Webinar LeyDeDatos.com - Transparencia y Consentimiento: Dos caras de una misma moneda

que es Javier a púlveda
e bueno señalar que esto también está va
a ser grabado y va a ser puesto en
nuestras redes sociales y en nuestra
página web javiera es abogada de la
Universidad Católica es máster en
derecho comercial con especialización en
derecho informático de la Universidad de
melbour Australia eh fue coacher de la
International association for privacy
professionals Y tiene más de 12 años de
experiencia en tecnología y protección
de datos así así que bueno sin más rodeo
dejo con ustedes a
Javier Buenos
días Gracias Ignacio gracias a le deos
por la
invitación y por convocarnos a conversar
un tema
que que suele ser tal vez de los más
familiares en este mundo que que es poco
intuitivo que es el de la protección de
datos en general el consentimiento es un
concepto que conocen bastante bien todos
porque tenemos
una una experiencia o una tradición de
de de basarnos bastante en el
consentimiento de los titulares para el
tratamiento de datos precisamente porque
tenemos una regulación
eh bastante antigua cierto y poco
actualizada en estas materias que que no
nos da mucho juego piern eh en en torno
a otras bases de licitud para el
tratamiento Eh quiero tomarme solo un
minuto para para comentar lo que
Precisamente lo que está eh diciendo
Ignacio al principio Que bueno que y lo
quiero recalcar que que finalmente
necesitó a la comisión mixta a discutir
los últimos los últimos tres temas si no
me equivoco que que quedan abiertos en
en la discusión del proyecto de ley
Ojalá eh como como he escuchado por ahí
en la boca de algunos optimistas esta
deía ser la última sesión ojalá que así
sea eh Y que de de de de buena manera
podamos ponerle término a estos 7 años
ya de de discusión del proyecto de ley y
cumplir con esta deuda que tenemos como
país Bueno a lo que nos convoca Me
encantó el título de este webinar porque
efectivamente Y y quiero tratar de
enfocar mi mi corta presentación de una
manera bien práctica es es algo a lo que
solemos enfrentarnos con nuestros
clientes y que suele generar eh
confusión estas dos
instituciones por un lado la
transparencia y por otro lado el
consentimiento el consentimiento como
bien les adelantaba Ignacio es una base
de licitud para aquellos que no están
familiarizados con el término una base
de licitud es un habilitante legal es un
permiso que la ley nos otorga para
tratar datos personales hoy día en Chile
con la ley que tenemos vigente solamente
tenemos estos dos sombreros o permisos
que son la ley es decir cuando la ley
nos autoriza expresamente o cuando
tenemos que cumplir una obligación legal
que no puede si no cumplirse tratando
datos personales ese es uno de nuestros
sombreros y el otro sombrero que es el
más común es el consentimiento el famoso
consentimiento del títular en el que
solemos finalmente apoyarnos con
bastante frecuencia porque Dado que los
escenarios donde tenemos autorización
legal en Chile eh Son bastante pocos
salvo que estemos hablando verdad de de
empresas eh que tienen regulación
sectorial en general nos apoyamos
bastante en el consentimiento y en las
famosas políticas de privacidad que muy
pocos leen verdad Entonces primero
entender la diferencia entre la
transparencia por un lado y el
consentimiento el consentimiento es una
base de licitud una de las bases de
licitud que existe hoy día y que va a
seguir existiendo bajo el proyecto de
ley bajo características un poco
distintas pero que va a seguir
existiendo y por otro lado la
transparencia que hoy día está recogida
como uno de los requisitos del
consentimiento tal vez pero que bajo el
proyecto de ley este deber de
transparencia bien alineado cierto con
con con con este foco del proyecto de
ley un poco de de de la accountability
de la obligación de responsable de datos
de rendir cuentas y de acreditar a la
futura autoridad la licitud del
tratamiento que realiza eh está recogido
a nivel de principio tenemos un
principio en el proyecto de ley de
transferencia de información está
recogido a nivel de nuevas obligaciones
del responsable y también está recogido
de cierta manera como una manifestación
de los Derechos arco de los titulares
del derecho de acceso a la información
desde el titular hacia el responsable
Entonces quiero explicar creo que la
forma más fácil de explicar un poco la
manifestación concreta de la
transparencia y de la información como
nueva obligación del responsable es
explicándoles precisamente el cómo vive
el cumplimiento de esta obligación
concretamente lo que va a ocurrir el día
mañana una vez que entre en vigencia el
proyecto de ley es que los responsables
van a tener que mantener permanentemente
publicados ya políticas o avisos de
privacidad y acá hago la diferencia
porque solemos
confundir hoy día estas dos
instituciones porque hoy día lo que
ocurre es que cumplimos con nuestro
deber de transparencia e información por
medio de estas largas políticas de
privacidad pero a la vez hacemos que los
titulares acepten esas largas políticas
de privacidad por lo tanto es el mismo
instrumento nos sirve para cumplir uno
con nuestro deber de transparencia
información y dos como una forma de
recoger el consentimiento de los
titulares por eso suele confundirse y
por eso hago la diferencia acá siguiendo
un poco lo que ha pasado en Europa donde
dado que la base de licitud
consentimiento es tan frágil de a
poquito han ido arrancando del
consentimiento como base de lcit primero
porque es tremendamente difícil cumplir
con los requisitos del consentimiento
pero más importante que eso porque el
consentimiento es esencialmente
revocable por lo tanto es una base de
licitud muy frágil Eh y tremendamente
cuestionada además no solo desde el
punto de vista normativo sino que
también casi desde el punto de vista un
poco sociológico cierto por por por la
desconfianza que genera eh en los
titulares y además por la evidencia que
existe de que los titulares
efectivamente no están leyendo eh las
largas políticas de privacidad que se
les presentan para aceptación entonces
por eso se genera esa confusión y como
les decía siguiendo un poco lo que ha
pasado en Europa muy probablemente lo
que va a empezar a pasar en Chile una
vez que entra en vigencia el el proyecto
de ley la futura regulación es que más
que hablar de políticas de privacidad
que tienen que aceptar en bloque los
titulares y que por lo tanto nos van a
servir como base de licitud
consentimiento lo que va a pasar es que
estos instrumentos empiecen a mutar a
ser avisos de privacidad que se
mantengan permanentemente publicados en
las páginas web pero que no sean la
forma en que el responsable recoge el
concepto el aviso de privacidad que es
la forma en que los responsables van a
tener que cumplir con su deber de
información y transparencia es un
instrumento un documento que va a estar
permanentemente publicado en la página
web de los responsables o en un medio
equivalente cierto donde el proyecto de
ley nos dice Usted tiene que tener
cierto contenido mínimo que informar a
los titulares respecto del tratamiento
que que usted Está realizando Quién es
el
responsable Perdón Quién es el
responsable del tratamiento A dónde
tienen que comunicarse o cuál es el
medio de comunicación de los titulares
para el ejercicio de sus derechos arco
eh Cuáles son en general las medidas de
seguridad tanto técnicas como
organizacionales que está Tom la
institución para el tratamiento de sus
datos personales qué categorías de datos
estoy tratando Cuáles son los propósitos
de esos tratamientos Cuáles son las
bases de licitud aparte una de ellas
solamente el consentimiento pero en
general Cuáles son las bases de licitud
en los que estoy basando el tratamiento
que estoy realizando respecto de de los
datos de los titulares eh Cuáles son los
destinatarios de esos datos tanto como
mandatarios es decir comunica de datos
como otros responsables Es decir
transferencias de datos
eh Cuáles son las eh transferencias
internacionales que estoy realizando es
una serie de información tremendamente
detallada que le tenemos que entregar a
los titulares el día de mañana y que
tenemos que mantener permanentemente
publicada Pero por qué digo que van a
mutar a los avisos porque en esos avisos
de privacidad nosotros probablemente
vamos a informarle a los titulares seor
señores titulares yo estoy tratando sus
datos personales de esta forma con estas
bases de licitud una de ellas es el
consentimiento otra va a ser el
cumplimiento de un contrato otra va a
ser el interés legítimo que el
responsable pueda tener para tratar esos
datos como por ejemplo puede ser el uso
de cámaras de seguridad al interior de
una empresa etcétera
e Y qué va a ocurrir que esta práctica
que tenemos hoy día de hacer que los
titulares acepten en blog
cierto estas largas políticas de
privacidad ya no van a pasar el test de
la risa de los requisitos del
consentimiento que se robustecen bajo el
proyecto de ley Cómo se define el
consentimiento bajo el proyecto de ley
como base de licitud siguiendo muy de
cerca lo que la disposición la
definición legal que tiene en el
reglamento general de de protección de
datos de Europa es una manifestación de
voluntad
libre específica informada e inequívoca
del titular que puede manifestarse por
medio de una declaración o por medio de
una acción afirmativa para el
tratamiento de sus datos Y
acá Me detengo en estos requisitos
porque ha habido una proliferación de
doctrina europea sobre todo en el
desarrollo de Qué significa la práctica
cumplir con estos requisitos cumplir con
estos requisitos es tremendamente
difícil el requisito de libertad y esto
también se se sustenta en que el acto de
consentimiento
es está afectando los derechos
fundamentales de los titulares y por eso
tienen que que existir estos requisitos
estrictos e le estamos finalmente
entregando a un
responsable una facultad de tratar datos
personales que sin el consentimiento
sería un acto ilícito entonces por eso
se han desarrollado Y a medida que las
legislaciones de protección de datos han
ido modernizando en general los
requisitos del consentimiento se han ido
volviendo cada vez más estricto el
término libre que probablemente es el
más controversial cierto o o el que ha
tenido más desarrollo al menos en la
jurisprudencia
europea requiere que le entreguemos
realmente
un una posibilidad de elección y de
control respecto del tratamiento de sus
datos personales Al titular Entonces si
el sujeto si el titular no es realmente
libre para elegir es decir se siente
obligado a entregar su consentimiento o
va a sufrir Consecuencias negativas si
es que no lo da Entonces el
consentimiento no puede considerarse
libre y por lo tanto no puede
considerarse válido hay un montón de
hipótesis donde ya en general la
legislación incluso la la la
jurisprudencia y la doctrina dicen acá
No hay un consentimiento libre ya por
ejemplo cuando el consentimiento se
entrega como una condición para la
celebración de un contrato respecto del
cual Ese esa actividad de tratamiento
específico no es necesaria Y eso lo
recoge hoy día lo
recoge la autoridad de protección al
consumidor el cnac en Chile lo recoge
nuestro proyecto de ley y es una
institución bien bien bien desarrollada
en
Europa se cuestiona también la libertad
del consentimiento cuando estamos
ante dos partes que tienen un
desequilibrio en cuanto a su poder
negociador que es lo que se llama el
desequilibrio
extensible ocurre esto por ejemplo en
los casos eh de tratamientos de datos
por parte de
e órganos de la administración del
estado en general el legislador dice ojo
acá el consentimiento cuando se trata de
un tratamiento que Está realizando un
órgano de la administración del Estado
puede o va o suele no ser la base de
licitud más adecuada porque claramente
el titular no tiene una efectiva
Libertad para rechazar el consentimiento
que le está solicitando el órgano de la
administración del Estado para tratar
sus datos
personales ocurre también otra hipótesis
de falta de libertad en la entrega del
consentimiento son estos consentimientos
atados que se suelen llamar en en la
doctrina de protección de datos en
contraposición al consentimiento
granular que es la tendencia donde el
titular puede
efectivamente elegir para qué
propósitos él está otorgando su
consentimiento para el tratamiento de su
dato eh de manera tal que pueda aceptar
algunos y rechazar otros y eso también
tiene que ver con el segundo requisito
que es el requisito de la especificidad
del consentimiento el consentimiento
aparte de ser libre es decir aparte de
que el responsable antes de elegir esta
base de licitud verdad tenga que eh
acreditar que está cumpliendo
pacientemente con este requisito de
libertad tiene que cumplir con este otro
requisito que es el de la especificidad
el consentimiento tiene que otorgarse
para un fin
específico ya para un fin específico
tiene que informarse al titular de una
manera clara y específica Cuál es el
propósito del uso de los datos que está
recogiendo el responsable pero esta
especificidad también se manifiesta en
esto que les decía de no obligar Al
titular a que me acepte una serie de
propósitos de manera
atada tengo que Y esa es la tendencia eh
lograr eh otorgarle al al titular esta
posibilidad de control cierto y que
pueda aceptar ciertos propósitos y otros
no el consentimiento además tiene que
otorgarse de manera informada y aquí es
donde se genera la principal conexión
con el deber de transparencia de
información que les comentaba antes el
proyecto de ley hoy día no nos dice el
específicamente Qué información tiene
que entregarse Al titular al momento que
estamos recogiendo su
consentimiento Porque si tenemos una
idea de Cuál es la información que
tenemos que mantener permanentemente
disponible para el titular a través de
estos avisos de privacidad cierto que
les comentaba en cumplimiento del deber
de transparencia información pero al
momento de recoger el
consentimiento si yo tengo que cumplir
con un consentimiento libre con un
consentimiento
específico es poco probable que pueda
cumplir con esos requisitos si es que le
entrego Al
titular 15 hojas de
información entonces voy a tener que ser
capaz de
entregar la los elementos esenciales
verdad de e de de las condiciones del
del tratamiento de los datos del titular
quién es el responsable qué datos estoy
recogiendo para qué propósitos en
general A qué categorías de eh de
destinatarios los voy a entregar ya sea
en en modalidad mandatario o en
modalidad responsable Esos son los
elementos como de la esencia que muy
probablemente van a ser los que la
autoridad el día mañana nos diga estos
son los elementos venimos de un
consentimiento informado Pero no por eso
yo en el acto del consentimiento voy a
tener que cumplir con la serie de
elementos del contenido de un aviso de
privacidad entonces en la práctica para
ser más concreta y para ir cerrando ya
también a lo que se van a enfrentar las
empresas muy probablemente el día mañana
Primero hacer como un análisis y un
ejercicio de cuándo realmente Necesito
consentimiento el día de mañana vamos a
tener una base de licitud cumplimiento
de trato en la que muy probablemente van
a vivir la gran mayoría de los
tratamientos que realizan las empresas y
ese ejercicio tiene que hacerse Sí o sí
porque tenemos que tratar de escapar del
consentimiento en sin que se malentienda
no no no quiero tampoco crucificar el
consentimiento Pero creo que es una base
de licitud e compleja Por decirlo menos
Entonces en este ejercicio de Okay qué
nos queda de todos los propósitos de uso
que realizamos qué nos queda
En qué escenarios realmente vamos a
tener que ir a pedir el consentimiento 1
dos y TR Okay 1 dos y tres voy a tener
que por un lado cumplir independiente de
las bases de licitud que yo utilice
cumplir con mi aviso de privacidad
verdad con mi deber de información y
transparencia pero cuando vaya a recoger
el
consentimiento voy a tener que hacer
referencia a ese aviso de privacidad
probablemente tener un texto de
autorización de uso de datos que haga
referencia a ese aviso de privacidad con
la información más detallada y más
completa pero al momento de recoger el
consentimiento no tengo que entregar de
nuevo un texto que sea ininteligible y
demasiado extenso porque entonces en mi
opinión no voy a ser capaz de acreditar
la una autoridad que cumplí con un
consentimiento libre que cumplí con un
consentimiento específico e informado Eh
y además con una manifestación del
consentimiento de manera inequivoca
entonces
eh va a pasar como como probablemente
han visto ustedes con sus experiencias
de usuario O tal vez como profesionales
de privacidad queé es lo que está
pasando en Europa que es que se
mantienen estos avisos de privacidad
publicados pero cuando nos enfrentamos a
los escasos escenarios donde el
responsable nos va a recoger el
consentimiento pues entonces nos
enfrentamos o a un formulario o a una
política de privacidad abreviada o a un
texto de autorización abreviado se
entiende eh Y ahí el contenido de ese de
ese texto de esa autorización o el Cómo
va a considerar la autoridad la futura
agencia chilena que se cumple con el
consentimiento informado es algo que
todavía tenemos que que que esperar su
su desarrollo pero como les digo muy
probablemente siguiendo la la la
doctrina e comparada y la jurisprudencia
comparada esos van a ser los elementos
básicos la identificación de responsable
la identificación del medio por por el
cual los titulares pueden ejercer sus
derechos arco e las categorías de datos
que se recogen los propósitos y en
general los actos de comunicación de
esos datos hacia
tercero eso no quiero pasarme el tiempo
así que le devuelvo la palabra a a
igna muchas gracias jaa por la
presentación muy muy clara yo voy a
aprovechar ahora de presentar nuestro
Sas de ley de datos antes de dejar
nuevamente con el
webinar Entonces como podemos ver acá
tenemos nuestro nuevo módulo de derechos
arco como muy bien mencionó momento
efectivamente parte de nuestr
responsabilidades va a ser cumplir con
los derechos arco que tienen todos los
titulares de datos entonces eh lo
primero que tener que tener es un portal
de acceso muy probablemente y acá lo
pueden ver donde podemos ir llenando Por
ejemplo si es titular representante
legal si es el representante le podemos
jugar un de representación y le pedimos
ciertos datos que son los datos mínimos
que se suelen pedir en este tipo de
formularios mucho lo vemos en la
comunidad Europea y luego al Ingresar a
nuestra plataforma nos vamos al módulo
de derechos arco y al entrar a la al
módulo de derechos arco vamos a ver un
listado con todas las solicitudes que
tenemos activas Al momento de hoy y
también con algunas que tengamos
atrasadas no olvidar que los derechos
arcos tienen en Chile un plazo de 30
días para ser contestados 30 días
probables y acá vamos a poder ver Esta
lista que nos va a permitir ver en qué
está cada uno de estos estas solicitudes
eh Quién es la persona responsable de
esta subtarea y si es que está
respondida o si todavía está en proceso
Entonces por ejemplo podemos ver esta y
vamos a ver que esta tarea está por
ejemplo bueno el detalle de la solicitud
de la persona que hizo la solicitud y
vemos que está en verificación de
identidad Porque la idea es que uno no
puede por ejemplo entregar datos a una
persona que está suplantando otra es
algo que también vamos a tener que
resolver una vez esta ley ent en
vigencia dicho eso le doy el pase a
Ignacio para que pueda seguir con el web
bueno Muchas gracias Rodrigo eh y muchas
gracias javiera por tu presentación
e muy clara y bueno a la hora La idea es
darle pase a Juan Pablo para que pueda
linkar lo que nos señaló javiera pero
ahora desde el otro lado de la Esfera lo
otro lado La otra cara de la moneda que
es la
transparencia Juan Pablo es abogado de
la universidad Alberto utado y magister
en derecho y nuevas tecnologías de la
Universidad de chile actualmente lidera
el área de Data and privacy en asertiva
y es director también del diplomado de
tecnología y regulación de la
Universidad de desarrollo especialista
en materia de protección de datos
ceguridad y regulación tecnológica dejo
con ustedes a Juan Pablo con su
presentación Muchas
gracias muchas gracias muchas gracias
Ignacio y bueno también ahí agradecer al
equipo de ley de datos por la
oportunidad de tratar este tema como lo
mencionó también javiera Creo que es
tremendamente interesante el poder
entender los desafíos prácticos que se
presentan en las organizaciones a
propósito de tenemos la tan anhelada ley
de protección de datos personales
actualizada en Chile e y me gustaría
digamos partir con la presentación con
con algunos casos a nivel internacional
para ver cómo se configuran las
infracciones particularmente en este
principio y yo creo que la verdad
probablemente son casos cotidianos como
los mencionó javiera y que probablemente
muchos de nosotros tanto en nuestra
labor particularmente como asesores
jurídicos como en consultoría como
eventualmente especialistas de la
privacidad o gente que trabajamos en
temas relacionados con actividades de
procesamiento de datos los vamos a ver
día a día y alguno de estos casos
particularmente por ejemplo y acá tomo
algunos casos particularmente europeos
es el no entregar información por
ejemplo de manera suficiente en los
sitios web sobre el ejercicio de los
derechos de titulares o particularmente
el hecho de que yo no me entere y haya
sido bloqueado o agregado por ejemplo en
una Lista negra también por ejemplo los
temas relacionados con la implementación
de sistemas de vigilancia cuando no son
informados particularmente a los
usuarios pueden colocar una situación en
el que no hay transparencia De dónde se
están capturando los datos y lo mismo
particularmente en el hecho de que no se
le informe oportunamente como decía muy
bien javiera al momento en el que se
captura el consentimiento del titular o
en otras actividades que por ejemplo
hace una persona en un sitio web de
eventualmente alguna organización
también el hecho de que por ejemplo no
se entregue información de Cuáles son
los tipos de datos que particularmente
se están capturando es decir que existan
estas cláusulas genéricas donde a mí me
habilitan capturar una gran cantidad de
datos sin que yo por ejemplo me entere
que existan por ejemplo cookis o
eventualmente algún otro positivo que
esté capturando más Data de la que yo
como usuario inicialmente quisiera
autorizar y en ese mismo
sentido el hecho también de
particularmente excederme en los plazos
asociados a almacenamiento de la Data el
hecho de no informar cuando existen
medidas de vigilancia Y por último el no
entregar información concisa
transparente inteligible y de fácil
acceso Además del hecho de por ejemplo
contar con eventualmente ciertas
preguntas que lo único que hace es deriv
arme a link sin que se entregue la
información en las secciones que tienen
uso algunos sitios web que son de
preguntas y respuesta si Uno ve las
multas son bastante cuantiosa y yo creo
que más de alguno de nosotros que ha
leído la prensa internacional sabrá A
qué casos me refiero particularmente en
uno o en otro y la verdad es que es
tremendamente importante y yo yo creo
que en el último tiempo ha tomado una
tremenda relevancia lo que es la
transparencia de información no
solamente en materia de datos personales
sino también lo que dice relación por
ejemplo con otra regulación que también
está justo en su primera etapa
constitucional de discusión que dice
relación con todo lo que es
entrenamiento en sistemas de
Inteligencia artificial Como dijo muy
bien y como se señaló este principio que
anteriormente en el proyecto en la ley
vigente no estaba de manera clara
definido Ahora sí tiene una una noción
Clara como principio en el proyecto de
ley y lo que nos señala particularmente
es que el responsable tiene el deber de
entregar información necesaria para el
ejercicio de los derechos que establece
la ley las políticas y las prácticas en
cuanto al tratamiento de los datos Y
además que deben estar siempre accesible
y a disposición de cualquier interesado
de manera precisa Clara inequívoca y
gratuita dicho de otra forma mucho más
claro tienen que estar claro Cuáles son
los derechos que se pueden ejercer y la
forma en que se pueden ejercer los
derechos que reconoce la normativa a los
titulares debe estar la política y como
vamos a ver más adelante un poquito el
detalle cuál dice este principio esta
política no es cualquier política es una
política que dice relación con los
elementos que reconoce la organización
en materia de El resguardo y el
compromiso que también tiene la
organización en cuanto al procesamiento
de datos Y también es importante que la
política tenga fecha y me permite
eventualmente dar cuenta Cuál fue la
última fecha de actualización y efectiva
amente también cómo se pueden realizar
las comunicaciones a propósito de
actualizaciones futuras las prácticas
que puede tener la organización en
cuanto al tratamiento de la Data Y por
último que se encuentre de formato
accesible Y esto es también el
compromiso que tiene el responsable de
entregar de manera honesta y Clara la
información a los titulares
particularmente al momento en el que
está capturando la Data o eventualmente
el momento en el que como se señaló
anteriormente se produce la ura de
consentimiento obviamente identificando
Cuál es la actividad de procesamiento
para el cual el titular está
consintiendo
el deber que se le impone al responsable
establece una serie de elementos que
debe tener particularmente o que debe
cumplirse para poder cumplir con este
deber de transparencia e información y
que Es bien interesante porque la
técnica que se agregó en el proyecto de
ley hay algunos matices en relación a
cómo se ha presentado particularmente a
nivel
europeo particularmente en el que todos
los elementos de artículo 14 ter del
proyecto están con las frases que se
deberán Por ende es algo que
necesariamente Un responsable tiene que
presentar ahora como lo vamos a ver más
adelante Lo importante es el Cómo
presento esta información y eso es algo
que claramente me distingue en el hecho
de poder encontrarme frente a un
catálogo extenso e inentendible de
información de todos los elementos que
contiene el artículo frente
eventualmente a lo que dice relación al
hecho de entregar información por
ejemplo por capas o de forma
simplificada sin perjuicio que siempre
tenga la posibilidad y la libertad el
titular de acceder a la información
completa y eventualmente informarse de
una manera mucho más detallada del
movento o de la información que puede
estar eventualmente capturando como
también de los usos o actividades de
procesamiento de Data que Está
realizando el T el responsable
particularmente de la organización
uno de los primeros elementos que
establece es la política y acá la
política como se dijo muy bien es el
elemento que permite eventualmente
establecer todos los lineamientos que
tiene la organización en cumplimiento de
esta regulación y acá un componente
importante es el hecho de que debe
constar la fecha y la versión no es lo
mismo que esté una política antes del
proyecto de ley que Esperamos que sea
prontamente ya ley en el país frente
eventualmente una política que está ya
con los estándares que tiene La
regulación que se espera que prontamente
se e se apruebe deben también estar los
datos del responsable donde debe haber
una individualización del responsable y
del representante legal y efectivamente
también un punto o una identificación En
caso de que exista algún delegado de
protección de datos personales o en este
caso un encargado de prevención de
modelo de infracciones debe constar el
domicilio y Esto fue un punto que se
discutió particularmente en la última
etapa constitucional donde donde
finalmente se establecía iba a suceder
en relación a el domicilio o
eventualmente la designación de un
domicilio y se definió finalmente que
sea un domicilio postal donde puede
constar ya sea la dirección de correo
electrónico un formulario de contacto o
la identificación a través de algún
medio tecnológico equivalente de uso
común y fácil para que eventualmente el
titular pueda ejercer los derechos que
reconocen la normativa los famosos
derechos arco que como los vamos a ver
más adelante lo que permite obviamente y
como mostró muy bien también
particularmente la plataforma permite
hacer este rastreo de ver en qué caso se
encuentra el desarrollo la solicitud y
obviamente estar pendiente del
cumplimiento de los plazos que establece
la normativa porque claramente el hecho
de
poder extenderme de ese plazo puede ser
una causal de infracción de La
regulación otro punto importante es el
tema de las categorías de datos y acá lo
que pide es básicamente que se entregue
categoría clase o tipo de dato Sí además
de eso también es importante que se
señale Cuáles son los destinatarios a
los cual se comunican o se ceden los
datos las finalidades del tratamiento
donde como se mencionó anteriormente
nuestra normativa actual solamente nos
limita a dos al consentimiento y la ley
pero el proyecto de ley reconoce
muchísima más y ojo ahí que hoy día
justo en la mañana estaba leyendo un
caso donde hay algunas organizaciones
que parece que el interés legítimo es
algo Bastante interesante para poder
también poder justificar actividades de
procesamiento de datos Y es importante
saber muy bien efectivamente Cuál es la
base que me permite poder realizar el
tratamiento para una actividad
específica frente eventualmente a otra
actividad que se pueda generar dentro de
la organización y como decía
anteriormente los casos en el que puede
haber un interés legítimo que debe ser
justificado y obviamente evaluado de
acuerdo a los procedimientos y a las
metodologías que se establezcan
las medidas de seguridad que cuenta la
organización particularmente en cuanto
al resguardo de los datos los derechos
arco es decir la posibilidad o la forma
en que se pueden ejercer estos derechos
el hecho de existir siempre la
posibilidad de poder ejercer un de
recurso ante la autoridad de control en
el caso de que o no se le entregue o
eventualmente no se ejerce el derecho no
haya una comunicación por parte del
responsable en el plazo que establece la
normativa o que directamente la
información en ejemplo en el caso de un
derecho de acceso la información fue
entregada parcialmente o directamente no
fue entregada oportunamente estos
elementos claramente me permiten también
poder ver el hecho de que en la política
y de acuerdo al deber de transparencia
información debe existir la posibilidad
de informar que existe este derecho de
poder eventualmente recurrir ante la
agencia específicamente competente en
esta materia y el hecho de existen o no
transferencias internacionales y también
en el caso de que no existan garantías
adecuadas o no sea particularmente un
país con un nivel adecuado de protección
el hecho de que existan garantías
similares para efectos de realizar esta
transferencia internacional de datos ojo
con algunas medidas que de acuerdo a lo
que ha pasado particularmente en Europa
son consideradas transferencias
internacionales y algunas prácticas que
No necesariamente lo son particularmente
porque finalmente la información no sale
de la frontera sino simplemente se
visualiza en otro territorio pero
eventualmente donde está localizado por
ejemplo los Data Center o eventualmente
el sistema que procesa la información es
un componente importante para ver si es
que efectivamente la información sale de
la frontera o particularmente se
encuentran en las fronteras nacionales y
ya para ir cerrando particularmente en
estas obligaciones los plazos de
conservación que es algo que es
tremendamente importante y que yo creo
que muchos de los que estamos acá
conectados se nos ha generado una
tremenda duda nuestro proyecto de ley no
nos dice Cuál es el plazo mínimo de
conservación de la Data Y la verdad
siguiendo mucho lo que es la técnica
europea permite entender que finalmente
Esto es algo que cada organización debe
identificar ya sea por cumplimientos de
normativas o derechamente por el hecho
de poder ser necesaria para actividades
de procesamiento por ejemplo la
ejecución de un contrato o eventualmente
el cumplimiento de alguna obligación
específica de carácter normativo también
las fuentes de de licitud identificar
bien Cuáles son las fuentes de licitud y
efectivamente si es que la información
Se se obtiene de una fuente de acceso al
público el consentimiento y acá uniendo
un poco también lo que señaló
anteriormente el hecho de la dificultad
que se establecen para poder cumplir con
los requisitos para el consentimiento
donde hemos visto particularmente este
2024 muchas situaciones a nivel europeo
donde al parecer el consentimiento no
cumplía todos los requisitos que
establecía la normativa y que claramente
ese es un poco de posible infracción
normativa particularmente por la
investigaciones que han realizado las
autoridad
europeas y por último el hecho de si
existen o no decisiones automatizadas
incluida las elaboraciones de perfiles y
en el caso de información significativa
también la lógica aplicada
particularmente como las consecuencias
que puede tener el titular en cuanto a
sus datos siendo utilizado en estos
procesos de decisión automatizada si nos
damos cuenta es bastante extenso los
elementos que no establece el artículo
14 del proyecto Y la verdad es que acá
No hay una única forma correcta de cómo
se debe presentar o se debe mantener
esta
información particularmente en los
sitios web o en alguna otra parte o en
algún otro eventualmente
soporte que pueda el responsable o que
debe el responsable tener para efectos
de que el titular sepa no solo cuando se
captura su consentimiento o la Data sino
también eventualmente qué es lo que está
haciendo el responsable en cuanto a esta
información que está capturando y
también a la información que ya tiene
particularmente de este titular algunos
consejos que nos ha dado la autoridad
europea primero estos este principio de
transparencia e información implica que
nosotros debamos ser tremendamente
concisos usando frases cortas y párrafos
que permitan primal m establecer
información tremendamente Clara de qué
es lo que estamos haciendo con la
información que hemos capturado donde
acá un enfoque de capas una primera capa
más simple una segunda capa mucho más
extensa Y así sucesivamente como también
la incorporación de iconografía son
tremendamente útiles para efectos de
poder ver finalmente Cómo se entrega la
información de la manera más clara
posible particularmente Al titular de la
dat
debe ser también Genuino y abierto y
honesto en Cómo se están usando los
datos de los titulares Y acá es
tremendamente importante el identificar
el Cómo se hace el Cómo probablemente
las ideas que establezca o que dicte la
agencia nacional van a ser tremendamente
útiles pero a nivel europeo Ya varias
autoridades han señalado finalmente el
poder utilizar frases que sean claras Y
precisas de los usos que se están dando
de los datos y particularmente al
momento en que se está capturando la
información debe ser de fácil acceso y
claro olvidémonos de estos sitios web
donde la información y toda la política
de privacidad está en un link difícil de
encontrar es tremendamente importante
acá tener un enfoque de usuario y de
experiencia de usuario en un sitio web
por ejemplo el hecho de poder
identificar Cómo puedo fácilmente a
través por ejemplo de banner o a través
eventualmente de dashboard poder acceder
a donde se encuentra publicada toda esta
información que nos pide o que nos va a
pedir la normativa debe ser también
inteligible Clara y un lenguaje común es
decir que si lo que yo busco que este
sitio web donde probablemente pueda
capturar el consentimiento de un titular
o donde eventualmente sé que tengo
usuarios de un cierto tipo es importante
que acá el lenguaje sea de una manera
tremendamente clara acá las políticas de
privacidad compleja extensas en un
lenguaje tremendamente jurídico no nos
ayudan mucho a poder cumplir este
principio en concreto acá es
tremendamente útil el hecho de poder
escribir de una forma simple y amigable
donde claramente se cumpla con los
elementos que nos establece La
regulación pero también particularmente
que permita ser entendido por cualquier
usuario que navegue por ejemplo en
nuestro sitio web o eventualmente que
tenga que ver esta información que vamos
a estar obligados para particularmente
por ejemplo cuando se realiza en un
soporte físico y debe ser precisa y
actualizada Y acá es donde usualmente
cuando uno analiza algunos sitios web
nos damos cuenta que no está por ejemplo
la fecha en el que corresponde la
política de privacidad no está la fecha
en el cual fue últimamente actualizada
la información que está siendo entregada
Por ende puede que esa Data sea
desactualizada y Por ende poder
obviamente infringir los elementos que
vios anteriormente establece La
regulación ya para ir cerrando algunas
conclusiones la información como les
dije tiene que ser en un formato conciso
transparente inteligible y de fácil
acceso donde yo tengo que buscar
entregar la información para que sea
entendible por el usuario y por el tipo
de titular al que estoy ya sea
capturando la Data o particularmente al
usuario que sé que tiene algún tipo de
exposición a este sitio web o
eventualmente donde estoy obligado a
hacer estas publicaciones debe ser en un
formato electrónico como lo establece
pero también puede ser de otra forma
puede ser a través eventualmente de
medios orales o físicos y es importante
que esta información no tiene costo para
el titular no así lo que puede suceder
por ejemplo en el caso de que haya una
solicitud de acceso particularmente
dentro de los Derechos arco y que por el
volumen de la información o por la
repetición de información puedan
eventualmente hacer algún costo lo que
claramente va a ser regulado a través de
guías particularmente la agencia cuando
se cree Tom ha sido particularmente
en autoridades europeas que han señalado
cuando se han hecho solicitudes
múltiples particularmente de acceso a
información por parte de un titular Y
por último se recomienda siempre un
enfoque proactivo acá la proactividad es
tremendamente importante y la
proactividad unida al trabajo
multidisciplinario donde es importante
que la información en que se presenta la
información y también la forma en que se
presenta esta información en sitios web
o eventualmente en otro formato sea
entendible no solamente por las áreas
jurídicas o por las áreas expertas de
particularmente seguridad de información
o las áreas particularmente
de especialistas de privacidad si no sea
entendible por otros usuarios que No
necesariamente utilizan el mismo
lenguaje que se utiliza en esta área del
derecho es importante que esta
información sea Clara sin perjuicio de
que el enfoque por capa es claramente
Útil para efectos de poder también poder
Al titular darle la opción de poder
tener capas de información de mayor
profundidad eventualmente también para
que pueda acceder y para ello siempre se
debe tener en cuenta la naturaleza la
circunstancia el alcance el alcance y el
contexto de las actividades de
procesamiento que tiene el organización
y sobre eso ver bien De qué forma se
puede entregar esta información de una
manera fácil Clara y obviamente que
cumpla con el principio de transparencia
e información eso Muchas
gracias muchas gracias Juan
Pablo ahí está la cámara Muchas gracias
por tu presentación Juan Pablo muy clara
también eh Y que deja bastantes tareas a
la organizaciones en lo que es va a ser
la implementación del proyecto de ley de
protección de datos a a continuación
pasaremos a una ronda de preguntas eh
tenemos varias preguntas así que vamos a
tratar de responder la mayoría de estas
e Así que también les pido a nuestros
expositores ser concisos con la con la
respuestas iré
dirigiéndola según los temas que
hayan expuesto ustedes sin perjuicio de
que alguna se pueden las podrían
responderlas ambos ya desde la visión de
cada uno de sus temas si es
consentimiento o transparencia me voy a
tomar la libertad de responder una sola
pregunta que hacía Rubén a través del
chat eh consultando respecto de si
Existe alguna aplicación herramienta
sistema Software que le pueda ayudar
para gestionar de forma global lo que es
la protección de datos en Chile bueno
precisamente ley de datos pone a
disposición de todos ustedes eh un
software que les permite la gestión
global de la protección de datos y todos
los elementos que estábamos mencionando
acá en este webinar y otros elementos
también que hemos mencionado en otros
webinar y así como muy a grandes rasgo
Lo que implica los registros de
actividades de tratamiento eh el
inventario de datos el ejercicio de
derechos arco de los derechos de los
titulares que presentaba Rodrigo también
las transferencias internacionales que
comentaba Juan Pablo también en algún
momento y todo lo que implica el
cumplimiento de la normativa
precisamente para evitar lo que
finalmente va a traer la futura agencia
de protección de datos que son las
sanciones y no solamente evitar
sanciones sino también cumplir con las
obligaciones de cada uno de los
responsables y encargados del
tratamiento Así que dicho eso bueno
Rodrigo va a poner su contacto para
quienes quieran
agendar una reunión y ver nuestra la
demo de nuestro software ahora entrando
ya en materia hay preguntas bastante
interesantes pero quiero partir por una
que puede ser una pregunta simple pero
quiero que la aborden cada uno desde su
visión La pregunta es qui está regulando
la privacidad de datos Está la entiendo
en presente quién está regulando hoy en
día la privacidad de datos luego quién
va a regular la privacidad o la
protección de datos a futuro qu es lo
que se
espera y Quiero agregar acá para el caso
de Juan Pablo y para el caso de javiera
respecto del javiera el caso
consentimiento qué facultades tienen
estos entes hoy y el día de mañana
respecto al consentimiento O qué es lo
que hay que preocuparse respecto al
consentimiento y Juan Pablo también lo
mismo para ti en transparencia qué
facultades podrían tener estos estos
entes actuales o futuros entes respecto
a lo que es la información y
transparencia eh partimos con
Javier
vale hoy día no existe una una autoridad
de control o una autoridad específica de
protección de datos e
vigente digamos eh si la crea el
proyecto de ley la agencia Nacional de
protección de datos que va a ser un ente
independiente y específicamente dedicado
a estas materias eh con con facultades
sancionatorias con facultades
fiscalizadoras algo muy parecido a al o
incluso con más facultades de las que
tiene cnac hoy día pero pero bastante
parecido a lo que podría tener sernac en
virtud del proyecto de ley de de de de
sernac robustecido que está hoy día en
el congreso
eh eso en términos generales no existe
una autoridad de protección de datos
eh transversal verdad a todas las
Industrias en Chile sin embargo cnac sí
tiene hoy día
una especie de posición de
autoridad transitoria al menos respecto
de el tratamiento de datos personales
que se generan en el contexto de los
actos de consumo
e a propósito de de un proyecto del
proyecto de ley
de que se aprueba hace un par de años
del 15 bis se le otorgaron a cnac estas
facultades de eh fiscalizar las materias
de protección de datos eh Como les digo
en el contexto de los actos de consumo
esas facultades deberían pasar a la
agencia una vez que entre en vigencia el
proyecto de ley sin embargo cnac va a
mantener e esta facultad de iniciar
acciones colectivas por lo tanto
Igualmente podría eh Quedarse una patita
de protección de datos en cnac sin
perjuicio que la mayoría de las
facultades al menos respecto de los
intereses individuales de los titulares
debería pasar a la agencia de protección
de dat eso no obsta a que existan
autoridades verdad sectoriales que
igualmente tengan ciertas facultades en
estas materias como lo son la dirección
del trabajo ándose del tratamiento de
datos personales de trabajadores como la
smf por ejemplo respecto del tratamiento
de datos personales de clientes
financieros ahora con mayor razón a
propósito de la creación del sistema de
finanzas abiertas
etcétera eso como respuesta a tu primera
pregunta la segunda
era bueno a futuro pero
ya respond la
agencia eh Juan Pablo desde tu
visión
em Bueno complementando un poco lo que
dijo anteriormente javiera
e efectivamente actualmente no existe lo
que esperamos todos es que esta agencia
tenga también facultades de poder
generar una unificación en ciertas
prácticas que se están generando el día
de hoy de algunas autoridades que tienen
competencias dispersas en materia
particularmente protección datos
personales e no solo desde la
perspectiva del consentimiento y
particularmente también en relación a la
transparencia sino específicamente uno
lo ve más claro a propósito de deberes
Como por ejemplo la seguridad en en el
que hay mucho regulador sectorial que
tiene una suerte de parte de competencia
y es importante ver también
particularmente cómo se van a tratar de
generar estas coordinaciones en materia
de transparencia e información yo creo
que nosotros acá a nivel nacional ya
tenemos una práctica particularmente a
propósito de ciertas fiscalizaciones que
realiza cnac y que hemos visto varios
casos particularmente de índole judicial
donde ciertas prácticas que usualmente
se utilizan y que eran toleradas a nivel
comercial eh No necesariamente entregan
la información de la manera más clara y
simple particularmente a eventuales
consumidores e creo también es
importante mencionar lo que dice
relación por ejemplo con un reporte de
hace algunos años atrás a propósito de
los patrones oscuros en sitios web donde
claramente lo que induce es
particularmente a una suerte de generar
ya sea una desconfianza por parte del
usuario a un sitio web sin
necesariamente que se genere una
relación de consumo en el que
probablemente se vea a veces por ejemplo
en una inam adversión de poder retirar
el consentimiento o eventualmente
generar una eh No sé una suerte de de de
de no seguir con la compra en algún caso
la contratación o también los casos
donde se han aceptado por ejemplo o
también hemos visto a nivel nacional la
particularmente el carácter abusivo de
estos términos y condiciones de uso
donde existen cláusulas tremendamente
amplias de captura de consentimiento que
No necesariamente van relacionadas con
el objeto principal O eventualmente sino
que se entiende que hay una captura de
consentimiento amplia y que claramente
son prácticas que van en contra de
entregar las la información de la manera
más clara y obviamente más transparente
a quien eventualmente se está exponiendo
frente a un sitio web o eventualmente
algún soporte que entregue
información perfecto Javier queres
agregar algo sí muy cortito que me
acordé de de de tu segunda pregunta
Ignacio en En cuál va a ser el rol
específicamente en materia de
consentimiento que debería jugar la
futura autoridad y acá solamente quería
hacer hincapié en lo que mencionaba en
la presentación hoy día todos los
elementos que muy claramente les comentó
Juan Pablo eh que tienen que vivir
cierto en estas políticas de privacidad
en cumplimiento del El Deber de
transferencia de
información hoy día no tenemos una
bajada así de específica respecto a cómo
se va a entender que que se cumple el
consentiment el requisito del
consentimiento informado Eso es en el
fondo los elementos que tiene que
mantener la política de privacidad que
tiene que estar permanentemente eh
disponible para los titulares no así el
texto de autorización o la forma en que
recogemos el consentimiento simplemente
hoy día el proyecto de ley nos dice
Usted tiene que cumplir con un
consentimiento informado pero no nos
dice Qué elementos debe entregarse de
debe entregar el responsable el titular
para cumplir con el requisito
consentimiento informado muy
probablemente lo que va a pasar Es que
la agencia y tenga un rol de hacer esa
bajada concreta bien importante como lo
como lo lo lo hizo el el european
protection Board en en Europa respecto
de que viven estas guidelines del
consentimiento del año 2021 que si si
algunos acá les interesa el tema Los
invito a leerla porque tiene un
desarrollo muy acabado y bien profundo
de todos los requisitos del
consentimiento en Europa que son los
mismos que vamos a tener en Chile eh ahí
la autoridad se preocupó de entregarle a
los responsables esta guía verdad o
estas directrices de cuándo se va a
entender que un consentimiento
efectivamente ha sido un consentimiento
informado y es lo mismo que debería ser
eh la futura agencia en Chile eso te
quería comentar Ignacio Sí y eso es un
muy buen punto Porque si bien Hay un
proyecto de ley que prontamente va a ser
eh va va a ser publicado
eh alos elementos de este proyecto de
ley la bajada va a tener que hacerle la
futura agencia y hay un plazo para que
la agencia también empieza a hacer su
trabajo hoy en día lo que nos queda eh
Porque también he visto un par de
preguntas de bueno Qué se está haciendo
hoy en día lo que nos queda es ver los
estándares Internacionales ver un poco
hacia fuera de qué es lo que se ha
regulado como bien Javier señalaba allá
en Unión Europea ya hay un desarrollo
respecto al tema del consentimiento
informado eh Y luego estar atent que va
a decir la agencia Cuáles van a ser las
particularidades de de de todos los
elementos que engloba la protección de
datos no solo el consentimiento porque
probablemente la agencia va a tener
otros criterios o otras directrices
distintas a lo que se hace afuera
Entonces eso es lo que la organizaciones
van a tener que estar muy atentas
eh otra pregunta
e Respecto a los contratos voy a juntar
dos preguntas
e se pregunta respecto a
qué pasa con estas cláusulas globales
incluidas en estos contratos eh o sea en
un contrato pensando un contrato con
algún Cliente por ejemplo
eh en el cual simplemente se hace
mención de eh la protección de datos Y
puede estar enfocada en distintos lados
en distintas en distintos ámbitos
Entonces qué resguardo hay que tomar
respecto a este tipo de cláusulas
globales en los contratos que se debe
especificar puntualmente que se hará
respecto de los datos es una pregunta
que me gustaría hacersela javiera
eh Respecto a los contratos enfocados
con los clientes con o sea con mi con mi
consumidor con mi cliente con el titular
al final de los datos personales y otra
pregunta Juan Pablo eh respecto qué pasa
con los contratos con mis proveedores
qué resguardos tengo que tomar en los
contratos con mis proveedores yo como
responsable tengo que establecer ciertas
cláusulas específicas Qué tienen que
decir esas cláusulas es la calidad de
ese proveedor también respecto a mí como
responsable esa sería la la pregunta
para ti Juan Pablo así que bueno
partamos con
Javier
vale estas cláusulas genéricas o
globales de autorización para el
tratamiento de datos no vuelan hoy día
ni vuelan mañana eh hoy día a pesar de
que es un es una ley es una ley de
protección de datos que Data del año 99
y que tiene muy poco cumplimiento verdad
y muy poco enforcement e hoy día la la
ley actual sí exige que el
consentimiento eh sea informado respecto
de los propósitos del tratamiento y
respecto de la posibilidad de comunicar
esos datos a terceros al menos esos dos
elementos la ley nos dice tienen que
estar eh en el texto de autorización
además tiene que ser un consentimiento
otorgado expresamente que es uno de los
principales cambios con el proyecto de
ley que cambia esta este requisito de
manifestación ex esesa a una
manifestación
inequívoca siguiendo de nuevo La La La
regulación europea entonces eh las
cláusulas generales a las que nos
enfrentamos con bastante frecuencia hoy
día que dicen usted me autoriza al
tratamiento de mis datos con fines
generales que yo pueda determinar en el
futuro Eso es sin ninguna duda un un
wording o una reacción que no cumple con
la ley actual ni va a cumplir con la ley
futura porque como les comenté los
requisitos del consentimiento bajo el
proyecto de ley son que sea un
consentimiento libre y que sea un
consentimiento específico eh además de
un consentimiento informado entonces la
la labor de los responsables es informar
claramente Cuáles son los propósitos las
finalidades de uso de esos datos Cuáles
son las categorías de datos que voy a
recoger del titular y que voy a tratar
Cuáles son los destinatarios de esos
datos entre otros elementos de la
esencia eh del consentimiento
e por ahí vi muy brevemente que alguien
mencionaba que el consentimiento tiene
que ser explícito el proyecto de ley no
habla de consentimiento explícito Eh sí
nos hemos enfrentado a esa a ese
requisito en en en en otros cuerpos
normativos como como la ley fintec o
como eh la ley de deuda consolidada
donde sí se requiere el consentimiento
explícito el proyecto de ley solamente
habla de consentimiento libre es muy
difícil de cumplir de nuevo por las
infinitas eh escenarios o hipótesis
donde se puede ver en riesgo Esa esa
libertad de otorgamiento del
consentimiento eh Y también nos exige
que el consentimiento sea específico no
exige que el consentimiento sea
explícito pero sí en el fondo lo podemos
leer desde el el requisito de la
especificidad que como les decía se
refiere tanto a la especificidad de los
propósitos del tratamiento como a la
especificidad de en el sentido de que el
titular sea capaz de aceptar algunos
propósitos de uso y rechazar otros es
decir ir mutando hacia esta tendencia
del consentimiento granular que el
titular tenga absoluto control respecto
de cuáles propósitos quiere autorizar y
cuáles propósitos quiere rechazar Y eso
se hace principalmente a través de lo
que comentaba Juan Pablo que es estas
dashboards o estas herramientas de
autogestión verdad e que puedan eh
utilizar los titulares en en las
distintas aplicaciones o páginas
web Gracias javiera Juan Pablo pasando
por ahora del otro lado la Vereda de los
proveedores sí em a ver siempre es
importante entender que cuando yo tengo
una relación con un tercero en este caso
un proveedor eh la relación se realiza
particularmente porque le estoy pidiendo
encargando a este tercero que haga algo
ya sea un encargado tratamiento en los
términos que no está establece el
proyecto de ley O puede que junto con
este tercero definamos los medios y los
fines para tratar ciertos datos y Por
ende actuamos en una figura de ccontrol
adores o corresponsables o este tercero
Define digamos de manera Autónoma los
fin los medios de estos datos que recibe
y actúa como responsable en cualquiera
de estas hipótesis siempre los
importante es que hay principios que se
tienen que cumplir y nuestro proyecto de
ley nos establece ciertos principios que
son base el principio transparencia
información es un principio base para el
responsable que ojo de acuerdo ahí a la
última versión por lo menos del
artículo 15 bis que establece
particularmente sobre los mandatarios el
encargado establece ciertas obligaciones
también de informar particularmente
primero de esta relación de esta
relación Clara y expedita de
comunicación que tiene que tener con el
responsable de hecho han habido varios
casos donde necesariamente nos hemos
dado cuenta que el responsable sobre
todo a nivel europeo ha sido sancionado
particularmente porque la información o
no se O sea la información no se ató
oportunamente de alguna posible
infracción que esté realizando el
encargado y en este caso es importante
que las cláusulas que se quieran
incorporar sean cláusulas que siempre me
permitan mantener los mismos estándares
que yo tengo como organización Por ende
por eso es tan importante que a pesar de
que al día de hoy no exista o más bien
el proyecto de ley está en una fase ya
terminal es importante que las
organizaciones sepan muy bien Qué tipo
de dato y qué actividad de procesamiento
tienen para ver cuáles son los riesgos
que puede tener eventualmente y cuáles
son los riesgos que tienen estos
terceros al que estoy encargando
probablemente algún tipo de uso de
información y que sobre eso
eventualmente también nos podrían
eventualmente informar oportunamente En
caso que haya alguna situación que
exceda eventualmente el mandato o
particularmente la actividad de
tratamiento que yo le pedí esto es
importante porque también me permite a
mí por ejemplo hacer algo que acá me he
dado cuenta que a nivel nacional me
hemos estado preocupando enormemente que
es el hecho de empezar a incorporar
buenas prácticas y certificaciones para
estos terceros que estamos contratando
eso es un deste si uno ve un poco lo que
está pasando en la realidad europea o
probablemente muchos de los que estamos
particularmente acá hemos tenido que
contratar o hemos tenido algún tipo de
relacionamiento con autoridades o con
organizaciones que tratan dat datos en
el territorio europeo no hemos dado
cuenta que no han incorporado cláusulas
de estándar gdpr para efectos de
cumplimiento o eventualmente algunas
buenas prácticas que tenemos que adherir
que van en relación con particularmente
lo que es La regulación europea ahora no
solamente suscribir el contrato es
cumplirlo y usualmente el tema de
demostrar la evidencia que lo estoy
cumpliendo es el desafío que tienen las
organizaciones particularmente cuando
contratan con estos terceros o también
las propias organizaciones a través de
este proceso de publicación de una
política de privacidad y también tiene y
que particularmente me da la impresión
de que nuestra autoridad nacional lo va
a hacer el ir a verificar que se está
cumpliendo y qué relación entre lo que
he publicado a través de este principio
de transparencia información y lo que
estoy haciendo internamente en cuanto a
los datos que proceso en mis actividades
cotidianas del
giro clarísimo bueno Muchas gracias a
ambos no sé si les queda tiempo para una
pregunta corta para cada uno de
respuesta rápida Sí obvio Sí ya y con
eso terminamos eh para ti javiera
respecto del del consentimiento eh
hablamos mucho de medios tecnológicos
medios digitales para capturar el
consentimiento Pero bueno Qué pasa si
una persona va a un local comercial de
una empresa y quiere Eh bueno
eh se se le solicita el consentimiento
en esa
oportunidad qué resguardo tiene que
tomar esa organización Cómo respalda ese
consentimiento que quizás lo dio no sé
de forma verbal de forma expresa como
tiene que ser y ya Perdón para Juan
Pablo eh otra pregunta que respecto a
las políticas de privacidad se nos
exigen a las organizaciones que se
informe un montón de detalle un montón
de características de lo que es el
tratamiento de lo que se tiene de lo que
está haciendo el responsable con esos
datos los conservación etcétera etcétera
etcétera Pero qué pasa cuando esa
política de privacidad es demasiado
extensa o sea terminamos con una
política privacidad de páginas y páginas
y páginas y páginas de información Eso
no atenta también con el principio bueno
acá hablan del principio de lealtad con
el mismo principio de transparencia Qué
se puede hacer en ese caso los dejo con
esas dos preguntas Juan Pablo primero
contigo s la respuesta va a ser bastante
breve uno si ve un poco lo que ha
sucedido a nivel internacional es que lo
que nos pide es que existe la
información el Cómo no nos dice
necesariamente el Cómo debemos
plantearlo y de acuerdo a las buenas
prácticas que han salido a nivel europeo
la fase o las capas de información es
tremendamente importante generar una
capa de los elementos que me pide la ley
de manera simple entendible y luego una
segunda capa donde haya un desarrollo
mucho más profundo de la información
Esto me parece que es tremendamente
importante porque también dependiendo
del tipo de titular que yo tengo o del
tipo de público puedo agregar
iconografía puedo agregar eventualmente
elementos que sea mucho más fácil
entender Cuáles son los contenidos
mínimos de esta política o de la
información que debe estar publicada y
luego eventualmente puedo ir mutando y
también generando otras capas de
profundidad donde sí nos encontramos con
esta política es tremendamente larga
pero que obviamente es bastante tediosa
y me puede generar algún tipo de
problemática entenderlo
perfecto Gracias Juan Pablo
javiera
e solamente hacer complementar algo muy
cortito respecto de eh del tratamiento
de datos por proveedores que creo que es
un tema al que se enfrentan la empresa
con bastante frecuencia en la práctica
lo que ocurre o lo que debería ocurrir o
la recomendación es cuando estamos con
el sombrero responsable eh Y evaluando
verdad la contratación de proveedores
que de alguna manera van a acceder a los
datos personales de los clientes de la
empresa los trabajadores de la empresa
los proveedores de la empresa tenemos
que hacer esta diferenciación entre
proveedores críticos y proveedores que
van a acceder a datos personales pero
que tal vez no a categorías sensibles de
datos personales o a categorías
especiales de datos personales o no a un
gran volumen es distinto e el la empresa
que me hace el payroll que probablemente
tiene información acceso a información
sensible de la compañía eh a No tengo
idea un proveedor tal vez de Delivery y
que solamente accede a una eh a un
domicilio a una dirección eh de despacho
sin identificación de un titular
específico eh y por lo tanto ahí los
controles que tiene que ejercer la
empresa obviamente son distintos
dependiendo de la criticidad de ese
proveedor o se ahí solamente hacer el
punto en que en general nosotros en la
práctica nos enfrentamos como a
proveedores no críticos a los que
simplemente basta con tener una cláusula
de de mandato para el tratamiento de
dato que cumpla Obviamente con los
requisitos legales pero cuando estamos
hablando de un proveedor de nube
claramente Tenemos que tener un dpa un
Data processing agreement o un anexo de
mandato para el tratamiento de datos eh
que regule de manera mucho más detallada
el acceso y el tratamiento que va a
hacer ese proveedor por mí o en
representación mí por el lado de El la
la recolección del consentimiento
e por medios físicos eh es absolutamente
válida eh ilegal eh la firma es algo que
vemos cada vez con menos frecuencia pero
pero pero no En ningún sentido e es un
incumplimiento de los requisitos del
consentimiento
eh bien puede un titular entregar eh su
consentimiento para el tratamiento de
sus datos personales mediante una firma
hológrafo en un soporte físico ahí el
desafío obviamente de la de la de la
organización va a ser el mantener un
registro eh de esa autorización o esa
política de privacidad específica que
aceptó ese titular llevar un resguardo
verdad a almacenar de manera segura eh
aplicando las medidas de seguridad eh
que sean adecuadas al al almacenamiento
de esa información física y muy
probablemente va a ser más difícil para
ese responsable el acreditar frente a
una autoridad el día de mañana un poco
el ciclo de vida verdad eh o ese
tracking de de de la recolección de El
consentimiento de ese titular de manera
física versus eh una organización que e
tiene esa que tiene una gobernanza de
datos o que tiene eh Esa estructura o
esa infraestructura y esos sistemas para
eh almacenar Esa información eh de
manera electrónica de una manera mucho
más organizada que sea más fácil
acreditar el cumplimiento Eh entonces es
simplemente creo un desafío más bien
desde un punto de vista técnico eh pero
es absolutamente válido y y y legal El
recoger el consentimiento en un formato
físico eh siempre que se cumpla con el
requisito de libertad con el requisito
de especificidad eh y que claramente
haya una declaración o un acto
afirmativo de ese titular en torno al
tratamiento de sus datos
personales Muchas gracias javiera claro
y que la organización tome los
resguardos para para la recopilación de
ese consentimiento y mantenerlo ahí para
si el día de mañana lo requiere para
algún otro fin por ejemplo que la misma
agencia lo solicite que puede
pasar bueno con eso damos por concluido
el webinar de hoy le agradezco
enormemente a Juan Pablo de javiera eh
Por sus exposiciones por su tiempo para
el día de hoy eh Bueno llevar estos
temas que transparencia y consentimiento
se habla mucho pero no no se había creo
que hoy día logramos darle un poco la
bajada a la realidad práctica de lo que
son Estos principios de lo que es esto
como base ilicitud y todos estos
conceptos que engloba el ecosistema de
protección de datos que vamos a seguir
revisando nuestros webinar eh le
invitaciones para que estén atentos a
nuestras redes sociales vamos
prontamente también a publicar respecto
a lo que va a ser ser la comisión mixta
eh Y el resultado de que Esperamos que
sea un resultado positivo y ya esto eh
tenga buen término y dejarlo invitado
también a ver nuestra página web a los
que estén interesados a agendar una demo
eh Para eh Ver Nuestro software eh Cómo
este los puede ayudar el día de mañana a
gestionar todo lo que implica la
protección de datos y todo lo que
estábamos hablando recién todos estos
elementos y y y obligaciones que hemos
estado hablando durante este webinar y
los otros webinars eh lo invito también
a agendar
eh Y bueno con eso ya podemos dar por
concluido el día de hoy este muy buen
webinar ya estamos recibiendo muchas
felicitaciones y mensajes de de
agradecimiento así que bueno eh También
nosotros contentos de poder llevar todos
estos temas a a todos los interesados de
en la protección de datos y lo que es el
cumplimiento de la normativa que eso
hasta luego Muchas gracias muchas
gracias Que estén bien an