh de las obligaciones más relevantes para los responsables del dato. Voy a comentarles también quién para esta regulación se entiende como el responsable, como el principal obligado por la ley, que noes son los protagonistas de esta regulación. Quiero comentarles en particular eh porque sé que les interesa la relación que tenemos en el mundo de la protección de datos con nuestros proveedores eh y también con el tratamiento de datos que realizamos respecto de nuestros trabajadores. Sé que los socios, verdad, esta cámara tienen modelos de negocio bien diversos, pero sé que muchos de ustedes, muchas de las empresas de ustedes prestan solamente servicios B2B, ¿cierto? A empresas y por lo tanto existe un cierto mito, ¿verdad?, de yo solamente tengo clientes empresas, a mí esta regulación poco me importa. Vamos a hablar de eso también. Eh, y quiero explicarles en en en ese sentido que también hay ciertos silos de titulares que incluso las empresas B2B van a tener que preocuparse de cumplir con esta regulación. Y finalmente vamos a hablar eh brevemente también de las sanciones eh del catálogo de multas que les dije terminó aprobándose muy muy alto eh y de la nueva autoridad de la Agencia de Protección de Datos Personales, que es una agencia nueva, ¿verdad?, que se crea e que debería estar constituida ya en noviembre del próximo año y que va a comenzar a funcionar una vez que entre en vigencia esta ley, que es el primero de diciembre del 2026. Estamos a casi un año de la entrada en vigencia. ¿Cuáles son estos conceptos fundamentales? Primero quiero explicarles cuál es el panorama regulatorio cuando hablamos de privacidad, cuando hablamos de la protección de los datos personales. Tenemos jerárquicamente, ¿verdad?, arriba el derecho constitucional del 19 número 4, que consagra, verdad, a la privacidad como un derecho fundamental. Y en el 2018 hubo una reforma a este 19 número 4 que reconoció expresamente la protección de los datos personales como una de las derivadas, ¿verdad?, o como una de las ramificaciones de este derecho fundamental a la privacidad. Por lo tanto, cada uno de ustedes, cada uno de nosotros como ciudadanos tenemos derecho a la protección de nuestros datos personales y a que cualquier tratamiento de nuestros datos se haga conforme a la ley. ¿A qué ley? actualmente y todavía me van a escuchar hablar de la ley antigua, de la ley actual, pero lo cierto es que todavía está vigente la ley 19628, que es una ley que data del año 1999, totalmente obsoleta, totalmente desconocida y poco cumplida eh en el país, porque no existía una autoridad a cargo de fiscalizar estas materias, porque la carga de la prueba era para el titular, de ir a un tribunal civil, ¿verdad?, aprobar una infracción a esta ley, pero lo cierto es que en Chile tenemos actualmente una ley de protección de datos y la nueva regulación de protección de datos modifica casi casi esta esta ley 19628. Entonces, vamos a hablar de la nueva ley cuando nos refiriamos a la ley 21719, que es una ley que se aprobó en diciembre del año pasado, que le dio a las empresas y a los órganos públicos, porque esta ley no solo regula a los privados, también regula al mundo público, 2 años de vacancia le llamamos nosotros, ¿verdad? 2 años para que eh las entidades que tratan datos personales, es decir, todos adecuemos, ¿verdad?, a nuestras prácticas, nuestros procesos, nuestra normativa interna, nuestros sistemas, nuestra tecnología a las obligaciones de la nueva regulación de protección de datos personales. Esta nueva ley es una ley que sigue bastante de cerca el reglamento general europeo de protección de datos, que es sin ninguna duda la regulación más estricta que hay en el mundo en materia de datos personales. La gran mayoría de los países de Occidente, incluso también ciertos países de de Asia, ¿verdad?, han modernizado sus regulaciones de protección de datos siguiendo, ¿verdad?, o equiparando el estándar local a este estándar GDPR, al famoso GDPR por sus siglas en inglés. Entonces, evidentemente el GDPR en Europa entró en vigencia el 2018, se había aprobado el 2016, por lo tanto, en Europa pasó lo mismo que está pasando en Chile, que se otorgó a las empresas 2 años para adecuarse y hay bastante cancha recorrida, ¿verdad? Y vamos a tener que sin ninguna duda estar mirando el cómo se han ido interpretando las obligaciones allí, el cómo han estado actuando las autoridades en Europa, cuáles son, verdad, las instituciones de esta ley que han sido más fiscalizadas y que han generado mayores multas. un gran, etcétera. Lo más probable es que nuestra agencia de Protección de Datos esté mirando bastante de cerca lo que hizo la Agencia Española de Protección de Datos por la cercanía, ¿verdad?, de cultura y de idioma y por la cantidad por por la fuerte relación internacional que existe entre ambos países. Además, eh vamos a tener las futuras instrucciones o las directrices de la nueva Agencia de Protección de Datos, que es bien importante. Hay ciertos reglamentos que e que se van a que se deben emitir a propósito de de la promulgación de esta ley, pero además de los reglamentos, eh la Agencia de Protección de Datos va a tener que enseñarnos a cómo es que se deben cumplir o a cómo es que la agencia va a interpretar ciertas instituciones que son, como les digo, que tienen un alto componente técnico. Por lo tanto, eh es bien importante también estar mirando eh el actuar de la agencia en ese sentido. Y finalmente, normas sectoriales, ¿cierto? Eh, en esta industria en particular tal vez no existan tantas, pero en la industria financiera, en la industria de los seguros, ¿verdad?, Hay un montón de normativa sectorial que se refiere, que cruza de alguna manera, que toca el cómo es que las empresas deben resguardar los datos, almacenar los datos, cuidar los datos, incluso tratar los datos personales, para qué fines, con qué propósitos, etcétera. Entonces, tenemos que estar mirando en el fondo todo este panorama a la hora de e interpretar correctamente y determinar cuáles son las obligaciones que le van a pegar a mi empresa en particular. ¿Qué es el tratamiento de datos personales? Esta es la actividad regulada por esta regulación. El dato personal es cualquier información relativa a personas naturales. Por lo tanto, dejamos fuera a todas las empresas, a todas las personas jurídicas, ¿cierto? No están reguladas por esta ley. Identificadas o identificables. Es cualquier pedazo de información, verdadero, falso, objetivo, subjetivo, que se refiere a una persona natural. Mm. Camila Ramos es abogada de la Universidad Católica, Camila Ramos, dato personal, abogada de la Universidad Católica, personal, dato personal y evidentemente todo lo que yo pueda decir de ti porque es información que está dirigida o que está relacionada a una persona natural, ¿cierto? Cuando hablamos de un nombre, ¿verdad?, de un identificador que permite eh identificar directamente, valga la redundancia, de una persona como el root, como un nombre, eh como un teléfono, como un correo electrónico. Este concepto no es tan complejo, parece no ser tan complejo, pero se vuelve complejo cuando nos empezamos a meter en el mundo de la identificabilidad, ¿cierto? Cuando un dato hace identificable a una persona. Y lo cierto es que yo puedo no decirte el nombre de una persona o puedo no decirte el root de una persona, ¿verdad? Pero te puedo entregar pedazos de información que combinados a ti te van a permitir inferir de quién estoy hablando. Y en esos casos eh y hoy día, evidentemente con la gran capacidad que tienen las empresas para procesar, ¿verdad?, eh grandes volúmenes de información y para acceder además a información de distintas fuentes, esa identificabilidad se vuelve más sensible y más fácil, ¿cierto? Entonces, a la hora de cuando lleguemos a determinar, okay, estoy frente a un dato personal o no, vamos a tener que en el fondo evaluar cuáles son los zapatos en que está, ¿verdad?, vestido esta empresa y si es que efectivamente esa empresa con toda la información que tiene tiene la capacidad de identificar a una persona natural. ¿Ya? Entonces, eso es un dato personal, es un espectro bien amplio y las autoridades en general han ido interpretando de manera cada vez más laxa, ¿verdad?, a lo que cae dentro de este saco de los datos personales y por otro lado, el tratamiento, la actividad regulada. Esa no es la definición legal, pero quisiera que se queden con esa idea, pues la definición legal es tremendamente amplia y es una definición que además se repite en todas las legislaciones modernas, pero básicamente el tratamiento es cualquier forma de uso desde que yo almaceno, ¿verdad?, el dato en mis sistemas para fines de backup o para fines de seguridad, ¿cierto? hasta el tratamiento que puedo hacer a través de analítica, ¿verdad?, que me va a permitir inferir el comportamiento de compra de una determinada persona eh de inmuebles en los próximos 10 años. Pero, por ejemplo, ahora me llega una consulta, o sea, un currículum que me llega, yo lo guardo ya al guardarlo es tratamiento de dato personal. Absolutamente, absolutamente. E incluso un currículum puede tener datos sensibles. Tiene lo que decías tú identificarle, ¿sí? No, y además tiene información, ¿verdad?, su experiencia profesional, etcétera. Dentro del mundo de los datos personales, y no vamos a alcanzar a profundizar en esto hoy, pero hablamos del género dato personal y hay distintas especies de datos personales que son especialmente protegidas por esta regulación. están los datos sensibles, que en general son los datos personales que se refieren más a la esfera de la intimidad de una persona, eh o a sus aspectos físicos o morales, como eh el que un trabajador pertenezca a un sindicato, por ejemplo, o el que pertenezca a una asociación gremial, por ejemplo, o sus preferencias religiosas, sus preferencias sexuales, eh sus datos de salud, todo ese mundo más de la esfera de la intimidad de una persona son los datos sensibles. Tenemos los datos de salud, que son una subespecie de datos sensibles, los datos de menores, los datos biométricos, ¿verdad?, que son los rasgos físicos que hacen eh unívocamente identificable una persona, como nuestro iris, nuestra huella, eh nuestra voz, ¿cierto? incluso nuestro caminar puede ser, eh, etcétera. Hay un y los datos de georreferenciación también son una especie de datos personales particularmente protegidos por la ley, entre otros, pero pero esa tendría una regulación más un poquito más estricta, un poquito más estricta y ciertas bases de licitud que se los voy a explicar en un momento, que es aquello eh que se aplican en el fondo de manera limitada a estos tipos eh particulares de datos personales. Perfecto. ¿Quiénes son los protagonistas de esta regulación? El sujeto protegido es el titular, así como en el derecho laboral, ¿verdad? El trabajador, en el mundo de la protección de datos, el sujeto protegido es la persona natural titular. Cada uno de ustedes, cada uno de nosotros somos titulares de datos personal, el cliente de una de una compraventa inmobiliaria, el trabajador de una empresa, ese es el titular. Ese es el titular. Por ejemplo, si yo estoy tratando con un proveedor, ¿cierto?, que es una empresa. Igual estoy haciendo un tratamiento de datos personales de el representante legal de esa empresa, del representante comercial, del ejecutivo comercial, de el ser humano, ¿verdad?, con el que me relaciono en representación de esa persona jurídica. Evidentemente es un tratamiento de datos personales eh menos intensivo, ¿verdad? porque lo hago a propósito de mi relación contractual con esa empresa. Eh, pero igualmente es un tratamiento de datos personales y tenemos que preocuparnos de cumplir eh con las obligaciones establecidas en esta ley. El responsable del tratamiento, que es un pésimo nombre porque para aquellos que estén eh presentes y que son abogados saben que cuando hablamos de responsabilidad en derecho nos imaginamos un gran espectro de verdad de cosas, pero lo cierto es que esta ley lo define como el responsable que es la entidad, persona jurídica, organismo público, ¿verdad? que toma las decisiones de por qué y cómo voy a tratar un dato personal. Cuando ustedes toman la decisión, ustedes empresa, por ejemplo, que trabajan en el departamento de recursos humanos, toman la decisión de pedir los datos personales de los hijos de sus trabajadores, ¿verdad? Para enviarles un regalo a fin de año. Regalo Navidad. Ya. ¿Quién está tomando la decisión? La están tomando ustedes, personas naturales, ¿cierto? Pero lo están haciendo en representación de su empresa, de la compañía. En ese caso, el responsable de cumplir ante la ley es la compañía, es la empresa. Ese es el responsable ante la ley. ¿Ya? Y finalmente, eh el mandatario es otro de los protagonistas y lo menciono, lo vamos a profundizar en un par de slides más, pero el mandatario es quien actúa en representación del responsable y esta figura se da muy comúnmente en los en nuestros proveedores, en el proveedor del payroll, en el proveedor, ¿verdad?, de alguna solución tecnológica que le permita tener acceso a los datos personales de la empresa. Perfecto. Ya. Todos esos eh tratamientos de datos, esas esos terceros, esos proveedores los realizan. Sí. tratan los datos personales de nuestros trabajadores, de nuestros clientes, de nuestros proveedores incluso, pero no lo realizan determinando un fin de manera independiente, lo realizan bajo las instrucciones que yo le estoy dando, porque yo estoy contratando ese servicio, ¿ya? Entonces, en esos casos, la ley nos exige que en esa relación con nuestros proveedores que puedan acceder a mis datos personales, y acá no hay un derecho de propiedad, pero es para que lo entiendan, eh, la ley nos exige, ¿verdad?, que exista un mandato, un data processing agreement, como se llama en en en legislaciones anglosajona. Voy a profundizar en eso más adelante, ¿sí? Porque varias preguntas van en esa línea. Van en esa línea. Perfecto. Algo que quiero desmitificar también es cuál es la verdad, la esfera de todo lo regulado por esta ley. Nos pasa con muchos clientes que nos dicen, "Yo tengo una política de privacidad perfecta, me preocupé, ¿verdad?, con mi equipo de tecnología de tener el checkbox de aceptación de mis clientes, mi página web, mi ecommerce, lo que sea. Entonces, pido el consentimiento, estoy al otro lado. Ese es uno de los momentos que regula esta ley, el cómo recojo el dato o aquello que debo estar cumpliendo cuando recojo el dato. Pero esta ley tiene obligaciones relacionadas con el almacenamiento, cómo debo cuidar el dato, cómo protejo el dato en tanto esté bajo mi custodia, ¿cierto? ¿Cuándo o cómo debo ceder el dato? Se lo debo traspasar a otro responsable. La gran mayoría de las entregas que hacemos a una autoridad, por ejemplo, cuando nos requiere de alguna manera información que contenga datos personales, esa es una sesión de datos personales. O cuando en un grupo económico, por ejemplo, una empresa decide, ¿verdad?, transferir o traspasar bases de datos a otra compañía para que los trate para sus propios fines, no como mandatario mío, para sus propios fines. Eso también es una sesión de datos y eso es algo que no está preliminarmente prohibido, pero se tiene que cumplir con ciertas condiciones, ¿verdad? Tanto en el fondo como en la forma. Entonces, esta ley también nos enseña a cómo es que tenemos que sacar el dato eh para traspasarlo a un tercero, para transferírselo a un tercero. El tratamiento por tercero se refiere a esta figura del mandato que les comentaba. Esta ley lo que hace es hablar de transferencia o sesión cuando el flujo de datos va de responsable a responsable y habla de comunicación cuando el flujo va de responsable a mandatario. Ya. Perfecto. Transferencia internacional nos pasaba con con mucha frecuencia que nos llegaban eh consultas, ¿verdad?, estudios extranjeros eh y nos decían cómo se regula la Transferencia Internacional en Chile. Decíamos, la ley actual dice de la transferencia internacional. Esta ley reconoce por primera vez esta nueva institución de la transferencia internacional que se aplica cuando los datos salen desde Chile hacia el extranjero y eso es super importante entenderlo, ¿no? Cuando recibimos datos, cuando recibimos datos desde el extranjero, pues entonces se deberían aplicar las reglas del país de origen. Ah, mira, ya ya eh esta ley nuevamente y esta es una de las instituciones donde la agencia eh va a tener eh mayor eh urgencia, ¿verdad?, en en hacer las distintas bajadas de los modelos, porque esta ley regula que la Transferencia Internacional está permitida, ¿verdad?, en tanto concurran algunas de las causales, como por ejemplo que esa transferencia sea parte de e un flujo de datos intercompany, ¿verdad?, con mi matriz en el extranjero o con filiales en el extranjero, siempre que se eh celebren las famosas binding corporate rules, ¿ya? eh que son unos modelos de documentos que va a tener que emitir la agencia y que vamos a tener que suscribir o cuando contemos con el consentimiento del cliente, entre otros entre otras casuísticas, entre otros escenarios donde está permitida la transferencia internacional, pero lo primero que tenemos que hacer como empresa es ir a identificar dónde estamos transfiriendo internacionalmente datos. ¿Ya? Y aunque suene como un poco lejano, sí, me suena. Lo cierto es que cualquier servicio de nube que tengamos contratado, ah, ya, muy probablemente va a significar que estamos haciendo una transferencia internacional de datos. ¿Por qué? Porque los servidores, ¿verdad?, de ese servicio de nube muy probablemente estén fuera de Chile. Por lo tanto, significa que los datos están saliendo al extranjero. Entonces, no es un no es una figura tan distante como pareciera. hiciste esa prevención porque para mí habría sido externalizar datos a otro país para que los analicen y no necesariamente así. No necesariamente es así. No necesariamente es así. La preservación y la eliminación están bastante relacionadas, ¿cierto? Pero lo que quiero transmitirles es que esta ley además nos exige que nos hagamos cargo por cuánto tiempo vamos a tener ese dato. Ya. Eh, en estricto rigor uno debería eliminar el dato en tanto cese, en tanto finalice el propósito de uso para el cual recogí el dato originalmente. Acá está en la instancia donde todos nos empiezan a tirar tomates porque nos dicen, "Es imposible eliminar los datos. ¿Cómo sé yo? Si es que no va a venir luego una autoridad, ¿verdad?, a pedirme la información y todo eso es correcto. Tanto así que esta ley equiparó, ¿verdad?, la eliminación con la anonimización. Por lo tanto, no es necesario, en estricto rigor, eliminar el dato, porque sabemos que técnicamente eso hoy día es casi imposible de hacer, pero sí podemos aplicar medidas para que se anonimice el dato, para que los datos personales pasen por un procedimiento que sea irreversible y que permita desconectar ese pedazo de información con la persona natural a quien pertenece o a quien se relaciona. Ya, esa es la anonimización. Eh, ¿y por cuánto tiempo voy a retener el dato? Esta para mí es una de las pegas más difíciles que nos toca hacer a a los profesionales de privacidad, porque para yo poder decirles a ustedes tranquilamente, los datos de sus trabajadores pueden guardarlos por 5 años luego de que terminó la relación laboral, tengo que ir a identificar todas las categorías de datos que existen dentro de la compañía y tengo que ir a identificar todos los propósitos de uso de esos datos dentro de la compañía para luego poder asociarlos con plazos legales de retención que son distintos porque viven en normativas distintas. Eso estaba pensando lo tributario, por ejemplo, general en general van a coincidir con los plazos de prescripción de las acciones. Ya, en general, pero en materia tributaria hay hay eh plazos establecidos en materia laboral, en materia financiera hay plazos distintos. Entonces, tenemos que salir a pescar en el fondo eh los distintos tipos de datos que tenga una empresa, los distintos propósitos de uso y luego de eso armar una política de retención de datos donde vayamos estableciendo plazos de retención. Ya, pero si nosotros tenemos una obligación legal que cumplir y para eso necesitamos retener el dato, tranquilamente pueden retener el dato. No hay un plazo que te ponga la le exista un plazo. La ley no no especifica un plazo. La ley simplemente dice se debería eliminar tan pronto se es el propósito. Eh, como una regla general y uno tiene que ahí empezar a interpretarla. Si es que también como relacionadas a las otras eh responsabilidades que tú mencionabas, eh yo quisiera en términos muy de conservadores, pero mientras menos tengo el dato, menos opciones tengo de que no sé, pues se filtre eso como que está eso. Pero también lo que decís tú, hay que compatibilizarlo con otros eh exigencias de responsabilidad de otras legislaciones. Exactamente. Exactamente. Y en general en Chile, además, tenemos una tradición histórica de tener guardar todo. Absolutamente, [risas] absolutamente. O sea, el 99%, yo diría, de los casos que que hemos estudiado es así. Hay un almacenamiento histórico de la información, porque así se hace. Yo creo que hay una cosa, sí, es una cuestión cultural también. Y si es que en el fondo no hay un almacenamiento digital, están, ¿verdad? la las los backups de de de almacenamiento físico en las empresas de bodega, etcétera. Sí. ¿Qué son las famosas bases de licitud? No quiero ponerme tan jurídica en este webinar, pero sí es muy importante porque esta es la obligación, la primera y la obligación más importante que tenemos que cumplir. Hay una percepción, una equivocada percepción de que esta regulación viene a prohibir el tratamiento de los datos personales y eso no es así. Esta regulación lo que hace es establecer condiciones. La primera condición y la más importante para que podamos tratar un dato personal es contar con un sombrero, le decíamos nosotros. Contar contar con un permiso. Para cada una de las actividades de tratamiento de datos que ustedes realicen, tienen que ir a buscar una base de licitud, un fundamento legal. Ya, ya hasta hoy día en la legislación actual, en la ley actual, teníamos la obligación legal o el consentimiento del titular. No había más que eso. Habían un par de excepciones mal escritas y muy poco probadas en tribunales, pero existían dos. Por lo tanto, o yo necesitaba una autorización legal expresa o una obligación legal que no podía cumplir si no era tratando un dato personal como muchas de las obligaciones laborales, ¿cierto? O bien tenía que necesariamente ir a recoger el consentimiento, ir a pedirle al cliente que aceptara la cajita a la política de privacidad, ir a pedirle al cliente que me firmara el formulario de consentimiento. Y en mi opinión esa es la razón por la que tenemos tan arraigada esta idea de que para todo pedir consentimiento. Ya esta ley abre ese abanico siguiendo también eh eh la la regulación europea, ¿verdad? y establece una un catálogo mucho más amplio de bases de licitud. Estas no son todas, pero sí son las más importantes. El cumplimiento de un contrato. Si yo necesito tratar un dato personal para cumplir con mi obligación contractual o para exigir que mi contraparte cumpla con su obligación contractual, como por ejemplo procesar el pago de un cliente que me está comprando un producto a través de un e-commerce, 100% de obligación contractual, no necesito ir a pedirle permiso para tratar su dato personal. Ya, ese es el cumplimiento del contrato y y en esta industria algo que me parece muy interesante comentar es que el cumplimiento del contrato también se extiende a las negociaciones precontractuales. Ah, ya. Eso es interesante. A eh las instancias donde llega un titular a pedirme una cotización, un presupuesto, ¿verdad? Siempre que sea solicitud de el cliente. Ya. En esos casos, evidentemente, necesito tratar su dato personal, ¿cierto? Necesito conocer su nombre, su correo, probablemente su teléfono. Ojo ahí con el principio de proporcionalidad, probablemente no necesito conocer mucho más que esos datos, eh, pero voy a estar tratando esa información y a lo mejor va a ser un cliente que ni siquiera va a terminar siendo un cliente, ¿verdad?, con un contrato firmado. Eh, entonces esta base de licitud también nos va a ayudar para esas instancias precontractuales. Ya. El interés legítimo es una es una base de licitud que ha sido bien cuestionada en Europa, pero que es necesaria, pues es una base de licitud que nos permite un poco hacer un un balance, ¿verdad? Un test entre el legítimo interés que pueda tener una empresa para tratar un dato personal y cómo estoy afectando, ¿verdad?, la privacidad de esa persona. Ya, el gran ejemplo para esto, para explicárselo de manera más simple, son las cámaras de seguridad o en general el tratamiento de datos para fines de seguridad, donde yo no puedo ir a poner de previo aviso, ¿verdad?, a una persona de lo voy a estar grabando o tengo un guardia, ¿verdad?, en la puerta pidiendo el consentimiento de todas las personas que puedan pasar por debajo de una cámara de seguridad. Entonces, en esas ocasiones se ha entendido, al menos en Europa ya está más o menos consagrado, que en general para los fines de seguridad se puede usar esta base de licitud. Se ha entendido, ¿verdad?, que en esos casos prima el interés legítimo, pero no es tan simple como yo se los estoy mencionando, pues requiere un poco este análisis jurídico, ¿cierto?, de de a través de una evaluación de interés legítimo, donde pongamos sobre la mesa el legítimo interés del responsable y cómo se e cómo se puede, verdad, afectar el derecho fundamental del del titular. Eh, y además la empresa debería establecer controles también para tratar de mitigar esa afectación dentro de la mayor medida de lo posible. Pero fines de ciberseguridad, fines de seguridad eh de seguridad lógica, de seguridad física en general, van a poder vivir en interés legítimo. Incluso podría ser en algunos casos el marketing. Ahí estoy me estoy me estoy adelantando, me estoy adelantando, pero podría ser incluso en en algunas instancias el marketing que viva como bajo la base de licitud interés legítimo, ejercicio de defensa de un derecho en un litigio, ¿cierto? esa hay otes de licitud que recoge esta nueva regulación, pero me interesaba mucho comentarles en particularmente el cumplimiento del contrato y el interés legítimo. Oye, Javiera, si respecto la la anterior, el tema del consentimiento, que ahí me están preguntando harto, ya, ¿cómo es necesario registrar este consentimiento? H me ponen una pregunta así como eh si me dan el me mandan un currículum y el currículum puedo almacenarlo para nuevas postulaciones. ¿Cómo almaceno así como tú conscientes en que puedo guardarlo? Y yo no soy fan del consentimiento, lo transparento, antes de la respuesta. Eh, es muy difícil cumplir con los requisitos de validez del consentimiento en esta nueva ley. Ya. El consentimiento tiene que ser libre. Ah, ya. Perfecto. Ya. Ese requisito de libertad se puede cuestionar en escenarios donde hay un desequilibrio de poder entre las partes, como el mundo laboral, por ejemplo, como un consentimiento que pueda levantar una autoridad, un órgano público respecto a un ciudadano. Entonces, primer requisito difícil de cumplir. El consentimiento tiene que ser específico. Por lo tanto, de nuevo, acá hay que esperar cómo interpreta esto la agencia. Pero hay directrices en Europa que nos hacen pensar que la especificidad puede llegar a significar que requiramos que requiramos la granularidad en la obtención del consentimiento. ¿Qué quiere decir esto? Que las famosas políticas de privacidad, ¿verdad?, que hacíamos aceptar a los clientes, donde los hacíamos aceptar de manera atada, para que se entienda mejor, una gran cantidad de propósito para venderte el producto, para llamarte para fines de marketing, para mandarte información por tu correo postal, para además pasarle los datos, ¿verdad?, a mi empresa filial. Todo eso en bloque, acepto. La especificidad puede verse cuestionada en esos escenarios. Ya. Entonces, de nuevo, el legal design nos lleva un poquito a pensar en que uno debería ir aceptando granularmente los distintos propósitos de uso cuando estemos basándonos en el consentimiento. Y por eso yo les digo que yo no soy fan del consentimiento. El consentimiento, además, tiene que ser informado. Tenemos que entregarle a ese cliente la información al menos respecto de qué datos voy a recoger, para qué propósitos los voy a recoger, a quién se los puedo enviar, ¿verdad? Eh, les voy a hablar de eso un poquito más adelante en en el contenido mínimo de las políticas de privacidad que también están reguladas por esta ley. Eh, y tiene que ser inequívoco, tiene que entregarse de una manera tal que no pueda ponerse en duda, ¿verdad?, esa manifestación de voluntad. Eso cambia un poquito con la ley actual, que era un consentimiento escrito, escrito firma hógrafa o por efecto del de la ley de de firma electrónica también se entendía eh que cumplía ese requisito los los medios electrónicos, pero hoy día eh eso se abre un poquito más, ¿verdad? Y y nos nos abre la puerta a distintas formas de obtener el consentimiento en tanto sea inequívoca. Eh, pero pero aún así eh es harta información la que hay que darle al titular al momento de recoger su consentimiento y son hartos requisitos que tenemos que evaluar a la hora en el minuto en que estamos levantando ese consentimiento. Entonces, en el caso de los currículums, por ejemplo, yo creo super probable evaluar si la entrega de ese currículum puede ser parte tal vez de eh la base de licitud cumplimiento de un contrato en su etapa precontrual. Ya podríamos eh poder justificar ese tratamiento en esa base licitud. Claro, en tanto ustedes no me digan, "No, lo que pasa es que yo además agarro ese currículum, ¿verdad? Y se lo paso, ¿verdad?, a mi filiar, por a mi filial, por si hay una vacante en ese puesto de trabajo que pueda eh tener un perfil similar, ¿cierto? Eh, o yo utilizo los currículums o la información que obtengo de los currículums para ser analítica y para entender cuáles son, ¿verdad?, eh, la las las personas, ¿verdad?, que están eh postulando, que se interesan en postular a mi empresa. Esos son otros propósitos de uso para lo cual ya no vamos a eh solamente necesitar el cumplimiento del contrato, vamos a probablemente necesitar el consentimiento. Ya. Perfecto. Sí, quiero que se queden con que el consentimiento siempre se puede usar. E el esta apertura, ¿verdad?, de bases de licitud no nos obliga a elegir la mejor base de licitud. En el fondo puede ser el consentimiento o cualquiera de estas otras. No es que tenga una te proteja más que otra, sino que exa mis valor, evidentemente desde la asesoría uno va a tratar de recomendarle al cliente cuál es la que uno considera más apropiada, pero incluso si hubiera un cliente más conservador que me diga, "No me interesa, quiero igual pedir el consentimiento." Lo pueden hacer y eso va a ser eh totalmente lícito. Oye, Javiera, quiero saber por temas prácticos, ¿cuánto nos queda de presentación? Porque estamos para saber cuánto interrumpirte. No te interrumpo más. Voy a ir, voy a ir más rápido. Voy a ir más rápido. Eh, a mí me gusta harto hacer este ejercicio de, "Okay, esta es la obligación, pero ¿cómo me impacta? ¿Cómo me pega en la práctica?" Las bases de licitud nos obligan a ir a clasificar los datos que tenemos, eh, así, a ir a hacer un inventario de los datos personales que tenemos, porque para poder ponerle un sombrero necesitamos saber qué es lo que tengo, ¿cierto? Eh, y en general eso se hace a través de un documento, un instrumento que se llama el RAT, el registro de actividades de tratamiento, que no es una obligación tenerlo bajo esta ley si lo es bajo GDPR, pero sí es una práctica recomendada porque un poco te te ordena la casa, ¿cierto? Y te permite tener un mapa de qué es aquello que tengo y por lo tanto eh ir a e conectar esos tratamientos con una base de lícito adecuada. Tengo que además identificar las categorías especiales de datos, lo que hablábamos. Tengo datos de menores, tengo datos sensibles, tengo datos de salud, eh tengo datos biométricos, estoy, por ejemplo, usando eh sistemas de biométrico para el sistemas biométricos para el registro de asistencia. Asistencia muy común hoy día. Eh ahí eh en el fondo la ley solamente nos dice usted va a poder tratar los datos biométricos cuando lo autorice la ley o con el consentimiento del titular. Entonces ahí se nos achican las bases de licitud y por eso les decía que son tipos de datos que tienen una regulación más estricta. Y bueno, lo que estábamos hablando, ¿cierto? El consentimiento tiene nuevos requisitos y la dificultad en particular eh de cumplir con el con la libertad del consentimiento que que en mi opinión puede verse cuestionada en muchos escenarios. Quiero pasar esto rápido, pero estas son las obligaciones más importantes que tiene el responsable, su empresa. Ya esta ley le hace un guiño a el compliance y obliga en general a que las empresas más que preocuparse de una manera reactiva, se estén preocupando de una manera preventiva. Estas dos obligaciones en particular están muy relacionadas con eso. Así como existen las evaluaciones de impacto en el medio ambiente, ¿verdad?, con la que ustedes probablemente están muy familiarizados, van a existir las obligaciones de impacto en privacidad para todos aquellos proyectos, soluciones, ¿verdad?, ideas que tengan sobre la mesa que impliquen un riesgo eh hacia los titulares de los datos personales cuyos datos se van a tratar en virtud de ese proyecto, ¿verdad? Se va a tener que llevar a cabo una evaluación de impacto en privacidad. Para eso hay eh modelos, ¿verdad?, templates y la agencia bien podría tocarnos la puerta y decirnos, "Me parece extraordinaria la solución, ¿verdad?, eh, que sacó al mercado. Muéstreme cómo evaluó el impacto a la privacidad de los titulares que podía tener este proyecto. La privacidad por diseño y las evaluaciones de impacto son un poco la madre, ¿verdad?, de de las evaluaciones, perdón, la privacidad por diseño y por defecto, que es la la validación que está arriba, es un poco la madre de las evaluaciones de impacto, porque en estricto rigor es una obligación que nos obliga a pensar en la privacidad desde el diseño, desde la arquitectura, desde la generación de una idea, nos obliga a hacer el check de cumplimiento regulatorio. Nos pasa con mucha frecuencia que clientes nos dicen, las fiscalías, ¿cierto? las gerencias legales nos dicen, el equipo de tecnología llegó a preguntarme si esto era legal cuando ya estaba contratado, cuando ya estaba aprobado el presupuesto, cuando estaba contratado el proveedor, ¿verdad? Cuando ya tenían eh el equipo casi subiéndose las mangas para ponerse a trabajar. Eh, y lo cierto es que este proyecto implica muchos riesgos en el tratamiento de datos personales. Eso es lo que obliga o o o trata de resguardar, ¿verdad?, La privacidad por diseño y por defecto deberían ser directrices dentro de la empresa que nos obliguen a pensar en el cumplimiento de la regulación de privacidad desde el principio, ¿ya? Y por defecto es tratando de recolectar la menor cantidad de datos personales que sean posibles. Lo que decía para evitar problemas, que ahora yo no pediría nada, pues para evitar cualquier problema. Exactamente. Exactamente. Entonces, enfoque proactivo, no un enfoque reactivo, no las cajas prechequeadas. Este es un ejemplo, pero es un ejemplo de Privacy by design. las típicas cajas prechequeadas, los checkbox que a veces vienen con la flechita marcada, ese sería una forma de implementar el consentimiento que no cumple con la obligación de privacidad por diseño, porque ahí tú estás predisponiendo, ¿verdad?, al titular a que tásitamente eh haya aceptado, ¿verdad?, el tratamiento de sus datos personales. La privacidad por diseño me obliga a que el titular lea y a que yo lo implemente de una manera tal, ¿verdad?, que obligue a la manifestación del consentimiento de manera inequívoca. Perfecto. No a pedir más datos de los que necesito. Privacidad por defecto. Política de privacidad por diseño es la forma en que las empresas en a través de la normativa interna, ¿cierto?, deberían ser capaces de cumplir. Y el PIA es son las siglas en inglés de la evaluación de impacto en privacy impact assessment. Necesitamos tener un modelo de privacy impact assessment porque además el no haber hecho un privacy impact assessment cuando deberíamos haberlo hecho va a gatillar una infracción gravísima a esta ley. Gravísima con multas de hasta 20000 UTM. deber de seguridad. Otra confusión que hay muy seguidamente en esta regulación es nosotros, yo creo que estamos super bien en la empresa porque tenemos un equipo de seguridad la información extraordinario. ISO 27,000 e todas las medidas de seguridad nos asesoramos, ¿verdad?, con los expertos eh en ciberseguridad eh de Israel, etcétera. Estándares elevadísimos de seguridad. Esta regulación tiene obligaciones asociadas a el cómo debo cuidar los datos personales. Evidentemente el mundo de seguridad es más amplio que es más amplio que es eh y evidentemente deberíamos preocuparnos de que sean coherentes, ¿cierto? Esta obligación nos eh esta regulación nos obliga a implementar medidas de seguridad técnicas y organizativas, ¿verdad? Y la ley da ciertos parámetros, ciertos criterios de cómo es que me debo comportar cuidando los datos personales dependiendo de la naturaleza de los datos que tengo. No es lo mismo una clínica, ¿verdad?, que un negocio de la esquina que puede tener alguna suerte de datos personales, ¿verdad? Pero no de la sensibilidad ni con el volumen de los que tiene una clínica. eh la naturaleza de los propósitos de uso, los el volumen de datos que tengo, etcétera. Entonces, da ciertos parámetros para que la empresa tome decisiones de, okay, estas son las medidas de seguridad adecuadas. Perfecto. En el mundo de la seguridad y la ciberseguridad no estamos obligados a ser infranqueabbles, estamos obligados a tener la casa debidamente resguardada, ¿cierto? Nadie está libre de ser víctima de un ciberataque e o de un incidente de seguridad. Incluso lo importante es que podamos demostrar a la autoridad es que a pesar de yo haber sufrido un incidente de seguridad, ¿verdad?, yo tenía mi casa bien resguardada. Ya, perfecto. Nadie está obligado a lo imposible, decimos en derecho. Eh, y otra de las obligaciones bien importantes es la nueva obligación de reporte de vulneraciones de seguridad de incidentes de seguridad a la Agencia de Protección de Datos. Vamos a tener que acusarnos. Cuando suframos un incidente de seguridad que afecte datos personales, tenemos que ir a notificar ese incidente a la agencia. Sufrimos un incidente de seguridad. Incluso en algunas circunstancias, cuando los datos afectados sean datos de menores, datos sensibles o datos financieros, tenemos que ir a avisarle a todos los titulares afectados. Parecido a lo que pasa hoy día en la industria financiera, ¿cierto? Eh, tenemos que ir a a a acusarnos en el fondo eh de que sufrimos un un incidente de seguridad a cada uno de los titulares. ¿Y qué se entiende por incidente de seguridad? Porque, por ejemplo, si yo tengo un trabajador que a pesar de haber hecho todos los las charlas y toda la cuestión, pasa la base de datos o intencionalmente o ya sin ninguna duda, un incidente seguridad, pero en general porque suena como ciberataque, pero no necesariamente, no necesariamente. Sí, al final es cualquier incidente, cualquier vulnerabilidad que pueda afectar la confidencialidad, la integridad, ¿verdad?, de los datos e eh y y en ese sentido una filtración de datos, por ejemplo, es un incidente de seguridad, sin ninguna duda, pero que tenga la potencialidad de afectar datos personales. Eso es lo importante bajo esta regulación, ¿no? Bajo la regulación de de ciberseguridad propiamente tal, ¿cierto? Eh, ¿y cómo debo reportar? Bueno, la ley también nos enseña eso, ¿cierto? Hay ciertas contenido mínimo que vamos a tener que informar a la futura agencia de protección de datos. Pero, ¿a quién debe reportar? Bueno, a los titulares en algunas circunstancias y a la Agencia de Protección de Datos. Sí. Agencia. Eh, y además hay que ir actualizando ese reporte aquí. Ah, ¿cómo va avanzando este? ¿Cómo va avanzando? ¿Cómo lo voy a cómo lo voy solucionando? ¿Verdad? Evidentemente en estas materias la empresa va a tener va a ir obteniendo información a medida que avance la investigación. Yo al principio y probablemente eh puedan pasar días sin que se la empresa se entere de que sufre un incidente de seguridad. Sí. Eh, y en ese sentido esta ley es muy buena porque habla de sin dilaciones indebidas. Yo tengo que notificar tan pronto tome conocimiento. Ya. Eh, y desde allí y una vez que empieza la investigación, ¿verdad?, tengo que ir actualizando a la autoridad eh en cuanto a e cómo eh voy entendiendo, ¿verdad?, qué datos se afectaron, qué titular se afectaron, con qué magnitud, ¿verdad?, y cómo lo soluciona. Entonces, acá muy importante de que la prueba es de cargo del responsable. Esto pasa en todas las obligaciones de esta ley. Es deber de ustedes, de las empresas, el ir a acreditar que estaban en cumplimiento, no al revés, como ocurría con la ley anterior, con la ley actual. ¿Ya? Entonces, eh es muy importante que busquemos en el fondo la forma de acreditar, de documentar, de tener una normativa interna, porque va a ser la forma en que podamos demostrar, ¿verdad?, el cumplimiento. Trabajo coordinado con con TI, con seguridad, sin ninguna duda. Es más o menos obvio, ¿verdad? tener un protocolo de notificación de brechas eh y y de documentación de seguimiento de la investigación, obligaciones de notificación múltiples. Algunos de ustedes eh probablemente se van a enfrentar o o han sido, verdad, catalogados como servicios esenciales o como operadores de importancia vital bajo la ley. Marco de ciberseguridad, que gatilla la obligación de notificar a la ANSI, a la Agencia Nacional de Ciberseguridad. Pero por otro lado tengo la ley de protección de datos, ¿verdad?, que me obligaron a notificar a la Agencia de Protección de Datos. Entonces, al igual que en otras industrias como la industria financiera, donde incluso puedo tener un tercer eh una una tercera autoridad a quien debo notificar, vamos a tener que hacer coherentes, ¿verdad?, los protocolos y las políticas internas para que me permitan cumplir con todas las regulaciones aplicables. Derechos arco son los derechos del titular, eh, que en realidad bajo la ley actual se llaman derechos ARSOP, porque la cancelación se cambió por la supresión. Eh, básicamente acá quiero que se queden con la idea de que un titular nos puede tocar la puerta para pedirnos una infinidad de cosas. nos puede pedir eh cuál es la información que tenemos respecto de él, nos puede pedir una copia de esa información, nos puede pedir que nos que dejemos de realizar ciertas actividades de tratamiento de datos en ciertas circunstancias, nos puede pedir que modifiquemos sus datos si es que están desactualizados, incompletos, etcétera. Y tenemos 30 días curridos para cumplir. Entonces, si no tenemos ordenada la casa, es bien poco probable que podamos cumplir en ese plazo, ¿cierto? Eh, el derecho a la portabilidad es un derecho que también se se importa de Europa y que busca precisamente o que buscaba, ¿verdad?, el el controlar un poquito la información, la gran cantidad de información que le estábamos dando a las redes sociales, eh, y y un poco las eh dificultades en la competencia también que eso generaba. Eh, y por lo tanto hoy día deberíamos poder ser capaces como empresa de si llega un cliente a decirnos, quiero que me pase toda mi información porque me voy a ir a o quiero pedirle una cotización a la inmobiliaria B, ¿verdad? Deberíamos ser capaces de hacerlo y entregárselo en un formato interoperable. Y ahí está obligado la empresa a hacer lo que yo le diga como titular. Sí, hay ciertas excepciones, evidentemente, pero por reg por regla general sí, estos son derechos irrenunciables, son derechos intransferibles, no se pueden limitar de ninguna forma. Ya, eso es importante. Sí. Entonces, importante tener un protocolo de respuesta a derechos arco de clientes, de trabajadores, de proveedores, de todos los silos de titulares cuyos datos estamos tratando, ¿cierto? Conocer, clasificar y administrar eficazmente nuestras bases de datos, herramientas de autogestión de datos. No sé si han visto las eh estas famosas como paneles de autogestión de datos que a veces se están ocupando principalmente con las cookies en páginas web donde uno puede ir, ¿verdad?, eh ejerciendo ciertas acciones o clasificando en el fondo cuáles cookies permite, cuáles cookies no. Esos paneles también se están utilizando harto en en la gestión de derechos arco. Eh, y bueno, es una herramienta más sofisticada, pero es es un es una alternativa. Y mecanismos de autenticación, super importante. Cuando llega un cliente a pedir información, tenemos que asegurarnos de que ese cliente es quien dice ser, ¿verdad? Y que no es su ex eh marido, ¿verdad? que quiere saber cuántos eh de cuánto está ganando exactamente o cuántos departamentos compró en el proyecto inmobiliario su marido. Eh, entonces super importante eh en los mecanismos de autenticación y esos 30 días corridos que tenía Javi. Sí, ahí me pasé ahí en la anterior. 30 días corridos para responder. Ah, ya. A cualquier solicitud de derechos arco. Ya. Y eso se puede prorrogar por otros 30 días, pero no más de una vez. Esto como una ley de transparencia, pero ya para las empresas. Sesión comunicación y transferencia internacional. Ya les adelanté más o menos de qué va, ¿cierto? Eh, la ley nos obliga a firmar un data, un data transfer agreement o una sesión de datos personales cuando le entreguemos datos personales a otros responsable. nos obliga a firmar un mandato para el tratamiento de datos cuando le entreguemos los datos personales a un mandatario. Y les voy a explicar un poquito más de eso a propósito de los proveedores. Y cuando enviemos datos fuera de Chile, primero identificarlo, evidentemente, y luego eh saber cuál es el fundamento legal que podemos utilizar en esos casos. Identificación, data transfer agreement, gestión de proveedores, los data processing agreement, que se los voy a comentar, identificación de las transferencias internacionales y las normas corporativas vinculantes son estos documentos que les digo va a tener que emitir la Agencia de Protección de Datos para que podamos justificar esa transferencia cuando se cuando ocurra eh dentro de empresas de un mismo grupo económico. obligación de de información y transparencia se las quise comentar porque son las famosas políticas de privacidad, que en realidad más que políticas de privacidad son avisos de privacidad. La ley me obliga a tener permanentemente publicados ya eh los avisos de privacidad con un contenido bien exhaustivo. ¿Qué datos trato? ¿Para qué los trato? ¿A quién se los estoy comunicando? ¿A quién se los estoy transfiriendo? ¿Cómo los estoy cuidando? si es que estoy haciendo tratamiento automatizado de datos, si es que estoy haciendo tratamiento de datos sensibles y lo más importante y más difícil, ¿cuál es la base de licitud que estoy utilizando para todos esos tratamientos? ¿Ya? Eh, entonces al final es como un un este instrumento busca recolectar, muéstrame cómo estás cumpliendo con todas las obligaciones de la ley. Y eso lo tengo que tener permanentemente publicado, ¿verdad? en mi página web en el caso de clientes o en mi intranet en el caso de trabajadores o incluso en el caso de proveedores, ¿verdad? Dentro de este set de documentos que enviemos a los proveedores al momento de eh evaluarlos, por ejemplo, disponibilizar los textos actualizados, modificar las políticas actuales. En Chile va a pasar lo mismo que pasó en Europa, que hubo una ola de actualizaciones el 30 de noviembre, ¿verdad? eh del del 2000 del 2026 va a pasar, nos va a llegar un montón de requerimientos de actualización de acepte, ¿verdad?, nuestra nueva política de privacidad, nuestro nuevo aviso de privacidad, porque sin ninguna duda hay harta más información que entregar que aquella que nos exigía la ley actual y registros de las versiones aceptadas. Si nos estamos basando en el consentimiento, necesitamos saber cuál es la versión de esa política de privacidad que el cliente me aceptó para poder saber cuál es mi juego de piernas, cuáles son los propósitos que me aceptó. cuáles son las condiciones. Entonces, el registro de las versiones es s super importante cuando estamos hablando del consentimiento. Respecto al consentimiento, que ya estoy un poco pegada con eso, pero si eh o sea, se va a dar que si yo tengo el consentimiento de cliente, etcétera, antes de la ley, eh, y la ley me me exige ciertas cosas, voy a tener que actualizar esos consentimientos. Sin ninguna duda. Ya. Sí. Harta pega. Es harta [risas] pega. nuestra relación con los proveedores. Bueno, les decía, primero tenemos que ir a identificar todos nuestros proveedores que tengan acceso a datos personales de la empresa. Ya. La primera y obligación más importante es tener un mandato para el tratamiento de datos, que puede ser una cláusula cuando estemos hablando de proveedores no críticos, ya, pero en general y ojalá sea un anexo al contrato de prestación de servicios cuando estemos hablando de proveedores críticos que tengan acceso a grandes volúmenes de datos de la compañía, ¿verdad?, o a datos sensibles de la compañía como un proveedor, por ejemplo, de un la solución de tecnología para recursos humanos. Ya. Eh, ese sin ninguna duda es un proveedor crítico. Y en ese data processing agreement o mandato para el tratamiento de datos, lo mínimo que tenemos que establecer son las instrucciones del tratamiento de datos. Ese proveedor no puede usar los datos para una cosa distinta que aquella que yo le instruí y le permití. Ya, las medidas de seguridad, cómo ese proveedor debe cuidar mis datos personales o los datos personales respecto de los cuales yo tengo control, las obligaciones de notificación de brecha. Si ese proveedor sufre un incidente de seguridad, yo voy a estar obligado a ir a notificar a la agencia porque yo soy el responsable de esos datos. ¿Ya? Entonces, contractualmente tengo que establecer la obligación de que ese proveedor me avise tan pronto como pueda que sufrió un incidente de seguridad. las obligaciones de de eliminación al finalizar la relación contractual. Pasa mucho y también tradición histórica criolla, ¿verdad? Eh, que en general los proveedores se quedaban con los datos de sus clientes y que luego los utilizaban para fines distintos. Debe establecerse en el mandato que ese proveedor tiene que eliminar los datos por si el contrato termina por cualquier motivo. Entonces, bueno, aquí voy a abarcar una de las preguntas que que teníamos para el final, pero está adoc. Ahora me preguntaban qué requisitos de consentimiento y documentación aplican cuando se transfieren bases de datos a tercero. Y ahí me ponen como ejemplo los broker, las empresas de estudio de crédito, las eh encuestas que se hacen muchas encuestas de satisfacción a cliente o marketing general. Todas estas tú cuando está todo lo que señalaste es aplicable a este tipo de servicios 100%. Pero ahí hay que ir a identificar ya cuándo estoy transfiriendo en calidad de mandatario, cuando estoy comunicando el dato a otro en calidad de mandatario, como podría ser el de la encuesta de satisfacción, por ejemplo, ¿cierto? Que tratan el dato porque me están prestando un servicio a mí, no deberían quedarse con esos datos ellos. Eh, ¿y cuándo estoy entregando ese dato a un tercero en calidad de responsable? Porque de allí nacen obligaciones distintas, como podría ser un broker, por ejemplo. Estoy estoy pensando en voz alta, pero pero en el fondo hay que ir a identificar cuál es la naturaleza jurídica de ese flujo de datos. Ya. Ya. Si es una sesión, tengo que firmar una sesión de datos personales, para lo cual tengo que preocuparme primero de tener yo una base de licitud suficiente para poder ceder ese dato. O el consentimiento o la autorización legal o incluso el cumplimiento de un contrato. Me habilitan a ceder. Perfecto. Esa ese esa sesión de datos personales, ese contrato de sesión o esa data transfer agreement, además tiene que establecer los propósitos de uso eh que están autorizados en esa sesión, ¿ya? Eh, y una serie de cosas más, pero eso al final es un contrato, ¿ya? Es un documento que la ley nos obliga a celebrar entre el cedente y el sesionario. Ya. Cuando hablamos de mi proveedor o de un tercero que actúa como mi mandatario, lo que hay que firmar es lo que acabo de decir, el mandato para el tratamiento de dato, que puede ser una cláusula del contrato o un anexo al contrato de trabajo o incluso un instrumento separado, eh, que establezca en el fondo cuáles son las condiciones, cuál es el rayado de cancha que tiene ese proveedor para tratar mis datos personales. Ya. Los ejemplos que me diste, eh, Cami, eran el broker, broker, eh, empresa de estudios de crédito, encuestas o marketing. Ya los tres últimos, yo diría que muy probablemente van a actuar como mandatarios. Va a depender, esto es principio de la realidad, va a depender de las circunstancias, pero pero muy probablemente los tres últimos actúen como mandatario y yo creo que el broker actúa como como responsable independiente y por lo tanto ahí hay una sesión. Perfecto, gracias. Algo muy bien importante que me interesa comentarles, eh, y y en el fondo para que nos tomemos en serio esta obligación de tener un mandato para el tratamiento de datos, ¿cuál es el régimen de responsabilidad? Ya, el cómo responde ese proveedor, si el fondo se se se escapa, ¿verdad?, de las instrucciones que le dimos para tratar esos datos y trata los datos para un propósito que no fue autorizado. Si actúa fuera de los límites de ese mandato, aplicando también las reglas generales del mandato, ese proveedor va a ser responsable directo, responsable personalmente por las infracciones a la ley. Ya. Ya. Y para esos tratamientos que haga fuera del rayado cancha actúa como un responsable para todos los efectos. Ya, pero respecto de los daños que esa infracción pueda generarle a los titulares, vamos a responder solidariamente, ¿ya? Ya. Proveedor y empresa que contrata frente a ese titular. Entonces, es super importante que nos preocupemos de tener mandatos para el tratamiento de datos que establezcan, verdad, obligaciones de compensación o de repetición en el evento de que yo tenga que responsablemente, ¿verdad?, asumir un daño frente a un titular por la culpa de mi proveedor. Ese proveedor tiene que estar obligado de alguna manera a responderme contractualmente. Eh, y eso es s super importante que que lo tengan en consideración, sobre todo los abogados. Eso está bueno. Es que eso, ojo, para todos mis colegas de fiscalías cuando hagan los contratos con los proveedores. Ese es un muy buen tip. Exactamente. Exactamente. Protección de datos en el ambiente laboral. Bueno, también se los quise comentar porque porque sé que hay muchas empresas business to business. Entonces, con los trabajadores pasa algo bien curioso, que por un lado son titulares de datos, ¿ya? Eh, pero por otro lado también son representantes de la empresa, entonces tienen eh un poco este este esta dualidad, ¿verdad? esta relación ambivalente. Por un lado, yo tengo que preocuparme de cumplir con la ley para el tratamiento de datos que hago respecto de mis trabajadores en tanto titulares y por otro lado, tengo que enseñarle a mis trabajadores en tanto subordinados o representantes de la empresa a tratar los datos personales de la forma legal o con las directrices que establezca la empresa. ¿Se entiende? Que me ayuden a cumplir en el fondo. Eh, entonces son dos estatutos protectores, además acá aplica también el derecho laboral y la protección de datos. el trabajador como titular de datos, cuáles son eh eh cuál es la base de licitud y ahí va a depender de el propósito del uso. Si ustedes me dicen, "Yo trato los datos personales para pagarle el sueldo todos los meses a mis trabajadores." Cumplimiento de un contrato. Si ustedes me dicen para enviar, ¿verdad?, sus cotizaciones eh previsionales o de salud todos los meses, cumplimiento de una obligación legal. Si ustedes me dicen, "Porque los quiero invitar a un evento corporativo, ¿verdad?, a fin de año, yo creo que no nos queda otra que el consentimiento. Ya. Entonces, va a depender del propósito de uso la eh eh de nuevo el fundamento legal o la base de licitud que tengamos, pero sí o sí para nuestros trabajadores tenemos que tener un aviso de privacidad que esté permanentemente publicado en la intranet. Y acá aumenta también la importancia del reglamento interno de orden higiene y seguridad porque es el instrumento al cual a través del cual deberíamos enseñarle a nuestros trabajadores a cómo se deben comportar en representación de la empresa. Ya eh el otro rol, digamos. Y además el Ríos tiene que recoger la obligación de cumplir con el programa de cumplimiento o la o el modelo de prevención de infracciones si es que la empresa decide tenerlo. Ya es uno de los requisitos para que se certifique ese programa ante la agencia. trabajador como subordinado, obligaciones de seguridad, las políticas y los procedimientos, ¿verdad? Sobre todo en seguridad la información, capacitaciones, tenemos el deber de capacitar a nuestros trabajadores en esta regulación, las obligaciones en los contratos de trabajo y en el Ríos. Ya, eso es la son los controles usuales a través de los cuales yo tengo que enseñarle a mis trabajadores a compórtese como la empresa decidió que se iba a comportar en el tratamiento de los datos personales de clientes, de otros trabajadores o de proveedores incluso. Y aquí es son ejemplos, ¿cierto?, de de bases de licitud y de distintos eh tipos de tratamiento de datos en el mundo laboral que son los más comunes. Obligación legal, tramitación de licencias, eh autoridades impositivas, ¿verdad? a los beneficios por las cargas familiares e el contrato Europa la mayoría, porque la mayoría del en Europa ya está bien zanjado que la mayoría del tratamiento de datos de trabajadores puede vivir bajo el contrato. Los datos de geolocalización pueden ser parte del cumplimiento de una validación contractual, ¿verdad? Eh, o incluso el la transferencia de datos dentro de un grupo empresarial. Las las evaluaciones de desempeño también pueden ser parte de el cumplimiento del contrato en consentimiento. Las pruebas psicológicas, los datos biométricos, ¿verdad? Porque son datos sensibles. Eh, los eh los los datos del del artículo 10, que eran los que era el artículo anterior que regulaba los datos sensibles, los síntomas del COVID, ejemplos, ¿cierto? eh los sistemas de ingreso en general, en tanto sean datos sensibles, muy probablemente vamos a tener que ir a recoger el consentimiento y el interés legítimo, la prevención de fraude, la ciberseguridad, las cámaras de de los circuitos cerrados de televisión. Y por último, con esto termino, eh la autoridad de control. Hasta hoy día no teníamos una autoridad especializada, fiscalizadora, ¿verdad?, de estas materias. nace, se crea la Agencia de Protección de Datos Personales, que como les digo, debería estar constituida en noviembre del próximo año, que va a tener facultades bien amplias, eh va a poder impartir instrucciones generales, evidentemente interpretar la regulación, fiscalizar el cumplimiento y va a tener facultades sancionatorias, por lo tanto, puede, verdad, eh determinar y ejecutar infracciones y cursar multas. Ya, evidentemente ahí se abre todo un procedimiento, ¿verdad?, de apelación frente a la misma agencia en una primera instancia y luego hay instancias posteriores, pero va a ser una autoridad que puede multar. Quiero que se queden con eso. Y estas son las sanciones. La ley establece un catálogo de infracciones leves, graves y gravísimas, ¿verdad? Las gravísimas pueden llegar hasta cerca de ,illón y medio de dólar. Si cometemos la misma infracción en un periodo de eh 30 meses, esa multa puede triplicarse o incluso puede llegar a ser hasta el 4% de los ingresos anuales de una empresa. Ingresos, no utilidades, ingresos por venta de eh productos o prestación de servicio. Es tremendamente estricta este catálogo de sanciones. Por supuesto que a mí me gusta bien poner la pelota en el piso. La industria en la que nos estamos a la que nos estamos dirigiendo hoy día no debería ser las de las industrias en la primera línea de fiscalización, ¿verdad? E la industria de la salud está mucho más expuesta a la industria financiera, ¿verdad? La industria del retail. Eh, sin embargo, con estas multas bien vale la pena el hacerse cargo, ¿verdad?, con un periodo de anticipación adecuado y al menos tener un baseline de controles mínimos, ¿verdad? de cumplimiento que nos permitan enfrentar la entrada en vigencia a la ley con cierta tranquilidad de de un nivel de cumplimiento adecuado. Perfecto. Y este Registro Nacional de Sanes y Cumplimiento va a ser público. Sí, es como la deuda de los gastos comunes, como que no no no sabemos aún cuál va a ser el contenido específico, eh, pero sí es un registro público, por lo tanto, los sancionados deberían vivir allí en ese registro e y por lo tanto también hay altos temas reputacionales en juego. Perfecto. Oye, eh, estamos en tiempo, pero no puedo terminar sin hacerte estas preguntas, por supuesto. Mira, eh, ¿qué pasa con, pongamos el caso de un socio que le dijeron, "Oye, escucha este webinar y dice, ¿qué es esto? ¿Qué hago ahora?" Como no tenía conocimiento de que se viene esta ley, que ya está publicada en el diario oficial, etcétera, pero que falta entrada en vigencia. ¿Cómo se puede eh afrontar a desarrollar un compliance en relación a esta materia? ¿Cuáles son los elementos esenciales que se tiene que que fijar? Hay hartas capas eh de la forma en que podemos enfrentar el desafío de adecuación, de implementación, ¿verdad? Hay empresas que les interesa tener un levantamiento de información bien exhaustivo y conocer como su estado de salud de manera bien detallada y en general para poder armar un plan de acción super ajustado y super adecuado a la realidad, ¿verdad? Y en esos casos hacemos proyectos de diagnóstico, ¿verdad? Donde levantamos toda la información, hablamos con todos los stakeholders, ¿verdad? eh identificado en las distintas áreas de la compañía, hacemos un informe de brechas, ¿verdad? Un un ejemplo, un un ejercicio que probablemente muchos de ustedes están familiarizados, plan de acción, implementación del plan de acción. Pero hay muchas empresas y asumo que muchos de los asistentes a este webinar están en esa situación que dicen, "Mira, ¿sabes qué? No sé si me interesa tomarme 6 meses levantando información porque sé que no tengo nada, sé que estoy en incumplimiento. Y en esos casos, sobre todo en la industria B2B, con la experiencia que tenemos, sabemos cuáles son los controles esenciales y en esos casos a nosotros, por lo menos, nos gusta como empecemos a implementar los controles esenciales, tomemos cierto conocimiento, ¿verdad?, de las prácticas de los procesos de la compañía y luego de tener un baseline mínimo, tal vez podemos hacernos cargo, ¿verdad?, de una bajada un poquito más profunda e del cumplimiento, pero pero mi recomendación es abordar el el mundo laboral. Hay controles que conocemos, tiene que haber una política apreciada, tenemos que modificar el contrato de trabajo, tenemos que modificar el Ríos, ¿cierto? Eh, tenemos que identificar los escenarios donde estamos tratando datos sensibles, datos biométricos, eh datos de menor y datos de georreferenciación. Mundo laboral, mundo de clientes. Si es que tenemos personas naturales, tenemos que identificar los puntos de recolección del consentimiento y los propósitos de uso. Ponerles el sombrero a bases de licitud, armar una política de privacidad adecuada. Ojalá lo más global o que trate de englobar, ¿verdad?, a la mayor cantidad de clientes posible. Mundo de seguridad, política de seguridad de la información la tenemos que adecuar a esta nueva regulación, procedimiento o protocolo de notificación de incidentes de seguridad. Tenemos que eh eh adecuarlo, ¿verdad?, a esta regulación. Mundo de proveedores, los DPA, ¿cierto? La gestión de proveedores, el ayudarlos a pensar cómo identifico un proveedor crítico de un proveedor no crítico. Todas esas cosas las podemos hacer desde ya. No necesitamos tener un un conocimiento tan exhaustivo de la compañía. Eh, entonces, en mi opinión, dependiendo de la empresa y el caso, nos gusta como enfrentarlo por fases, por estos silos o por estos, verdad, tipos de eh titulares dependiendo del riesgo al que se expongan. Eh, y desde allí empezar a trabajar también en un set como de normativa interna que nos deje tranquilos una política corporativa de protección de datos, ¿verdad? Y y cómo puedo linquear este tema del compliance, que tengo que hacer con todos estos temas que tú me estás diciendo, con a quién asigno en mi compañía. ¿Quién debe hacer eso? Porque no, yo vi la ley así muy superficialmente, pero me parece que hay ciertas personas clave en la compañía para desarrollar estas funciones. Sí, sí, es una excelente pregunta, Cami, porque es un desafío multidisciplinario. De todas maneras, esta es una regulación que tiene una parte legal bien importante, pero tiene aspectos técnicos muy importantes y tiene aspectos eh cierto procedimentales, organizacionales también muy importantes. Entonces, lo ideal, el sueño del abogado de privacidad es que la contraparte sea una mesa, ¿verdad?, que involucre a los distintos actores de seguridad, fiscalía, cumplimiento, ¿verdad? Eh, gobierno de datos, si es que es una empresa que ya tiene implementado gobierno de datos, eh recursos humanos, marketing, etcétera, y conversar con todos y armar los los controles con todos involucrados. Eh, pero si no es así, en general las solicitudes están proviniendo de o los equipos de compliance que tienen la idea de armar al final del día un programa de cumplimiento en privacidad para poder registrarlo ante la agencia, porque eso va a servir como una atenuante responsabilidad de eh los equipos o las gerencias legales, ¿verdad?, o las fiscalías, que son generalmente a los que les llegan los requerimientos del día a día o de los equipos de tecnología y seguridad de la información. Eso estamos viendo que son como los las áreas protagonistas, ¿verdad? Pero ojalá existieran los esfuerzos y y y pudiéramos, ¿verdad?, llegar a conversar con esta mesa multidisciplinaria. Perfecto. Y ahora voy a pasar a dos preguntas que son bien específicas, eh, y son propiamente de de empresas eh inmobiliarias que tienen mucho cliente de venta de de inmueble. Persona natural. Sí, persona natural. ¿En qué momento se obtiene el consentimiento válido del cliente? ¿En qué sentido? te lo estoy preguntando porque estos tienen distintas interacciones con el cliente. Parte primero una persona interesada que va a pedir una cotización, obviamente que le piden datos para poder mandarle más información al respecto. Eh, o cuando se vuelve y después puede pasar que firme una promesa de compraventa, después la escritura de compraventa. Eh, ¿cuándo tengo yo que preocuparme de los datos personales de ese sujeto con el cual estado interactuando? Porque es cliente, ¿cuándo? es un cliente que va que va mutando, estamos jugando con el cliente y después firma. Sí, en todo momento. Pero mi mi recomendación específica a esa pregunta o mi respuesta específica a esa pregunta sería, primero preocupémonos de tener una política de privacidad publicada en la página web que le informe a sus clientes en todo el ciclo de vida del cliente cómo tratamos sus datos. Ya, luego, habiéndonos hecho cargo de ese primer control, que para mí es el más importante, porque si tenemos un cliente que quiera hacer un caso de laboratorio, lo primero que hay hacer es ir a mirar la página web de la inmobiliaria, ¿ya? Y si no tenemos una una política apreciada ahí publicada, e es mucho más complejo eh salir jugando. Luego vamos identificando todos los momentos de recolección del dato, ¿cierto? Tú me dices, "Llega un cliente, ¿verdad?, a tocarme la puerta al piloto, por ejemplo, y a pedirme un presupuesto o a pedirme información respecto al proyecto inmobiliario. Salvo que ustedes utilicen los datos para un fin distinto de generar esa cotización y generar esa relación precontractual, yo diría que no necesitamos levantarle el consentimiento siguiente porque podríamos fundamentar ese tratamiento en el cumplimiento de un contrato, medidas precontractuales solicitadas por el titular porque fue el señor que llegó a tocar en la puerta. Lo mismo en las páginas web, ¿cierto? si es una solicitud que hace a través de una página web y solo vamos a utilizar el dato para enviarle la cotización pertinente a su correo electrónico y no estamos pidiéndole datos financieros ni que acredite su renta ni mucho menos, solamente le pedimos el correo electrónico su nombre, por ejemplo. Yo también pensaría que no necesitamos el consentimiento, pero si salimos de esa esfera y van a utilizar los datos para otros fines, probablemente si tengamos que poner una glosa de consentimiento en el formulario, ¿verdad? entrega de los datos o un texto de autorización de uso de datos en el formulario web, ¿verdad? A través del cual ese cliente nos eh pida la información o nos solicite la cotización. Un poco un poco bien abogada mi respuesta, pero pero de verdad que depende del propósito de uso. Eso es lo que manda al final. Ya. Oye, y la última pregunta que es muy propia de eh laboral. Eh, puedo seguir pidiendo referencias laborales, así como eh tu exjefe. Quiero saber cómo te portaste con tu exfe. Es una muy buena pregunta y yo creo que es más laboral que de protección de datos. Ah, perfecto. Porque desde la perspectiva de protección de datos, claro, en tanto ese postulante, ¿verdad?, me autorice a llamar a un tercero para solicitar la información respecto de su antecedentes o de su desempeño, ¿verdad?, en en en una en una eh trabajo anterior. Yo diría que en tanto hay una autorización por parte de ese titular, no le veo muchos riesgos desde el punto de vista de protección de datos, más no me atrevo a decir lo mismo desde el punto de vista laboral porque lo desconozco. Ya, perfecto, gracias, Javiera. Bueno, con esto terminamos este webinar. Te agradezco, Javiera, toda la presentación y tu buena disposición para todas estas consultas que tenía. Y eh bueno, me estaban preguntando por WhatsApp si esto va a quedar grabado. Sí, efectivamente va a quedar grabado en YouTube, así que pueden eh acceder a esta a esta grabación y la presentación la vamos a disponer a quienes lo necesiten. Así que muchas gracias por mantenerse sintonizados y gracias nuevamente Javiera por toda tu buena disposición. A ustedes. Muchas gracias.

Implementación Ley de Protección de Datos Personales

Hacer Pregunta

Respuesta:

Historial de Preguntas

Análisis

RESUMEN

Conceptos Fundamentales

Obligaciones Principales del Responsable

Relación con Proveedores

Protección de Datos en el Ámbito Laboral

Sanciones

IDEAS CLAVE

INSIGHTS PRÁCTICOS

Sabiduría

RESUMEN

IDEAS

INSIGHTS

CITAS

HÁBITOS

HECHOS

REFERENCIAS

CONCLUSIÓN EN UNA FRASE

RECOMENDACIONES

Implementación Ley de Protección de Datos Personales

Hacer Pregunta

Respuesta:

Historial de Preguntas

Análisis

RESUMEN

Conceptos Fundamentales

Obligaciones Principales del Responsable

Relación con Proveedores

Protección de Datos en el Ámbito Laboral

Sanciones

IDEAS CLAVE

INSIGHTS PRÁCTICOS

Sabiduría

RESUMEN

IDEAS

INSIGHTS

CITAS

HÁBITOS

HECHOS

REFERENCIAS

CONCLUSIÓN EN UNA FRASE

RECOMENDACIONES

Transcripción

Otros