Bases de Licitud y Derechos ARCO - Ley De Protección de Datos Personales - LeyDeDatos.com

Procesado: 01:05:05 162

Hacer Pregunta

Análisis

RESUMEN DEL WEBINAR SOBRE BASES DE LICITUD Y DERECHOS ARCO

Introducción y Presentación de los Expositores

El webinar, grabado y disponible en YouTube y LinkedIn de LeyDeDatos.com, aborda las bases de licitud y los derechos ARCO en la protección de datos personales. Presentado por Ignacio Gallardo, experto en derecho digital, y Matías Aranguis, profesor y especialista en derecho de datos.

Bases de Licitud y su Aplicación (Ignacio Gallardo)

  • Conceptos Clave: El webinar se enfoca en entender el marco legal que regula el tratamiento de datos personales, incluyendo bases de licitud, interés legítimo y derechos ARCO.
  • Interés Legítimo: Se discuten las aplicaciones y dificultades del interés legítimo en negocios, enfatizando su importancia en el tratamiento de datos.
  • Derechos ARCO: Se exploran casos prácticos de cómo ejercer los derechos ARCO y las respuestas esperadas por parte del responsable o encargado del tratamiento.
  • Control sobre Datos: Se destaca la importancia de que las personas tengan control sobre sus datos personales, lo cual es fundamental en la normativa actual y el proyecto de ley.
  • Procedimiento y Agilización: Se explica la transición del procedimiento judicial atual a un sistema con la Agencia de Protección de Datos como ente regulador, buscando flexibilizar y agilizar el ejercicio de los derechos.
  • Derechos Arco Plus: Se mencionan y explican los derechos de acceso, rectificación, cancelación (o supresión), oposición, portabilidad y limitación como componentes de los derechos ARCO.
  • Principios Fundamentales: Se identifican los principios de transparencia, calidad de la información, capacidad de control y, especialmente, la responsabilidad proactiva de las organizaciones en el tratamiento de datos.
  • Ejercicio de los Derechos: Se indica que los derechos ARCO son personalísimos y se pueden ejercer ante el responsable del tratamiento, con el derecho de este último a solicitar identificación.
  • Derecho de Acceso: Se explica el derecho de acceso a información específica, incluidos datos tratados, su origen, finalidad, destinatarios, tiempo de conservación e intereses legítimos. Se mencionan excepciones cuando la información ya está disponible o su entrega es desproporcionada.
  • Derecho de Rectificación: Se detalla la rectificación de datos inexactos, desactualizados o incompletos, incluyendo la obligación de comunicar la rectificación a terceros y la posibilidad de solicitar documentación justificativa.
  • Derecho de Cancelación/Supresión: Se explican los casos para cancelar datos (cuando ya no son necesarios, se revoca el consentimiento, se obtienen de forma ilícita, etc.), y excepciones (libertad de opinión, interés público, etc.).
  • Derecho de Oposición: Se describe el derecho de oposición al tratamiento de datos, incluyendo marketing directo y datos de acceso público, así como las excepciones (libertad de opinión, interés público). Se incluye la oposición a valoraciones personales automatizadas, incluyendo la elaboración de perfiles.
  • Derecho de Portabilidad: Se simplifica como la solicitud de transferencia de datos de una entidad a otra, aplicable cuando el tratamiento es automatizado o se basa en el consentimiento.
  • Consideraciones Finales para Empresas: Reiteración de que los derechos se ejercen directamente ante el responsable, mecanismos tecnológicos deben ser implementados. Se enfatiza que los ejercicios son gratuitos y que la Agencia vela por el cumplimiento, con plazos de respuesta de 15 días hábiles.

Plataforma LeyDeDatos.com (Rodrigo)

  • Mapeo de Activos (Data Mapping): Se muestra una herramienta para visualizar los activos de una organización, fundamental para identificar riesgos y cumplir con normativas de protección de datos, especialmente en países que no son "puertos seguros."
  • Evaluación de Impacto: Se exhibe un módulo para evaluar el impacto de los tratamientos de datos, incluyendo plantillas para identificar riesgos, propósitos, consultas, necesidades y controles, con el objetivo de demostrar el cumplimiento normativo.

Bases de Licitud para Tratamiento de Datos (Matías Aranguis)

  • Contexto Histórico: Se explica el surgimiento de la regulación de datos personales desde finales de los años 60 y 70, como respuesta a la desconfianza en el tratamiento de datos por parte de gobiernos y luego empresas.
  • Regla General y Excepciones: Se enfatiza que, en general, el tratamiento de datos requiere una base de licitud, destacando la explosión en la cantidad de datos tratados en la era digital.
  • Definición del Recital 40 del RGPD: Se explica que el tratamiento de datos requiere una base de licitud para cada función específica y que la normativa nacional puede establecer especificaciones adicionales.
  • Datos Recogidos vs. Inferidos: Se subraya que el derecho de acceso se centra en los datos personales recogidos, no necesariamente en la información inferida.
  • Bases de Tratamiento (RGPD):
    • Consentimiento: Se profundiza en los requisitos del consentimiento (expreso, probado, revocable, diferenciado).
    • Otras Bases: Se mencionan la ejecución de un contrato, el cumplimiento de una obligación legal, la protección de intereses vitales, la realización de una misión en interés público, y la satisfacción de intereses legítimos.
  • Preguntas sobre Derechos ARCO y Bases de Licitud: Se exploran interrogantes sobre la separación entre obligaciones contractuales principales y accesorias, portabilidad en casos de obligaciones financieras, y el uso legítimo de intereses.
  • Responsabilidad y Daños: Se discute sobre las diferentes implicaciones de la responsabilidad contractual y extracontractual, como la graduación de la culpa y los daños indirectos.

Ronda de Preguntas y Respuestas

  • Transferencia de Datos Intragrupo: Se discuten las dificultades de justificar la transferencia de datos entre empresas de un mismo grupo.
  • Videovigilancia y Biometría: Se analiza la base legal para el uso de videovigilancia y detectores biométricos en negocios durante la pandemia.
  • Derechos Arco y Trabajadores: Se responde la pregunta sobre cómo los trabajadores pueden ejercer sus derechos ARCO ante sus empleadores.
  • Algoritmos en Redes Sociales: Se explica la aplicación de los derechos ARCO, incluyendo la oposición, en el contexto de los algoritmos y las plataformas de redes sociales.
  • Estudios Médicos: Se aborda la aplicación de la ley en el ámbito médico, con datos sensibles y requisitos especiales, incluyendo la necesidad de consentimiento y la dificultad de la anonimización.

Sabiduría

RESUMEN

En este webinar, Ignacio y Matías de LeyDeDatos.com explican las bases de licitud y los derechos ARCO, incluyendo ejemplos prácticos, el rol de la Agencia de Protección de Datos y la importancia del consentimiento, con un enfoque en la protección de la información personal de los usuarios.

IDEAS

  • El webinar se grabará y estará disponible en el canal de YouTube de LeyDeDatos.
  • Se discutirán las bases de licitud y los derechos ARCO en el contexto de la protección de datos personales.
  • Ignacio Gallardo, experto en derecho digital, presentará la información sobre los derechos ARCO.
  • Los derechos ARCO buscan dar a las personas control sobre sus datos personales.
  • El proyecto de ley se inspira en estándares internacionales de protección de datos.
  • El cambio más importante con el proyecto de ley es el procedimiento para ejercer los derechos.
  • Se busca flexibilizar y agilizar el ejercicio de los derechos de protección de datos.
  • Los derechos ARCO incluyen Acceso, Rectificación, Cancelación, Oposición, Portabilidad y Limitación.
  • Los principios fundamentales son transparencia, calidad de la información y capacidad de control.
  • El principio de responsabilidad proactiva exige mecanismos adecuados y demostración del cumplimiento.
  • Las empresas deben demostrar cómo cumplen con la normativa de protección de datos.
  • Los derechos ARCO son personalísimos y sólo los titulares o sus representantes pueden ejercerlos.
  • El derecho de acceso permite solicitar y obtener información específica sobre los datos tratados.
  • El acceso incluye datos tratados, origen, finalidad, destinatarios, tiempo de conservación e intereses.
  • El responsable puede negar el acceso si el titular ya dispone de la información solicitada.
  • El acceso puede ser denegado si la entrega exige esfuerzos desproporcionados o es imposible.
  • La denegación no aplica si los datos están bloqueados, el responsable debe desbloquearlos.
  • El derecho de acceso no incluye en el proyecto de ley decisiones automatizadas ni transferencias internacionales.
  • El derecho de rectificación permite corregir datos inexactos, desactualizados o incompletos.
  • Una vez rectificados datos, se debe informar a otras entidades o destinatarios.
  • Se puede solicitar documentación justificativa para la rectificación de datos.
  • El derecho de cancelación permite eliminar datos personales en diversos casos.
  • La cancelación no aplica si afecta a la libertad de opinión o es necesario por interés público.
  • La supresión puede ser total o parcial, eliminando el tratamiento de los datos completamente o en parte.
  • El derecho de oposición permite oponerse a un tratamiento específico de datos personales.
  • Se debe de oponer cuando el tratamiento afecte derechos y libertades fundamentales.
  • El derecho de oposición se aplica a la mercadotecnia o marketing directo.
  • El derecho de oposición se aplica a los datos obtenidos de fuentes de acceso público.
  • El derecho de oposición también incluye el tratamiento de datos para perfiles automatizados.
  • La portabilidad permite trasladar datos a otra entidad cuando el tratamiento es automatizado.
  • Las empresas deben establecer mecanismos tecnológicos para el ejercicio de estos derechos.
  • El ejercicio de los derechos ARCO es gratuito para los interesados.
  • La Agencia de Protección de Datos vela por el cumplimiento y resuelve en caso de negativa.
  • Se establece un plazo de 15 días hábiles para la respuesta a los ejercicios de los derechos ARCO.
  • El módulo de mapeo de leydedatos.com permite ver los activos de una organización.
  • El módulo de evaluación de impacto de leydedatos.com es central para la gestión de datos.
  • Las bases de licitud son esenciales para el tratamiento de datos personales.
  • La regla general es que no hay libertad de tratamiento de datos sin una base de licitud.
  • Las bases de licitud evolucionan con la digitalización y el aumento de interacciones.
  • El consentimiento es una base de licitud con altos requisitos de validez.
  • El consentimiento debe ser verificable, expreso, diferenciado, inteligible y revocable.
  • El consentimiento tácito no es válido según la ley de protección de datos.
  • Las bases de licitud pueden incluir la ejecución de un contrato o el cumplimiento de una obligación legal.
  • El interés legítimo es otra base de licitud, aunque con menos aplicación en datos sensibles.
  • La anonimización es un desafío técnico complejo en la protección de datos.

INSIGHTS

  • El control sobre los datos personales es fundamental para la protección de la privacidad en la era digital.
  • La proactividad en la protección de datos es crucial, las empresas deben demostrar cumplimiento.
  • La simplificación y agilización de los procedimientos de acceso a los datos son importantes para los usuarios.
  • Los derechos ARCO son una herramienta clave para empoderar a los individuos sobre su información personal.
  • El proyecto de ley busca alinear la legislación chilena con estándares internacionales en protección de datos.
  • La correcta identificación y clasificación de los datos son importantes para el cumplimiento normativo.
  • La transparencia en el tratamiento de datos genera confianza y facilita el ejercicio de los derechos.
  • La implementación de tecnología es esencial para gestionar eficientemente los derechos ARCO.
  • La diferenciación entre datos recogidos e inferidos es clave para entender el alcance de los derechos ARCO.
  • El consentimiento debe ser informado, específico y revocable para ser una base jurídica válida.
  • La seguridad y la privacidad de los datos personales deben ser la prioridad.
  • La creación de herramientas que ayuden a la gestión de datos es fundamental.
  • La normativa legal debe ser clara para facilitar la gestión de datos.

CITAS

  • "La temática hoy día va a ser base al Instituto y Derechos Arco, los conceptos fundamentales."
  • "Todos nosotros, las personas queremos tener control sobre nuestros datos personales."
  • "El punto esencial es el control y para eso la normativa... pone de manos de los titulares el ejercicio."
  • "Los derechos arco, su sigla viene de acceso, rectificación, cancelación, oposición."
  • "No basta con solicitar, tiene que obtener también del responsable una respuesta."
  • "Es muy importante que se distinga también cuándo estamos ante la presencia de un ejercicio, un derecho arco y cuándo no."
  • "Las empresas tienen que incorporar mecanismos y herramientas tecnológicas para el ejercicio de estos de estos derechos."
  • "La idea es que todo el tratamiento tenga una causa, no es cierto? Una base de lexicitud y tenga por tanto las condiciones que tenga esa base de leicitud."
  • "El titular de datos debe tener derecho a acceder a los datos personales recogidos."
  • "Por tanto, el derecho de acceso es fundamental porque una delimitación clara, son los datos recogidos, h no los datos que yo pueda haber procesado"
  • "Si se da por escrito, ¿cierto? Y ahí es la única única especificación que tenemos reglamento"
  • "El consentimiento tiene que ser algo que yo sea capaz de probar y que sea expreso."
  • "El dato no es distinto un órgano del cuerpo con la única diferencia diferencia que una vez que el dato está digitalizado es replicable"
  • "Estamos en una situación aún más precaria, ¿cierto?, de la realidad versus lo que está entendiendo la regulación de cómo funcionan los hospitales de la realidad."

HÁBITOS

  • El orador hace énfasis en entender y aplicar la ley, el orador explica de manera clara y sencilla.
  • El orador utiliza ejemplos prácticos para ilustrar la información clave sobre los conceptos.
  • Las presentaciones incluyen una sección de preguntas y respuestas para aclarar dudas.
  • El orador menciona la importancia de actualizarse con la normativa y analizar el entorno.
  • Se promueve el uso de herramientas tecnológicas para automatizar el cumplimiento.
  • El orador valora la transparencia y el lenguaje claro en la comunicación de datos.
  • Se promueve la participación activa de los asistentes interactuando durante el webinar.
  • El análisis del webinar muestra la importancia de la proactividad en la gestión de datos.
  • Se enfatiza la importancia de la revisión y la explicación con los datos del módulo.
  • El orador reconoce la complejidad de la legislación y su aplicación.

HECHOS

  • El webinar es grabado y disponible en YouTube y LinkedIn para consulta posterior.
  • La normativa sobre datos personales se basa en estándares internacionales.
  • El proyecto de ley en Chile busca alinear la legislación con estándares globales.
  • La Agencia de Protección de Datos será el ente regulador de los derechos ARCO.
  • Los derechos ARCO están definidos por el acceso, rectificación, cancelación, oposición, portabilidad, limitación.
  • El proyecto de ley actualiza los derechos ARCO para una mayor protección.
  • Las empresas deben demostrar el cumplimiento normativo en el manejo de datos.
  • El ejercicio de los derechos ARCO es fundamental para el control de datos personales.
  • Las empresas deben implementar herramientas y mecanismos tecnológicos.
  • El consentimiento es una base de licitud que requiere requisitos específicos.
  • La Unión Europea tiene un Reglamento General de Protección de Datos (RGPD).
  • Existe una regulación sectorial en materia de ficha clínica y salud.
  • La anonimización de datos es un desafío técnico complejo y en desarrollo.
  • La empresa es responsable de obtener consentimiento verificable.
  • La ley en Chile es la base de licitud.

REFERENCIAS

  • Canal de YouTube de LeyDeDatos.
  • Página de LinkedIn de LeyDeDatos.
  • Reglamento General de Protección de Datos (RGPD) de la Unión Europea.
  • Proyecto de ley chileno sobre protección de datos personales.
  • Directiva Europea sobre protección de datos (antigua).
  • Normativa de consumidor financiero en Chile (artículo 17).
  • Sentencia de la Corte Suprema sobre protección de privacidad (WhatsApp).
  • Código Sanitario y reglamentación del Ministerio de Salud sobre ficha clínica (2012).
  • Asociaciones y colegios médicos (recomendaciones éticas y profesionales).
  • World Medical Association (estándares internacionales).
  • Ejemplos de casos prácticos de derechos ARCO.
  • Módulo de mapeo y evaluación de impacto de leydedatos.com.
  • Fuentes de acceso público.
  • Meta (Instagram) - solicitud de datos.
  • Reglamento 46 de la Unión Europea.
  • Los datos en la evaluación crediticia.

CONCLUSIÓN EN UNA FRASE

Comprender los derechos ARCO y las bases de licitud es clave para proteger los datos personales.

RECOMENDACIONES

  • Suscríbase al canal de YouTube para mantenerse informado sobre protección de datos.
  • Implemente mecanismos de respuesta eficientes para el ejercicio de los derechos.
  • Revise y actualice las políticas de privacidad de la organización.
  • Capacite al personal sobre derechos ARCO y la correcta gestión de datos.
  • Utilice herramientas de gestión de datos para asegurar el cumplimiento.
  • Realice evaluaciones de impacto para identificar riesgos y cumplir con la ley.
  • Asegúrese de obtener el consentimiento válido de los interesados en datos.
  • Implemente el requerimiento de información ante la Agencia para gestionar datos.
  • Adapte las políticas de protección de datos para la seguridad y la privacidad.
  • Considere las particularidades de los datos sensibles y la normativa del sector.
  • Aprovecha las herramientas de leydedatos.com para facilitar la gestión.
  • Manténgase al tanto de las actualizaciones de la legislación y las recomendaciones.
  • Priorice la transparencia y el lenguaje claro en la comunicación y los contratos.
  • Implemente la revisión periódica del cumplimiento normativo para una mejora continua.
  • Involucre a un delegado de protección de datos y asegure una gestión de datos.

Sabiduría PRO DeepSeek V3

Análisis más profundo usando un modelo de IA avanzado. Genera insights más detallados y refinados.

sobre reprotección de datos personales.<br>Esta este webinar va a ser grabado, van<br>a poder acceder a él posteriormente en<br>nuestro canal de YouTube. Ahí les vamos<br>a dejar el link para que nos puedan<br>seguir en YouTube y en LinkedIn y estén<br>atentos a nuestras nuevas novedades, eh<br>los webinar que estamos haciendo, pueden<br>revisar este webinar, los webinars<br>pasados y eh también vamos a dejar un<br>link de preguntas o los pueden hacer<br>también por el chat de de Zoom, cosa que<br>después de la presentación de los dos<br>expositores podamos conversar respecto a<br>las dudas que puedan tener y las cosas<br>que quieran plantear en en el webinar.<br>Sí. Entonces, como muy bien adelantamos,<br>la temática hoy día va a ser base al<br>Instituto y Derechos Arco, los conceptos<br>fundamentales, diría yo, en el entender<br>del marco legal que nos va a regular el<br>tratamiento de datos personales en Chile<br>y en el mundo. Y vamos a aprender, por<br>un lado, qué son las bases de ilicitud,<br>eh cuáles son las comunes y cómo se<br>aplican y sobre todo el interés<br>legítimo. Vamos a conversar de interés<br>legítimo para el negocio, eh, y las<br>dificultades que podamos tener. Es como<br>la zona más importante a conversar de<br>bases de licitud. Y por otro lado los<br>derechos arco, eh ver casos prácticos,<br>cómo se ejercen y cómo respondemos desde<br>el lado del responsable o encargado del<br>tratamiento. Y como les había<br>adelantado, queríamos pedirles disculpas<br>por la ausencia de Leocadio. Él tuvo un<br>inconveniente, un imponderante último<br>minuto, pero lo va a reemplazar Ignacio<br>Gallardo, quien ahora les va a<br>presentar. Ignacio Gallardo es magíster<br>en derecho digital y sociedad de la<br>información de la Universidad de<br>Barcelona. Es abogado de la Universidad<br>de Chile y les va a presentar ahora<br>Derechos Sal. Ignacio, te dejo el pase y<br>cualquier cosa nos pueden preguntar.<br>Ya voy a compartir la pantalla, la<br>presentación. Eh, bueno, faltó decir ahí<br>también que uno de los socios fundadores<br>de Ley de Datos, así que esta<br>presentación viene de parte de ley de<br>datos. También<br>me confirmas, Rodrigo, si se ve la<br>pantalla.<br>Se ve perfecto.<br>Perfecto.<br>Bueno, como decía Rodrigo, lamentamos la<br>ausencia de de Leo Cayo, pero no<br>queríamos dejar fuera este tema eh por<br>la importancia eh que significa no solo<br>para las organizaciones, sino que<br>también para todos nosotros como<br>titulares de datos.<br>Eh,<br>este lo que respecta a los derechos arco<br>tiene una doble dimensión para las<br>empresas, cómo tienen que adecuarse,<br>implementar esta normativa y también<br>respecto de los titulares, cómo<br>nosotros, los titulares, nosotros, todos<br>ustedes que están conectados eh el día<br>de hoy, podemos ejercer estos derechos y<br>cómo, ante quién tenemos que recurrir eh<br>para ejercerlos y ante quién también<br>vamos a recurrir cuando no se respeten<br>estos estos derechos. Entonces, pasamos<br>al primer tema.<br>Esta exposición tiene eh se divide en<br>dos partes. Una parte general donde<br>vamos a ver un poco cuáles son los<br>principios que están detrás y los<br>fundamentos de los derechos arco. Eh, y<br>después una parte más específica,<br>analizando brevemente el contenido de<br>estos derechos.<br>Eh, ¿qué significa cada uno y cómo se se<br>pueden ejercer? en qué en qué casos eh<br>corresponde y en qué caso los<br>responsables del tratamiento pueden<br>también eh negar la el ejercicio de<br>estos derechos.<br>Y bueno, ¿dónde nace eh<br>la el ejercicio de los derechos arco?<br>¿Por qué existen estos derechos? Y estos<br>derechos existen por un motivo en<br>específico, es porque todos nosotros,<br>las personas queremos tener control<br>sobre nuestros datos personales.<br>Lo que buscamos que nuestros datos, los<br>que los datos que entregamos a las<br>organizaciones, empresas, el estado<br>o a otras personas, nosotros queremos<br>tener control, queremos saber dónde<br>están, queremos saber qué datos tienen<br>la las organizaciones, queremos saber si<br>esos datos están correctos y un montón<br>de otras cosas relacionadas con esos<br>datos. Entonces, el punto esencial es el<br>control y para eso la normativa, el<br>proyecto de ley que está en discusión<br>ahora en el Congreso y también que<br>bueno, el proyecto de ley se inspira en<br>estándares internacionales eh que ya<br>regulan eh esta materia en otras partes<br>del mundo, eh pone de manos de los<br>titulares el ejercicio de estos<br>derechos,<br>busca una posición activa del titular en<br>la defensa de sus derechos y libertades.<br>¿Y cuál es la diferencia? trascendental<br>entre lo que tenemos hoy en día, la ley<br>actual en Chile versus lo que es<br>proyecto de ley y estos estos estándares<br>que se buscan alcanzar el procedimiento.<br>Hoy en día nuestro nuestro ley contempla<br>estos derechos, existen en nuestra<br>legislación eh con algunas<br>características distintas, sí puede ser,<br>pero existen. Nosotros podemos ejercerlo<br>el día de hoy. El problema es<br>procedimiento. ¿Cómo ejercemos estos<br>derechos? ¿Ante quién los ejercemos? Hoy<br>en día la ley solamente establece un<br>procedimiento judicial ante los<br>tribunales de justicia para el ejercicio<br>de estos derechos. El proyecto de ley y<br>lo que busca también un poco el mundo ir<br>avanzando es poner esto dentro de lo que<br>es un ente regulador que va a ser la<br>Agencia de Protección de Datos, que va a<br>ser la encargada de fiscalizar y eh ver<br>las reclamaciones cuando se afectan<br>estos derechos. Entonces, el primer<br>cambio y más importante es el<br>procedimiento.<br>Lo que se busca un poco es flexibilizar<br>y agilizar el ejercicio de estos<br>derechos. Así que bueno, considerando<br>que hoy en día existen en nuestro<br>ordenamiento, me gustaría también saber<br>si es que alguno alguna vez ha ejercido<br>ante un tribunal eh estos derechos,<br>porque yo la verdad lo he visto muy poco<br>y la idea es que ahora en adelante esto<br>cambie, que nosotros como titulares<br>titulares de los datos podamos ejercer<br>estos derechos eh cada vez que sea<br>necesario. ¿Y cuáles son estos derechos?<br>Los derechos arco, su sigla viene de<br>acceso, rectificación, cancelación,<br>oposición.<br>Y por y y de dónde viene esta sigla<br>viene un poco de lo que era la directiva<br>europea, la antigua antigua directiva<br>europea que regulaba en específico estos<br>cuatro derechos,<br>eh, los cuales ahora han avanzado con el<br>nuevo reglamento, el nuevo reglamento<br>europeo y se han incorporado dos<br>derechos más que la portabilidad y la<br>limitación. Entonces hoy en día más que<br>derechos arcos, hablamos de derechos<br>arco más o plus o derechos arcos.<br>También hay otras siglas para incorporar<br>también estos otros dos derechos que se<br>que se agregaron. Eh, pero la idea hoy<br>en día es que hay una amplia gama de<br>derechos que se pueden ejercer y quién<br>dice que el día de mañana no se pueden<br>incorporar otros más. Eh, como dije,<br>acceso, rectificación, supresión,<br>cancelación. Se cambia el concepto a<br>supresión. El proyecto de ley ocupa<br>indistintamente los dos conceptos,<br>oposición y portabilidad. La limitación<br>está incluida en el proyecto de ley,<br>pero de forma más acotada. ¿Y cuáles son<br>los principios detrás? Transparencia,<br>calidad de la información, capacidad de<br>control, que es lo que mencionaba<br>anteriormente, que nosotros queremos<br>tener control de nuestros datos.<br>Y por otra parte, un principio que es<br>muy importante, que lamentablemente el<br>proyecto de ley no lo contempla de forma<br>específica, pero sí se da a entender en<br>todo lo que es su regulación, el<br>principio de responsabilidad proactiva.<br>¿Y qué es la responsabilidad proactiva?<br>lo que señala es que el responsable, las<br>organizaciones que tratan datos<br>personales tienen tienen que implementar<br>eh mecanismos adecuados para su<br>tratamiento y además tienen que ser<br>capaces de demostrar<br>ante eh en este caso la agencia que su<br>el tratamiento eh cumple con la<br>normativa. Entonces, no solamente se<br>busca ser responsable a la organización,<br>sino que esta también sea capaz de<br>demostrarlo. Y vamos a ver que en el en<br>el ejercicio de cada uno de estos<br>derechos, un elemento esencial es cómo<br>las empresas demuestran ante tercero,<br>ante sus ante los interesados y ante la<br>misma agencia cómo están cumpliendo con<br>estos derechos.<br>Y otro aspecto esencial de estos<br>derechos es que son personalísimos.<br>Solamente los titulares de los datos<br>pueden ejercerlo o algún representante<br>debidamente acreditado y las empresas<br>pueden también solicitar información a<br>la a quién ejerce el derecho para poder<br>acreditar su identidad.<br>Bueno, y el primero de estos derechos<br>del acceso, vamos a revisarlo muy muy<br>brevemente, no nos vamos a detener mucho<br>en cada uno de los derechos. Cada uno<br>habla por sí solo, eh, y esto es lo que<br>existe hoy en día en el proyecto de ley.<br>Esto está exactamente como está en el<br>proyecto de ley. Puede cambiar, puede<br>cambiar ahora en esto en transcurso<br>hasta hasta su aprobación, pero hoy en<br>día está de esta forma. ¿Y qué es lo que<br>lo que busca el acceso? Es solicitar y<br>obtener. Fíjense que el proyecto habla<br>muchas veces de solicitar y obtener. No<br>basta con solicitar, tiene que obtener<br>también del responsable una respuesta. Y<br>en este caso el acceso es poder acceder<br>específicamente a cierta información que<br>cuenta el responsable eh que la está<br>tratando. Y esto es en específico, datos<br>tratados y su origen. ¿Cuál es la<br>finalidad del tratamiento? ¿Quiénes son<br>los destinatarios de estos datos? ¿A<br>quién se lo están entregando?<br>¿Cuánto tiempo lo van a conservar? ¿Cuál<br>es el periodo estimado para conservar<br>esos datos? ¿Y cuáles son los intereses<br>legítimos del responsable para tratar<br>esos datos? Matías más adelante va a<br>hablar específico de los intereses<br>legítimos, pero también para que ustedes<br>sepan, el titular puede solicitar<br>información respecto a los intereses<br>legítimos. ¿Cuándo no está obligado el<br>responsable entregar esta información?<br>Cuando el titular ya dispone esta<br>información, lógico, si yo voy a un<br>banco y le pregunto cuál es mi nombre y<br>mi root, no tiene mucho sentido. Yo sé<br>cuál es mi nombre y mi root cuando su<br>comunicación resulta imposible o su<br>entrega exija esfuerzos<br>desproporcionados.<br>Esto la entidad tiene que acreditarlo.<br>Eh, no es no es que uno pueda alegar<br>esto cada vez que un alguien ejercita un<br>derecho. Tiene que ser eh objetivamente<br>eh demostrable que implica un esfuerzo<br>desproporcionado. Y acá hay un ejemplo<br>con el caso del bloqueo de datos. No sé<br>si bueno, en algunas organizaciones se<br>implementa lo que es el bloqueo de<br>datos.<br>Eh, y lo que se busca es un poco que<br>ciertos datos queden limitados su<br>acceso.<br>Yo no puedo decir que no no se puede eh<br>negar el ejercicio del derecho a acceso<br>si es que estos datos están bloqueados.<br>El responsable tiene que ser capaz de<br>desbloquearlo y permitir el acceso para<br>entregar esta información. No es una<br>excusa. Anteriormente se había una<br>doctrina que sí lo señalaba como excusa,<br>pero hoy en día no.<br>cuando se entrega imposibilite oice<br>gravemente el tratamiento de los datos<br>con fin histórico, estadístico, esto es<br>muy específico, o en otros casos que lo<br>disponga expresamente la ley. Ahora,<br>haciendo un simil entre el derecho de<br>acceso con el con lo que es el<br>reglamento europeo, que es finalmente el<br>estándar internacional en este en esta<br>materia, nos damos cuenta que hay dos<br>casos en particular que no están<br>incorporados en el proyecto de ley. Uno,<br>el caso de la existencia de decisiones<br>automatizadas que incluyan la<br>elaboración de perfiles. Y en el fondo<br>lo que se busca acá es que el titular<br>tenga acceso a información respecto a la<br>lógica que se está aplicando atrás, la<br>importancia y las consecuencias<br>previstas de este tratamiento. para que<br>se hagan una idea, decisión<br>automatizada, por ejemplo, es cuando eh<br>una entidad, por ejemplo, una entidad de<br>de gobierno, para otorgar un beneficio<br>utiliza eh bases de datos, los datos de<br>la persona para ver si ese beneficio<br>aplica o no aplica a esa persona. Hay<br>una decisión automatizada detrás entre<br>si se le otorgó o no le otorgó el<br>beneficio.<br>Y lo que se busca acá es que la persona<br>tenga acceso a saber si es que hay una<br>decisión automatizada y qué es lo que se<br>está aplicando detrás. Y lo otro,<br>respecto a las transferencias<br>internacionales, la ley prevé la<br>situación de eh de tener acceso a<br>quiénes son los destinatarios de los<br>datos, pero deja fuera que qué pasa<br>cuando esos datos se transfieren<br>internacionalmente, está dejando fuera<br>eh lo saber cuáles son las garantías que<br>se están aplicando a ese tratamiento.<br>Esos son dos como observaciones que se<br>pueden hacer a la ley, sin perjuicio de<br>que igual se puede incorporar dentro de<br>otras categorías.<br>El derecho de rectificación, tan simple<br>como rectificar mis datos, solicitarle a<br>la entidad, rectificarlo cuando estos<br>están inexactos, desactualizados o<br>incompleto.<br>Acá es muy importante que una vez que se<br>rectifiquen los datos, la organización<br>que rectifica tiene que comunicar a<br>otras personas, entidades o organismos a<br>los cuales ello haya transferido o haya,<br>perdón, cedido esos datos eh por algún<br>cumplimiento de alguna obligación<br>contractual, legal, eh etcétera. Tiene<br>que informarle que ese dato fue<br>modificado. Porque, ¿qué pasa? Si yo en<br>una base de datos rectifico un dato y no<br>la rectifico en otras bases de datos, yo<br>voy a tener bases de datos duplicadas.<br>Y la ley se pone en esta situación y lo<br>ve como un incumplimiento también de la<br>normativa. Hay que tener mucho ojo e de<br>que si se está rectificando un dato, esa<br>rectificación tenga un efecto para todas<br>las bases de datos y para todos los<br>destinatarios de esos datos que<br>rectifiquen esa información. Y además el<br>el responsable de los datos puede<br>solicitar también documentación<br>justificativa a quien está pidiendo la<br>rectificación. Por ejemplo, yo no puedo<br>pedirle a una entidad que cambie mi<br>nombre simplemente porque yo quiero.<br>Puede ellos pueden solicitarme, bueno,<br>acompáñame algún documento que acredite<br>una resolución judicial que usted se<br>cambie el nombre e o su documento de<br>entidad donde yo pueda ver cuál es su<br>nombre. Acá las entidades pueden<br>solicitar documentación adicional. El<br>derecho de cancelación<br>eh también en términos simple es<br>cancelar o suprimir datos personales que<br>se encuentran en poder de del<br>responsable. ¿En qué casos? eh cuando<br>los datos no resultan no resultan<br>necesarios con los fines del<br>tratamiento, cuando el titular ha<br>revocado su consentimiento, cuando estos<br>datos se han tenido se ha obtenido de<br>forma ilícita o están siendo tratados de<br>forma ilícita cuando los datos se<br>encuentran caduco, en caso de sentencia<br>judicial, obligación legal y también por<br>el ejercicio del derecho de oposición<br>que vamos a ver a continuación.<br>¿Cuándo no está obligada la entidad a<br>cancelar estos datos?<br>un caso muy particular, cuando esto<br>altere eh la libertad de opinión e<br>información, cuando esto vaya en contra<br>de la libertad de opinión. Por ejemplo,<br>si yo le solicito a un diario que<br>elimine una noticia<br>eh porque tiene datos personales míos,<br>el diario puede objetar esa solicitud<br>señalando que esto iría en contra el<br>derecho de información porque esa esa<br>noticia es objetiva, son hechos reales<br>que ocurrieron y no hay nada que<br>acredite que eh esa información va en<br>contra de la verdad. Acá se podría<br>aplicar también lo que es el derecho a<br>información y otros casos en caso de<br>razones de interés público, también con<br>fines histórico, estadístico,<br>científico, reclamación administrativa o<br>judicial. eh y tener en cuenta que la<br>supresión puede ser perfecto de la<br>totalidad de los datos y en ese caso se<br>elimina el tratamiento de esos datos o<br>por algún dato en concreto.<br>El derecho de oposición<br>eh bueno, el titular puede oponerse<br>frente al responsable cuando este<br>realice un un tratamiento específico o<br>determinado. Y esto, ¿en qué casos va a<br>ocurrir? Cuando ese tratamiento afecte<br>sus derechos y libertades fundamentales.<br>Esto en términos amplios.<br>Si el tratamiento se realiza<br>exclusivamente con fines de<br>mercadotecnia o marketing directo, acá<br>los interesados también pueden solicitar<br>eh que se eliminen esos datos. Y este es<br>el típico caso de los correos<br>electrónicos que nos llegan con<br>información eh comercial eh y que uno no<br>tiene idea cómo llegaron esos datos a<br>esa empresa. Bueno, con esto uno lo<br>puede ejercitar este derecho sin<br>perjuicio que hoy en día también se<br>puede hacer en sede de consumidor. Y si<br>el tratamiento se realiza respecto a<br>datos obtenidos en fuentes de acceso<br>público y no existe un fundamento legal<br>para su tratamiento.<br>¿Cuándo no está obligado el responsable?<br>En los mismos casos de la cancelación,<br>cuando esto afecta la libertad de<br>opinión, información, interés público o<br>cuando se traten estos datos con fin<br>histórico, estadísticos o científicos<br>sean necesarios para al ejercicio de<br>alguna reclamación administrativa o<br>judicial.<br>Acá es importante que se incorpora el<br>derecho de oposición eh<br>el derecho de oposición a las<br>valoraciones personales automatizad<br>incluida la elaboración de perfiles.<br>Esto es lo que les mencionaba respecto<br>del derecho de acceso, que en el derecho<br>de acceso no lo contempla, pero para el<br>derecho de oposición sí lo contempla. Y<br>acá se ocurre un pequeño sin sentido en<br>la legislación, que yo para poder<br>oponerme al tratamiento de estos datos<br>eh tratamiento automatizado, tengo que<br>tener primero conocimiento. Entonces,<br>primero tengo que ejercer el derecho de<br>acceso para saber si efectivamente se<br>están tratando estos datos y cómo se<br>están tratando. Entonces, esto quizás un<br>pequeño punto que se podría regular<br>ahora en en lo que queda de tramitación<br>del proyecto. Y muy simple, la<br>portabilidad simplemente es yo los datos<br>que tengo eh radicados en una entidad,<br>solicitarle a esa entidad que los<br>comunique a otra. ¿Cuándo? Cuando el<br>tratamiento se realiza en forma<br>automatizada o el tratamiento se basa en<br>el consentimiento del titular.<br>Bueno, y algunas consideraciones<br>finales. Eh, esto específicamente<br>también respecto de la de las empresas<br>que tengan muy eh para que los tengan<br>muy en cuenta ustedes que que se están<br>incorporando en este tema de datos<br>personales. Primero es que estos<br>ejercicios se pueden ejercer ante el<br>responsable, se ejercen de forma directa<br>ante el responsable y si son varios se<br>puede ejercer ante cualquiera de ellos.<br>Eso como primer punto. Y lo otro es que<br>se deben implementar mecanismos y<br>herramientas tecnológicas para el<br>ejercicio expedito, eficaz de estos<br>derechos. Y esto no es algo que lo diga<br>yo, lo dice la ley. Las empresas tienen<br>que incorporar mecanismos y herramientas<br>tecnológicas para el ejercicio de estos<br>de estos derechos. En el fondo, lo que<br>ellos buscan es que eh existan ciertos<br>canales eh disponibles para el titular<br>para que estos puedan ejercer sus<br>derechos. Pero esto también hay que<br>tener mucho ojo porque se contrapone<br>también con la libertad que tiene el<br>titular para ejercer estos derechos ante<br>eh por cualquier medio. Por ejemplo, si<br>yo soy responsable y tengo una página<br>web y tengo alojada en la página web las<br>solicitudes de de mis derechos arco, yo<br>y va un un titular a a una tienda, a un<br>local y quiere ejercer uno de estos<br>derechos en la tienda o en el local, yo<br>tengo que tener mecanismos para poder eh<br>eh recibir esa solicitud que está<br>haciendo el titular, aunque sea de forma<br>presencial, no puedo ponerme a esa<br>solicitud y decirle, "No, sabe que vaya<br>a la en la página web usted puede<br>encontrar eh dónde ejercer estos<br>derechos. Eh, el responsable tiene que<br>eh establecer los medios para poder<br>tramitar estos derechos y ahí eh darle<br>siempre una respuesta. Y lo otro<br>importante es que su ejercicios<br>gratuitos para los interesados. Esto<br>también lo señala la ley, establece una<br>pequeña excepción en el caso del derecho<br>a acceso si se ejerce más de una vez de<br>forma trimestral, pero eh lo importante<br>es que es gratuito y al ser gratuito<br>significa que también es un costo para<br>la empresa y además tiene que<br>implementar los lo las herramientas<br>tecnológicas. Entonces acá la ley<br>efectivamente le está imponiendo una<br>carga a las organizaciones, no solo<br>empresas, también al mismo estado. ¿Y<br>quién vela por el ejercicio de estos<br>derechos? La agencia. La agencia va a<br>ser la que va a resolver eh cuando no se<br>dé respuesta. Se establece un plazo de<br>15 días hábiles. Esto puede cambiar<br>durante la tramitación, pero son 15 días<br>hábiles para la respuesta y en caso de<br>negativa o falta de respuesta, se puede<br>ejercer también la reclamación ante la<br>agencia.<br>Perdón. Y bueno, para terminar un solo<br>unos ejemplos, eh porque a veces cuesta<br>un poco aterrizar cuáles son estos<br>derechos. Eh, acá pueden ver en pantalla<br>eh ejemplos muy simples, pero que puede<br>pasarle a ustedes que les llegue de<br>repente un correo electrónico, alguna<br>solicitud por LinkedIn, etcétera. Y con<br>este tipo de preguntas acá pueden saber<br>si se está ejerciendo o no se está<br>ejerciendo en derecho. ¿Cuál? ¿Qué datos<br>tiene en mí? Acceso, el correo<br>electrónico incorrecto, rectificación y<br>ahí pueden ver lo otro. Y por ejemplo,<br>hola quiero pagar mi mi factura del<br>agua. Bueno, ese no es un ejercicio, un<br>derecho. Es muy importante que se<br>distinga también cuándo estamos ante la<br>presencia de un ejercicio, un derecho<br>arco y cuándo no estamos en presencia de<br>un derecho arco. Bueno, y eso sería la<br>presentación.<br>Eh, dejamos los datos de ley de datos en<br>pantalla.<br>Muchas gracias, Ignacio. Agradeciendo la<br>presentación de Ignacio que nos habló de<br>los derechos arco. Nosotros de manera<br>breve les vamos a mostrar la plataforma<br>leidedatos.com.<br>Les voy a compartir pantalla ahora<br>y básicamente les queremos mostrar dos<br>módulos. El primer módulo es el módulo<br>de mapeo de de activos o data mapping,<br>como se conoce en inglés. Y básicamente<br>es un mapa donde podemos ver los<br>distintos activos que tenemos la<br>organización. ¿Y por qué esto es<br>importante? Porque no todos los países<br>son puertos seguro el día de hoy parece<br>queo se le quedó abierto el micrófono.<br>Ahí se lo voy a cerrar. Eh, no todos los<br>países en el día de hoy son puertos<br>seguro de datos. De hecho, Chile, por<br>ejemplo, hoy día no lo es. una empresa<br>que trabaja en Europa y quiere cumplir<br>la normativa, no puede estar dando<br>mandando datos eh personales a Chile<br>porque hoy día no es Puerto Seguro.<br>Entonces, nosotros como organización<br>debemos ser capaces de ver dónde están<br>nuestros activos y ver qué riesgo tiene<br>asociado que algún activo, por ejemplo,<br>est en India, que también es otro país<br>que no es un puerto seguro de datos. Y<br>acá nosotros podemos editar de manera<br>muy rápida<br>el las distintas información de nuestro<br>activo. Entonces, ese es uno de los<br>módulos que les queremos presentar. Es<br>un módulo nuevo. Y el segundo módulo es<br>el módulo de evaluación de impacto, que<br>es el corazón de toda la gestión que<br>tenemos que hacer nosotros como<br>delegados de protección de datos o<br>gestionar como delegados de protección<br>de datos. Entonces, en este módulo están<br>todas las actividades que requieren una<br>evaluación de impacto y nosotros al<br>hacer clic acá nos vamos a ir a su<br>importe. Entonces, por ejemplo, hago acá<br>clic en vivovigilancia y nosotros vamos<br>a ver todo lo que hemos llenado nosotros<br>como delegado o nuestro equipo y tenemos<br>distintas plantillas. Nosotros<br>actualmente trabajamos con una plantilla<br>que la recomendamos a nuestros clientes,<br>pero cada uno puede configurar la<br>plantilla que quiere poner en su en su<br>organización. Sí, al final del día cada<br>uno tiene que cumplir su distintos<br>estándares. Entonces, por ejemplo, en<br>esta plantilla la el paso uno es<br>identificar si es que hay que hacer una<br>evaluación de impacto o no.<br>Describir el tratamiento, siempre es<br>importante explicar qué estamos<br>haciendo, describir también el alcance<br>de este tratamiento, el contexto del<br>procesamiento y, por ejemplo, el<br>propósito. Luego también tenemos un<br>proceso consulta, que es el proceso que<br>vamos a ir llevando dentro de la<br>organización para ver la pertinencia y<br>el riesgo asociado a este proceso.<br>También tenemos que siempre en una<br>evaluación de impacto ver la necesidad y<br>la proporcionalidad de esta de este<br>tratamiento y dejarlo justificado acá en<br>caso que el día de mañana tengamos un<br>problema y la agencia quiera revisar<br>nuestra documentación y ver si fuimos<br>capaces de mitigar este riesgo. Y<br>finalmente en esta misma línea está por<br>un lado la identificación de los<br>riesgos. Entonces, por ejemplo, acá uno<br>puede ir agregando riesgos, puede ir<br>tomando estos riesgos que ya están<br>agregados y los podemos ir editando. No<br>necesitamos la descripción del riesgo,<br>que por este caso es el mal uso de la de<br>la biometría en la biovigilancia y le<br>podemos asignar una probabilidad de<br>ocurrencia que puede ser remoto, o sea,<br>que no pueda ocurrir o muy posible y<br>también el impacto que tiene la<br>organización. Entonces, por ejemplo,<br>esto es poco probable que ocurra, pero<br>es significativo. Y en el caso de la<br>filtración, vemos que es posible y sería<br>severo, o sea, el daño sería muy alto<br>para la organización y con eso tenemos<br>un riesgo general que nosotros lo<br>adecuamos según nuestros esquemas, pero<br>lo podemos adecuar también a los<br>esquemas de la empresa. Y finalmente,<br>para cada riesgo, un control, ¿sí?<br>Entonces, en este control, eh nosotros<br>podemos acá decir qué es lo que vamos a<br>hacer para controlar ese riesgo y cómo<br>ese riesgo va a cambiar gracias al<br>control que nosotros estamos<br>proporcionando.<br>Eh, ahí les vamos a dejar el contacto en<br>el chat si alguien quiere ver una<br>demostración más en profundidad o le<br>gustaría verlo con su empresa y yo ahora<br>voy a dejar de compartir para pasar a<br>presentar a nuestro siguiente exponente<br>que es Matías Aranguis. Él es profesor,<br>bueno, muchas cosas en verdad, pero él<br>es eh un segundo, se me perdió, es<br>profesor asistente de derecho económico<br>y subdirector del programa derecho,<br>ciencia tecnología UCP de la Facultad de<br>Derecho de UCP, director de los<br>diplomados en protección de datos<br>personales, derecho e inteligencia<br>artificial, contratación y regulación en<br>finte y nos va a presentar hoy día<br>basesitud para tratamiento de datos. Así<br>que dejo a Matías Aranguis y cualquier<br>duda que tengan de su presentación<br>también la pueden escribir en el chat y<br>la vamos a abordar al final de la<br>conversación.<br>Gracias, Rodrigo. Déjame<br>la presentación.<br>Ya. Entonces, la conversación de hoy día<br>tiene eh como bien como bien decía<br>Rodrigo, ¿no es cierto?, hablar un poco<br>sobre las bases de licitud. Eh, las<br>bases de soliditud son<br>en general de las cosas básicas que uno<br>ve en uy chup allá en las cosas básicas<br>que uno ve en materia de protección de<br>datos. Eh, salió el el el WhatsApp que<br>tenía a fondo. Eh, y las bases de<br>licitudes generan un par de<br>dificultades, ¿no es cierto? Porque es<br>la primera pregunta que deberíamos<br>presentar, ¿no? Cualquier institución<br>que haga tratamiento de datos, que<br>básicamente son todas, debe presentarse<br>al momento de empezar a tratar datos,<br>¿no es cierto? ¿Cuál base se aplica?<br>Paso vamos a poner un un par de<br>elementos de contexto. Vamos a<br>analizarlas rápidamente. Vamos cuáles<br>vamos cuáles son los efectos de un<br>selección de una u otra base de licitud<br>y terminamos haciendo algunas preguntas<br>con respecto a la responsabilidad que<br>nos va a aplicar después en el contexto<br>del reglamento nuevo. Entonces, veamos<br>un poco de contexto, ¿no es cierto? Ent,<br>cuando nosotros pensamos en la<br>regulación de datos personales, que nace<br>estructuralmente, finales de los 60,<br>comento de los 70, nace como un miedo<br>una desconfianza al tratamiento de datos<br>que se hacía por parte de los gobiernos,<br>¿no? Eh, la gente o se había masificado<br>en ese momento el uso de censos, ¿no?, o<br>el uso de levantamiento de información,<br>ya sea por censo o por servicios de<br>inteligencia, ¿no? y había este<br>inquietud natural de decir, "No me<br>siento tan tranquilo" porque<br>pasaba algo muy similar a lo que pasa<br>hoy día con inteligencia artificial,<br>¿no? Con estas herramientas de<br>estadística<br>pueden encontrar muchas más cosas de mí<br>a las que yo podría ver, ¿no? Que es muy<br>similar a lo que la gente dice, "Ah, con<br>esta herramienta de inteligencia<br>artificial pueden aprender muchas más<br>cosas mías de las que yo necesariamente<br>sé."<br>Entonces decía, "Mira, están violando mi<br>privacidad, están violando con este<br>tratamiento de datos, ¿no es cierto? Con<br>estas nuevas técnicas de estadística,<br>están aprendiendo cosas mías que tal vez<br>yo no me siento representado, ¿no es<br>cierto? O tal vez yo no sé, o tal vez no<br>quiero que se hagan públicas eh con esas<br>tres variades, ¿no es cierto? No me<br>siento representado. Eh, vamos derecho<br>arco, derecho a rectificación.<br>Eh eh no quiero que se sepan privacidad<br>en su base, ¿no es cierto?<br>eh o yo no sé, ¿no es cierto? Y ahí<br>primer problema con respecto al derecho<br>de acceso. Eso después se extendió, ¿no<br>es cierto? La aplicación horizontal de<br>los derechos se empieza a extender a<br>quiénes pasan a ser eh desde los 80<br>hacia adelante, ¿no es cierto?, los<br>grandes tratadores de datos después del<br>Estado, siempre el Estado es el primero,<br>eh a la empresa, ¿no? Y esto es lo que<br>da limitante, empiezan a decirse, bueno,<br>porque cuando el Estado trataba datos en<br>general era porque tenía que cumplir su<br>función del organismo público en<br>particular. Eh, la pregunta se empieza a<br>ser interesante cuando empiezan a tener<br>empresas datos, porque la función no es<br>evidente, ¿no es cierto? Yo sé<br>evidentemente cuáles son los objetivos<br>del Ministerio de Salud, eh, eh, y que<br>están, por tanto, ¿no es cierto?, me<br>están delimitando cuáles son las<br>funcionalidades del tratamiento de datos<br>que pueden estos hacer o la finalidad<br>del tratamiento de datos que estos<br>pueden hacer, pero cuando lo tomo una<br>empresa es distinto, ¿no? Cuando tomo<br>una empresa, no sé exactamente, más allá<br>de lo obvio que es vender, ¿no es<br>cierto?, o prestar su servicio, eh, para<br>qué lo pueden usar, ¿no? Entonces, se<br>empiezan a limitar, ¿no es cierto? y<br>empiezan a hacer todos los tipos de<br>organismos. Cuando se hace investigación<br>académica o científica en la universidad<br>o los centros de estudio, etcétera,<br>empiezan a aparecer otros tratadores de<br>datos, ¿no? Y eso fija el marco sobre el<br>cual decimos, bueno, tenemos que poner<br>bases de licitud, ¿no? Ciertos que tener<br>ciertas causas que me permitan tratar<br>los datos y cada una de estas causas o<br>antecedentes que tenga su limitación.<br>Eh, con ese con ese entendido, ¿no es<br>cierto?, esta evolución de que parte<br>como una desconfianza hacia el Estado y<br>que después se extiende, ¿no es cierto?<br>Porque el Estado está mucho más<br>delimitado por la función de cada<br>organismo, ¿no es cierto?, y se extiende<br>hacia las empresas. Eh eh<br>nos damos cuenta que si bien en la<br>retórica parece ser que el tratamiento<br>de datos personales en general por regla<br>general es abierto,<br>eh eh vemos que siempre necesitamos una<br>causa o una base de licitud. Por tanto,<br>la regla general real, ¿no es cierto?<br>más allá narrativa de los textos es que<br>la regla general es que no hay libertad<br>de tratamiento de datos, salvo que tenga<br>una base de licitud, ¿cierto? Esto se<br>complejiza más, ¿no es cierto?<br>particularmente en la era digital o<br>desde que se empiezan a digitalizar las<br>interacciones sociales, donde todo<br>acción que se puede hacer, que toda<br>acción que es digitalizada pasa a ser<br>una acción que puede ser registrada,<br>¿no? Y ese es el gran cambio que<br>tenemos, ¿no es cierto? Y hace que<br>existe esta explosión primero en el 95<br>con el reglamento, ¿no es cierto?, de la<br>Unión Europea, el reglamento 46 y<br>después posteriormente con el Reglamento<br>General de Protección de Datos<br>Personales, ¿no? Y después lo siguen<br>regulaciones más o menos similares. La<br>China a finales eh un poquito antes del<br>del 2020, ¿no es cierto? 2018, 2020,<br>2019, 2020 eh y Estados Unidos con su<br>regulación particular, salvo en<br>California que tiene, eh, pero vienen a<br>responder a esta pregunta de, bueno,<br>ahora que todas las la gran parte<br>cantidad de las interacciones sociales<br>son pasan, ¿no es cierto?, por un<br>sistema digital, por tanto son<br>registradas, por tanto pueden ser<br>tratadas, ¿no es cierto? Y eso nos<br>genera, ¿cierto? En este contexto nace<br>esta visión de eh las bases de licitud.<br>Ahora,<br>¿qué es lo que dice? Y particularmente<br>el recital 40, ¿cierto? Que son el<br>antecedente normativo antes antes de los<br>artículos bien como en la justificación<br>normativa. En el recital 40 dicen, el<br>presente reglamento no requiere que cada<br>tratamiento individual se rija por una<br>norma específica, ¿cierto? una norma<br>puede ser suficiente como base de varias<br>operaciones de tratamiento. Entendamos<br>en la definición de la normativa en<br>general, decimos que hay un tratamiento<br>dependiendo cada función que tengo con<br>respecto a una base de datos. Por lo<br>tanto, si tengo una base de datos, por<br>ejemplo, mis clientes, que la uso para<br>hacer marketing, por ejemplo, para<br>perfilar, ¿ctierto? Y para comunicarme<br>con ellos con respecto a las<br>obligaciones que puedan tener de pago,<br>estamos haciendo tres tratamientos<br>distintos,<br>¿no? Tres tratamientos distintos. Por<br>tanto, cada uno de esos tratamientos<br>necesita en el contexto normativo tener<br>una base de ilicitud que lo anteceda.<br>Y por tanto el proceso, ¿no es cierto?,<br>siempre encontrarla. Esto es muy similar<br>si lo pensamos en las regulaciones de<br>contabilidad, ¿cierto? Hoy día dentro de<br>una empresa no existe ninguna acción que<br>yo pueda hacer sin que pase por la gente<br>de contabilidad. No hay ninguna compra<br>que se pueda hacer sin que pase por la<br>gente de contabilidad.<br>Es muy sano porque básicamente todo<br>tiene que ser registrado. Y si todo<br>tiene que ser registrado, ¿no es cierto?<br>en contabilidad. Es la única forma que<br>yo puedo, en este caso contra mi contra<br>Marte, servicio de impuestos internos,<br>decir efectivamente hice un tratamiento<br>correcto de los dineros. Lo mismo pasa<br>en el contexto de protección personales.<br>La idea es que todo el tratamiento tenga<br>una causa, ¿no es cierto? Una base de<br>lexicitud y tenga por tanto las<br>condiciones que tenga esa base de<br>leicitud en particular. Ahora, ¿qué es<br>lo interesante con respecto a la base de<br>licitud? Porque la base de licitud<br>generalmente nosotros las reducimos a<br>cuáles son del listado que hay<br>dependiendo de la normativa. Pueden ser<br>dos, puede ser tres, puede ser seis, si,<br>etcétera, dependiendo el sistema<br>normativo que estemos viendo. Eh, a cuál<br>es la causa, ¿no es cierto? Pero el<br>recital 40 también de la del Reglamento<br>General de Protección de Datos de la<br>Unión Europea nos agrega esto, nos dice<br>la norma, la normativa nacional, porque<br>el reglamento general de protección dato<br>no es una ley, ¿no es cierto?, sino que<br>obligación para los estados para que<br>tengan sus leyes, ¿no? Y de esto nacen<br>las leyes. Por tanto, la normativa<br>nacional<br>que se antecede esta de este reglamento<br>podrá establecer especificaciones<br>para la determinación del responsable<br>del tratamiento, el tipo de datos<br>personales objeto del tratamiento, los<br>interesados afectados, las entidades con<br>las que se puede comunicar datos<br>personales, ¿a quién puedo entregarle?<br>No, es cierto, copia de datos, las<br>limitaciones de la finalidad, o sea, en<br>qué casos no se puede tratar datos. El<br>plazo de conservación de datos, tema<br>clave y poco tratado todavía, y otras<br>medidas. Por tanto,<br>es una definición números apertos, ¿no<br>es cierto? O listado números apertos, no<br>es taxativa, ¿no es cierto? Se ahí<br>pueden haber otras y otras medidas para<br>garantizar el tratamiento lícito y leal.<br>Lícito y leal. Por tanto, lo que me está<br>diciendo el resital del 40 es la base de<br>lexitud, ¿no es cierto? Antecedente, ¿no<br>es cierto? O o el principio de lexicitud<br>se cumple al menos por dos elementos,<br>¿no es cierto? Uno, el antecedente del<br>tratamiento y dos, este listado más<br>otros que tengan que ver con respecto al<br>tratamiento que yo haga de datos, porque<br>esto es clave, ¿no es cierto? Es clave<br>porque podría caer y pasa mucho, ¿no es<br>cierto?, que yo estoy haciendo un<br>tratamiento que está justificado en<br>alguna de las bases de licitud, pero al<br>no cumplir los otros requisitos de lo<br>que lo que se decía anteriormente, muy<br>bien, sino al cumplir los otros<br>requisitos de medidas de seguridad o<br>cumplimiento correcto del resto de los<br>principios que hay en materia de<br>protección de los personales, igual<br>podría caer del tratamiento ilícito,<br>podrá<br>Entonces con eso, ¿cierto? Con eso vamos<br>particularmente a cuáles son, ahol solo<br>un punto más, ¿no es cierto? Y tomando<br>el punto de los derechos ARCOP, que bien<br>se decía anteriormente, ¿no es cierto?<br>Los intereses, los interesados, el<br>titular de datos debe tener derecho a<br>acceder a los datos personales recogidos<br>que le conciernan.<br>Todos elementos clave acá. Recogidos que<br>le concierta.<br>Uno, el derecho de acceso es un<br>antecedente<br>necesario para la verificación, ¿no es<br>cierto?, la licitud del tratamiento con<br>el fin de conocer bla bla y verificar la<br>licitud del tratamiento. Por tanto, un<br>elemento de la licitud, pero es<br>interesante que dice los datos<br>personales recogidos.<br>Por tanto,<br>si es que en mi empresa recogemos datos<br>de cliente, ¿no es cierto?, o de quien<br>sea<br>y sobre eso hago un tratamiento y yo<br>infiero otra información. Esa<br>información no necesariamente está<br>incluida los derechos arco,<br>si no sería mucho, ¿cierto? Y eso<br>entendemos que está en la esfera de la<br>propiedad<br>eh o del trabajo interno que se haga en<br>la empresa. Por tanto, no necesariamente<br>dependen del<br>titular. Y ejemplos como esto complejos<br>podríamos tener varios. Un diagnóstico<br>médico.<br>Diagnóstico médico es una diferencia,<br>pero el diagnóstico médico tiene una<br>regulación especial. Pensemos en la<br>evaluación crediticia a una persona, ¿no<br>es cierto? Cuando yo le doy un scoring,<br>le doy un puntaje a esa persona en base<br>a la información que recogí de ella.<br>El scoring no es un dato recogido, ¿no<br>es cierto? La evaluación critic un dato<br>recogido, un dato inferido.<br>Entonces, el derecho de acceso es<br>fundamental porque una delimitación<br>clara, son los datos recogidos, h no los<br>datos que yo pueda haber procesado y que<br>hayan sido consecuencia del<br>procesamiento. Con esto nos vamos<br>particularmente a las bases del<br>tratamiento y estoy pensando o lo voy a<br>explicar en base al reglamento europeo<br>por facilidad y por cercanía<br>regulatoria.<br>Primero, el consentimiento, ¿no es<br>cierto? el rey, el rey de eh el rey de<br>los de los eh de las bases siempre es el<br>consentimiento<br>eh<br>que tiene altos requisitos, ¿no? No es<br>un consentimiento simple, es un<br>consentimiento que primero puede darse<br>de muchas formas. Nosotros tendemos a<br>pensar que tiene que ser escrito. El<br>reglamento europeo dice, ¿no? De hecho,<br>dice<br>puede ser, o sea, dice en caso que sea<br>escrito, bla, bla, bla, pero<br>consentimiento tiene que tener el<br>requisito anterior, que es que yo pueda<br>probarlo eventualmente que lo conseguí y<br>lo registre.<br>Por tanto, cierto, puedo hacer una<br>grabación de una persona diciendo, "Sí,<br>acepto."<br>Eh, no caemos necesariamente en esta<br>idea que tenemos. Al menos nuestro<br>derecho es que tiene que ser escrito.<br>Dice, "El consentimiento tiene que ser<br>algo que yo sea capaz de probar y que<br>sea expreso." No, no puede ser inferido,<br>no puede ser tácito. No, no puede ser.<br>Si no responde este correo, usted<br>acepta, ¿no? Si pasa más de 5 días en<br>que usted no responde, usted acepta. Si<br>usted por el solo hecho de entrar a mi<br>tienda acepta el tratamiento de datos<br>personales, ¿no? Esos son<br>consentimientos tácitos, no no son no<br>son aplicables en el contexto de la ley<br>o no son válidos en el contexto de la<br>ley. Si se da por escrito,<br>¿cierto? Y ahí es la única única<br>especificación que tenemos reglamento<br>europeo de protección de datos<br>personales. Si se da por escrito tiene<br>que ser diferenciado a otros asuntos.<br>Por tanto, yo no puedo juntar los con<br>sentimientos. No puede ser usted<br>consciente en contratar con mi empresa y<br>dentro de ese consentimiento venir el<br>consentimiento de protección a otros<br>personales, sino que tienen que ser<br>separados. Tengo que hacer un<br>consentimiento con respecto al contrato<br>principal y uno específico<br>con respecto al tratamiento de datos<br>personales que no sean de suyo<br>un resultado, ¿no es cierto?, o<br>necesarios para la contratación. Hay que<br>hacer esa distinción y es una distinción<br>no siempre tan fácil de hacer,<br>particularmente cuando uno se sienta con<br>los equipos de marketing.<br>Por tanto, diferenciado, inteligible,<br>que es bastante razonable, ¿no? No, no,<br>no hay que hacer cosas que la gente no<br>entienda, eh, porque si no entrar mal<br>más la lógica de de contrato o cláusula<br>abusiva de de fácil acceso y de lenguaje<br>claro y sencillo. Lenguaje claro y<br>sencillo, lo cual lo tenemos, ¿no es<br>cierto? tanto nuestra normativa actual<br>como en la normativa de consumidor<br>financiero en Chile. Artículo 17, ¿no es<br>cierto? Viene con este ideal enque claro<br>y sencillo. Concepto que no tenía más<br>interesante, ¿no es cierto? Concepto que<br>si bien parecía genérico, hoy día cada<br>vez se está estandarizando más, que es<br>lo que significa lenguaje claro, ¿no?<br>Hay una metodología de lenguaje claro en<br>la cual puede ser implementada, ¿no es<br>cierto? Y eso cada vez se va<br>convirtiendo más en el estándar.<br>metodología en la cual cuando uno dice<br>metodología donde hay que contratar<br>profesionales distintos, los<br>profesionales distintos que me ayudan a<br>la redacción de cláusula o solicitudes<br>de aconsentimiento.<br>No es vinculante, ¿no es cierto?, lo que<br>vaya contra el Reglamento General de<br>Protección de Datos, ¿cierto? Y tercero<br>dice que es esencialmente revocable el<br>consentimiento. ¿Por qué? Porque la<br>lógica de la autodeterminación<br>informativa, soy dueño de mis datos,<br>¿cierto? Por tanto, tengo un derecho<br>humano con respecto a la protección de<br>datos o a la privacidad y porque este<br>nace intrínsecamente del ser. El dato no<br>es distinto un órgano del cuerpo con la<br>única diferencia diferencia que una vez<br>que el dato está digitalizado es<br>replicable, ¿no es cierto? Pero esa<br>replicación de mi dato sigue siendo<br>parte de la esencia de mi ser. Por<br>tanto, es esencialmente revocable. No,<br>yo te controlo que es lo que haga en<br>caso que sea por consentimiento. En caso<br>que sea por consentimiento. Y la única<br>fuente de leicitud sea el<br>consentimiento.<br>Hm. Eso es clave. Y el caso de los<br>consentimientos de menores, ¿no es<br>cierto? Ellos ponen ponen ponen en el<br>reglamento europeo 16 años. De 19 años<br>hacia arriba pueden dar consentimiento<br>en España desde los 14 hacia arriba. En<br>Chile tendríamos que el reglamento<br>proyecto de ley viene con su normativa<br>especial. No sé si va a terminar<br>saliendo, pero tendríamos que aplicar<br>norma general, ¿no es cierto? 12, 14<br>años dependiendo el sexo.<br>Si no, en el fondo quien tenga patria<br>potestad y hace la solicitud de que se<br>debe verificar razonablemente la patria<br>potestad en el consentimiento. Y después<br>venimos con los otros bases deitud, ¿no<br>es cierto? Seguimos el artículo 67 89<br>del Reglamento General de Protección de<br>Datos Personales. E y ya Rodrigo me<br>informa con su aparición que me quedan 5<br>minutos, así que estamos bien. Esta<br>parte es cortita, ¿eh? No, no, pero Rod<br>Rigo, no desaparezca, no desaparezcan.<br>Quéate así, si no me siento tan solo. Si<br>no me siento tan solo. Eh,<br>tenemos la otra baseitud, ¿no es cierto?<br>La ejecución de un contrato es necesario<br>para la ejecución de un contrato, ¿no es<br>cierto? el cumplimiento de una<br>obligación legal. Estos son más o menos<br>razonables, ¿no es cierto? Hay cierta<br>información que es necesaria para el<br>contrato. El típico ejemplo que uno pone<br>es la información que yo necesito de mis<br>trabajadores para eh poder eh eh<br>no es cierto, ejecutar el contrato.<br>Necesito en cuenta su información de su<br>cuenta corriente, su rout, etcétera,<br>etcétera, eh que es parte, ¿no es<br>cierto?, de el pago eh para el<br>cumplimiento de una obligación legal,<br>¿no? Imputable, ¿no es cierto? imputable<br>al responsable del tratamiento. Gran<br>pregunta, la Corte Suprema de nuestro<br>país, acaba decir hace un par de meses<br>que no se pueden en caso de obligaciones<br>de no me voy a enrear si lo mejor les<br>cuento el caso, ¿no? Habían dos personas<br>que se debían plata, una le dice a la<br>otra por WhatsApp, "No te voy a pagar."<br>La otra dice, "Ah, no me va a pagar."<br>Va. Y lo demanda. En la demanda dice,<br>"Juanito Pérez me dijo, no te voy a<br>pagar." Pone, entre comillas por<br>WhatsApp. No, ni siquiera una foto del<br>WhatsApp. Dice, "No te voy a pagar."<br>El demandado presenta un recurso de<br>protección por violación de privacidad.<br>En primera instancia no lo acogieron y<br>la Corte Suprema lo acogió. Dice, "Las<br>conversaciones privadas<br>son<br>están sujetas, ¿no es cierto?, a la<br>protección del 19 número 4,<br>lo cual es de suyo cuestionable, ¿no? Y<br>podríamos hablar la cuestionabilidad de<br>eso, proteger intereses vitales, ¿no es<br>cierto? Del interesado otro, si alguien<br>que se está muriendo, ¿no es cierto?,<br>necesito información de esta persona<br>para salvarla o lo que sea o otra<br>persona similar.<br>en la efectividad a una misión realizada<br>en interés público, pensemos caso<br>pandemia, o en el ejercicio de poderes<br>públicos, pensemos en las funciones que<br>tengan los órganos públicos y satisfacer<br>los intereses legítimos perseguidos por<br>el responsable del tratamiento o por un<br>tercero, ¿no? Siempre que dichos no<br>prevalezcan por sobre los intereses o<br>derechos de el titular, en este caso o<br>el interesado, ¿no? Son casos que tienen<br>harto desarrollo, pero yo creo que eso<br>va para una conversación más larga que<br>Rodrigo seguramente en los siguientes<br>seminarios va a traer a gente más<br>capacitada que yo voy a hablar tal vez<br>de detalle de esto. Preguntas que nos<br>da, ¿no es cierto? Con respecto a los<br>derechos arco, ¿no? Y a propósito<br>pensando la conversación o la<br>presentación anterior, ¿no es cierto?<br>Hay un par de preguntas con respecto al<br>consentimiento, por ejemplo.<br>Evidentemente el consentimiento yo puedo<br>ejercer la portabilidad del derecho al<br>olvido. Es es obvio, sobre todo el<br>derecho a cancelación o supresión, el<br>nombre que uno quiere poner.<br>Pero, ¿cómo hago la separación, ¿no es<br>cierto? Entre la obligación principal y<br>obligación accesoria.<br>Eso es una pregunta muy difícil hoy día,<br>¿cierto? Es mucho tipo de<br>contrataciones, pero yo estoy pidiendo<br>derecho al olvido con respecto en el que<br>solo el único antecedente es el<br>consentimiento.<br>Pero el dato fundamental para la<br>obligación tendría que de alguna forma o<br>decir ten paso a otra base de ilicitud,<br>la ejecución del contrato, por ejemplo,<br>o efectivamente si esto puede anular la<br>contratación completa, ¿no es cierto?<br>Como una consecuencia de el término de<br>una obligación accesoria dentro de un<br>contrato si pasa, ¿no es cierto?,<br>terminar el contrato principal en la<br>ejecución de un contrato, ¿no es cierto?<br>De nuevo, portabilidad de olvido.<br>Eh eh son cuestionables<br>si me están demandando,<br>si me están demandando por una<br>obligación de dinero,<br>¿puedo que ser la portabilidad?<br>Es raro, ¿no? Claramente no puede que<br>sea el derecho al olvido. No le puedo<br>decir al banco, olvídeme de cierto. Por<br>tanto, una limitación con respecto a los<br>derechos arcos de la base de<br>legitimidad. Eh,<br>pero no oposición, por ejemplo, ni<br>oponer sesiones pasadas al tratamiento<br>automatizado. Me faltó la automatizado,<br>porque los perfiles en este caso, y eso<br>es interesante, los perfiles, por<br>ejemplo, de riesgo de crédito son<br>importantes para la ejecución de un<br>contrato,<br>¿no? Y en caso de interés legítimo,<br>¿cierto? Interés legítimo, o sea, cuando<br>alguien está usando los datos sin mi<br>consentimiento, pero porque hay un<br>interés legítimo de quién los va a usar<br>que no afecte mis eh mi posición, ¿no es<br>cierto?<br>Evidentemente tenemos que intensificar<br>el deber de transparencia y se pueden<br>operar al tratamiento, salvo que existan<br>motivos legítimos imperiosos, ¿no es<br>cierto? Y hay una discusión<br>jurisprudencial de cuándo de repente un<br>canda el interés legítimo por solo<br>interés del titular. Pero sería extraño,<br>por ejemplo, aplicar el derecho de<br>portabilidad en un caso interal<br>legítimo, ¿no? Entonces, pensemos, no<br>sé, por Ministerio de Salud hace un<br>acuerdo con la Universidad Católica,<br>pasa para la gente de Chile del COVID,<br>básicamente lo que se hizo. Eh, están<br>trabajando mi dato. ¿Podría yo decirle,<br>"Oye, quiero aplicar por<br>a quién?"<br>¿No es cierto? Porque el interés<br>legítimo, el antecedente está en el ruso<br>su. Con eso hago un par de preguntas y<br>con esto termino.<br>Esta es la última slide y con esto<br>termino. ¿Qué es lo que pasa en estos<br>casos? ¿No es cierto? Los casos de<br>interés legítimo con respecto a la<br>reparación del daño. Pensemos en el<br>proyecto. Nosotros hoy día tenemos un<br>sistema de responsabilidad especial,<br>¿cierto? Que el proyecto nos da el<br>sistema de responsabilidad o nos fija<br>cuáles son los estándares de<br>responsabilidad.<br>Tiene una una prescripción, dice, de 5<br>años para para buscar, ¿no es cierto?,<br>eh la responsabilidad que es básicamente<br>el el antecedente, ¿no es cierto?,<br>contractual o la prescripción de de la<br>responsabilidad contractual. Habla de la<br>indemnización del daño patrimonial y<br>extrapatrimonial en el proyecto.<br>Actualmente, ¿no es cierto? Se habla de<br>daño patrimonial y moral. La doctrina ha<br>evolucionado el moral extrapatrimonial<br>porque incluye incluye eh el dolor y el<br>sufrimiento en otros contextos que no<br>necesariamente son daños morales. E<br>pero después hay que ver la base de<br>licitud particular, ¿no es cierto?<br>Porque si ve, estamos viendo si hay<br>responsabilidad contractual por<br>consentimiento o si hago así me sale un<br>clito. Si hago así por consentimiento,<br>eh<br>evidentemente tengo estándares de<br>responsabilidad contractual que no<br>tendría en interés legítimo.<br>Y la diferencia entre responsabilidad<br>contractual y excontractual son varias,<br>¿no es cierto? Por lo pronto, la<br>graduación de la culpa, ¿no?<br>Y algo super importante son los daños<br>indirectos.<br>Los daños indirectos no se no se no se<br>pagan. No es cierto. O o no se no se<br>indemnizan en caso de responsabilidad<br>extracontractual.<br>Por tanto, si no hay un contrato, ¿no es<br>cierto? Tendríamos que hacer esta<br>institución y esa es una institución que<br>también es importante al momento de la<br>selección que va a ser ilicitud. Estoy<br>teniendo con respecto a cada uno de los<br>tratamientos que tengo contra una<br>empresa, ¿no es cierto? Tengo que saber<br>que el riesgo, como bien lo decía<br>Rodrigo, como explicaba, la matriz de<br>riesgo que están que ellos tienen en el<br>fondo, el riesgo de que esto falle va a<br>tener consecuencias muy distintas si es<br>un riesgo que tiene un antecedente<br>contractual de que un riesgo que tiene<br>un antecedente no contractual,<br>particularmente menciendo los daños<br>indirectos.<br>Entonces hay un trabajo interesante de<br>profundidad que hay que pensar en esto y<br>con esto termino. Solo solo termin<br>Gracias.<br>Gracias a ti, Matías. Eh, invitamos a<br>Ignacio también a prender su cámara para<br>la ronda de preguntas. Eh, quizás partir<br>con Matías, ya que aprovechamos el<br>impulso. Hay una pregunta en el chat que<br>dice, eh, hoy en día, entendiendo que el<br>consentimiento y la ley son la única<br>manera de realizar tratamiento lícito,<br>¿cómo justifican las empresas la<br>transferencia de datos dentro de su<br>grupo empresarial? Por ejemplo, una<br>filial.<br>Es que con lo que hay es como que todas<br>las respuestas son son malas, ¿no?<br>Tenemos un problema de continuidad<br>legal, ¿no es cierto? Tenemos un<br>problema sin la finalidad eh eh porque<br>la cuando yo pido consentimiento de que<br>solicitar quién lo va a tratar, ¿no es<br>cierto? Y por tanto, si el sujeto que lo<br>va a tratar tiene continuado legal o o<br>puede identificarse con el otro sujeto,<br>con el con el con el segundo tratante,<br>y yo creo que hoy día no hay el marco,<br>el marco que tenemos hoy día simplemente<br>no es capaz de responder eh esas<br>preguntas, o sea, no no no sé qué es lo<br>que piensan ustedes, pero pero mi<br>impresión es que estamos simplemente<br>como en un mundo mucho más complejo de<br>la que la regulación pensaba.<br>La regulación actual habla del<br>mandatario. Cuando uno le transfiere<br>datos a otra persona, está actuada como<br>según las reglas del mandato, que es lo<br>que cambia un poco ahora con la nueva<br>legislación, que es el encargado de<br>tratamiento. Y ahí uno podría exigir más<br>cosas respecto a<br>Sí, pero pero este es el caso de sesión,<br>no es caso de mandato.<br>son son son dos lógicas son dos lógicas<br>jurídicas completamente distintas.<br>es una cosa<br>y lo y lo otro mando, porque el caso del<br>responsable encargado el mandante<br>mandatario, ¿no es cierto? Hay que hay<br>que simplemente mantener la lógica y se<br>puede hacer tratamiento por terceros por<br>mandato, está bien, cierto, tiene<br>ciertos límites, pero en el caso de la<br>sesión de datos, un tercero, la sesión a<br>un destinatario, Exactamente.<br>Donde el tercero, ¿no es cierto? también<br>es responsable y eso no es y es lo que<br>pasa en los grupos empresariales,<br>¿no?<br>Vale, perfecto. Entonces, en esa misma<br>línea también preguntan, la<br>videovigilancia de los detectores<br>biométricos de temperatura que existían<br>en los negocios los tiempos de pandemia,<br>¿qué base legal aplica? Ya que se guarda<br>igual información sensible.<br>Ninguna tampoco.<br>Como pasa palabra, ¿no? No sé.<br>No, no. Ahí hay un tema bien interesante<br>porque la pregunta, yo creo que<br>elemental es, ¿se guardan los datos?<br>¿Cuánto es el periodo de conservación de<br>ese dato? Yo me acuerdo cuando uno iba<br>al al mall y te detectaba la temperatura<br>con con estas cámaras, esa información<br>se suponía que tenía que eliminarse de<br>forma inmediata y allí era lícito el<br>tratamiento. Pero si el si el<br>responsable guardaba esa información y<br>hacía quizás cualquier otra cosa con esa<br>información, claro, ahí sí efectivamente<br>hay un problema. Pero ahí se eso se<br>podía resolver con el tema del periodo<br>de conservación, que era simplemente el<br>instante que uno entraba al molte,<br>tomaba la temperatura y uno continuaba.<br>Ahí ahí hay que ver como<br>si uno ve como la base de licitud, hay<br>que ver varios. Yo no sé si en alguna<br>industria en particular le mandaban a la<br>gente a controlar el la temperatura,<br>¿cierto? Eh, me declaro me claro enante.<br>El caso de la minería, en muchos casos<br>la baseitud, ¿no es cierto?, interés<br>legítimo, ¿cierto? Y<br>te ha caso la empresa viendo los<br>resguardos que eh que viene de Ignacio,<br>pero ese juego es un juego que también<br>uno tiene que ir viendo eh viendo caso a<br>caso. La videovigilancia<br>tiene de nuevo el mismo problema, ¿no es<br>cierto? la tiene reglamentación especial<br>la vidovigilancia. Por tanto, no<br>necesariamente entra la lógica de la<br>protección de datos personales o o el<br>marco completo, pero la selección de de<br>la base de licitud e es un trabajo como<br>lento.<br>Claro. Respecto a los trabajadores, por<br>ejemplo, podría uno ampararse el<br>cumplimiento de una obligación legal. El<br>empleador efectivamente tiene que tener<br>un resguardo de la seguridad y la salud<br>de sus trabajadores.<br>Pero claro, por ejemplo, si yo iba a un<br>a la a la oficina de de otra persona, a<br>una reunión, que yo no tengo nada que<br>ver con la organización y me tomaban la<br>temperatura<br>o me o me había videovigilancia también<br>en esos casos. Eso esos son los casos<br>complejos también.<br>Pero bueno, al final ahí Evely también<br>nos aporta del chat que bueno, ella<br>tiene experiencia en minería y que<br>efectivamente en Faena sí lo controlaban<br>incluso con drones, pero claro que dice<br>que no existe una más solicitud, pero sí<br>se buscaba el recuerdo de los demás<br>trabajadores, entonces probablemente por<br>ahí había algún tipo de amparo.<br>Igual quizás como para cambiar el tema,<br>aprovechando también que hicieron<br>preguntas Ignacio,<br>sobre los derechos Arco dice, "Estos<br>derechos pueden ser ejercidos sin<br>matices especiales por un trabajador<br>respecto a su empleador,<br>respecto al trabajador del empleador,<br>respecto a su el trabajador,<br>ah, perdón, el trabajador ejerce sus<br>derechos arco ante el ante el empleador.<br>Eh, efectivamente, el trabajador también<br>tiene la posibilidad de ejercer derechos<br>arcos. Ahora hay que ver, hay que<br>distinguir un poco si estamos dentro del<br>ámbito laboral, que efectivamente<br>también tiene su propia normativa y<br>también la protección del estatuto de<br>los trabajadores o si esto también cae<br>fuera del ámbito laboral. Podrían darse<br>ciertas circunstancias que un trabajador<br>quiera tener acceso a sus datos o<br>ejercer algún derecho arco fuera del<br>ámbito laboral. También habría que hacer<br>esa distinción, pero en principio sí, un<br>trabajador puede ejercer estos derechos.<br>Y finalmente también preguntaban,<br>eh, podría también tratarse también de<br>los algoritmos las plataformas de redes<br>sociales con respecto a los derechos<br>arcos.<br>Sí, el tema de los algoritmos está muy<br>relacionado con lo que es las decisiones<br>automatizadas, con los perfilados, eh,<br>que va a depender del tipo de algoritmo<br>que se está utilizando en la en la red<br>social. Eh, pero por ejemplo, eh, si<br>ustedes entran a sus redes sociales, no<br>sé, Facebook, eh uno no tiene idea, pero<br>uno puede ejercer el derecho de de<br>oposición eh para que no se aplique, no<br>se realice un perfil eh una evaluación<br>de tu propio perfil y que te envíen<br>información en base a la evaluación del<br>perfil tuyo.<br>es un poco complejo, ¿no? No he hecho la<br>prueba ahora porque siempre te hacen<br>hacer clic y después clic y uno llega la<br>opción quiere desactivar el tratamiento<br>o los el tratamiento perfilado. Sí, si<br>puedo. Y ahí uno desactiva. Es posible<br>eh es posible realizarlo respecto al<br>algoritmo. Y el problema de la eh<br>comentaba también anteriormente en la<br>presentación, que se dejaba fuera el<br>derecho a acceso para saber eh cómo era<br>ese tratamiento respect o por ejemplo<br>respecto a información de del propio<br>algoritmo, porque la información del<br>algoritmo es algo propio de la empresa,<br>no tiene por qué entregártelo, pero sí<br>te puede entregar o o uno sí podría<br>solicitar información respecto de cómo<br>ese algoritmo está afectando o qué<br>consecuencias puede tener respecto a mis<br>datos personales.<br>Y esa información sí tendría que ser<br>proveída, pero ahí hay un silencio en la<br>ley porque no habla específicamente de<br>los temas de decisión automatizada.<br>Entonces, eh ahí habría que ver cómo<br>cómo aplica si es que esto después<br>posteriormente la agencia eh mediante<br>sus circulares lo lo amplía un poco. Eh,<br>pero por ejemplo en el caso de europeo<br>sí sí se puede hacer y lo contemplan la<br>la normativa en ese caso específico.<br>Perfecto. De hecho, quizás como dato yo<br>uno efectivamente en meta puede pedir<br>sus datos. Uno se puede meter en<br>Instagram y puede pedir que le entregue<br>los datos que tienen de uno. No he visto<br>si ven también que los tratamientos que<br>hacen con los datos, pero al menos salen<br>que saben de mí, a quién sigo, quién me<br>sigue, qué le he hecho like, qué no le<br>he hecho like y te lo entregan ahí de<br>manera digital a través de un correo<br>electrónico.<br>Claro. Este es el típico caso de los de<br>los anuncios personalizados. Cuando te<br>llegan anuncios personalizados en base a<br>tu actividad,<br>yo podría eventualmente o meta en este<br>caso debería tener la opción de que yo<br>pueda desactivar ese esa evaluación de<br>mi de mi perfil<br>en base al algoritmo.<br>Y quizás la última pregunta para ir<br>cerrando la hace Beatriz, que dice,<br>"Para estudios médicos con equipos<br>médicos específicos, como por ejemplo un<br>electro electromiógrafo guarda<br>información del paciente y se sugiere<br>informar el paciente previamente con<br>algún tipo de disclaimers, por ejemplo,<br>cómo actuar en ese ámbito<br>en tema médico, yo creo que estamos<br>estamos con en altos temas, ¿no es<br>cierto?<br>tenemos un problema por cualquier<br>información médica uno puede meter la<br>ficha clínica o a regulación en materia<br>de protección personales de regulación<br>de ficha clínica para hacer el ser para<br>decirlo en completo y eso significa que<br>estamos hablando de dato personal<br>sensible, ¿cierto? El dato personal<br>sensible tiene base de licitud distinta<br>porque estamos hablando, sabemos que hay<br>cuatro tipos de datos personales<br>dependiendo si a a quién sigamos de la<br>doctrina, ¿no es cierto? Está el dato<br>nuevo personal, tal dato personal, el<br>dato personal que que permite la<br>identificación, dato personal sensible<br>con todo lo que hay, dato personal<br>sensibilísimo, que es el que se habla en<br>general, eh, o que parte de la opiniona<br>dice, ¿no es cierto?, que el dato es<br>ficha clínica. Por tanto, hay requisitos<br>especiales con respecto al dato personal<br>sensible. Ahora, esto es que siempre hay<br>información, siempre haya<br>consentimiento, ¿no es cierto? Y que<br>siempre haya revocabilidad.<br>Eh, pero con la información clínica<br>tenemos un problema, ¿no? Eh, porque la<br>información clínica serie, por ejemplo,<br>para investigaciones.<br>Que en esa lógica, ¿no es cierto?, El<br>interés legítimo es bastante más<br>reducido cuando estamos hablando dato<br>personal sensible de la información, por<br>ejemplo, que podría tener<br>máquina en un consultorio médico pasar<br>una universidad para para que<br>investigue, requiere en principio<br>consentimiento especial, ¿no? Y a eso le<br>sumamos otra cosa que tenemos regulación<br>sectorial<br>tanto nacional como internacional. la<br>regulación sectorial toda la<br>reglamentación que hay en materia de<br>ficha clínica, tanto por el reglamento,<br>o sea, tanto por perdón el código<br>sanitario como la reglamentación 2012<br>del Ministerio de Salud con respecto a<br>ficha clínica y tenemos las obligaciones<br>internacionales que hay con respecto a<br>la World Medical Association, ¿no es<br>cierto? O a los diferentes estatutos que<br>hay en materia de consentimiento y<br>tratamiento de datos de eh salud. ¿Por<br>qué es importante las los estándares<br>internacionales? Porque cuando nosotros<br>hablamos de diligencia, uno de los<br>elementos de la diligencia es las<br>recomendaciones, ¿no es cierto?,<br>profesionales de cada gremio. Entonces,<br>mi impresión es que hoy día se hace<br>superclejo el tratamiento de datos de<br>salud si es que seguimos toda esta<br>lógica. De hecho, la Unión Europea hay<br>varias solicitudes de asociaciones de<br>colegios médicos de que se liberalice,<br>¿no es cierto?, el tratamiento de datos<br>de salud en casos de investigación y el<br>tratamiento porque evidentemente las<br>máquinas están diseñadas. Habría que<br>repensar el diseño de las máquinas para<br>que vayan manteniendo la información por<br>algún tiempo y esa información, ¿no es<br>cierto? Hay que ver qué es lo que va a<br>pasar con interoperabilidad, fichas<br>clínica, etcétera, etcétera, etcétera.<br>Eh, hoy día estamos en una situación aún<br>más precaria, ¿cierto?, de la realidad<br>versus lo que está entendiendo la<br>regulación de cómo funcionan los<br>hospitales de la realidad. Por tanto, en<br>resumen del desorden de respuesta que<br>acabar de que no fue respuesta de nada,<br>sino que más bien fue como tirar cosas<br>al aire. Eh, disclaimer. Evidentemente<br>hay que hacer un disclaimer, pero no es<br>un disclaimer porque los disclaimer en<br>protección de datos personales no<br>existen. Existen<br>información de información en caso que<br>no haya consentimiento, pero en este<br>caso es informar los derechos que tiene<br>y qué es lo que hace con los datos y por<br>tanto qué derechos puede usar sobre ese<br>tipo de tratamiento. Eh, y efectivamente<br>limitar el acceso a esos datos a tercero<br>porque sea efectivamente limitado. Super<br>complejo el tema médico.<br>Sí,<br>perfecto.<br>Ahí solo para agregar algo, eh, el<br>responsable tiene que aplicar medidas<br>técnicas y organizativas para garantizar<br>el tratamiento de los datos y sobre todo<br>cuando estamos hablando de datos<br>sensibles, como los datos médicos. Eh,<br>pero también choca con lo que decía<br>Matías, bueno, ¿qué pasa si esto es para<br>investigación, para fines científicos,<br>estadísticos, etcétera? Eh, eso te<br>genera una complicación, pero una<br>solución que pueden implementar también<br>la la organización el tema de la<br>anonimización del del dato, o sea, que<br>ya no sea un dato personal que yo pueda<br>vincular directamente a una persona,<br>sino que ese dato pasa a ser eh un dato<br>relevante eh para los fines científicos,<br>estadísticos que yo estoy buscando, pero<br>no para vincularlo con la persona. Eso<br>es una es una de las tantas medidas que<br>se puede implementar.<br>laimización que laización en la práctica<br>en muchos casos imposible. No existe<br>anonimización como la ley lo entiende.<br>La ley, la redacción de las leyes no<br>entiende que es la anonimización,<br>¿no? Eh, confunde confunde. De hecho, la<br>el los documentos técnicos, ¿no es<br>cierto? Recomendaciones de las agencias<br>confunden<br>técnicas simplemente de enmascaramiento<br>con anonimización.<br>Eh, y hoy día cuesta conseguir<br>áreas donde yo pueda anonimizar<br>efectivamente la anonimización es con<br>respecto a un tratamiento<br>más que una anonimización en general,<br>¿no? Eh, eh, y eso es lo que es raro. Yo<br>no puedo anonimizar una base de datos.<br>Punto.<br>Yo puedo anonimizar una base de datos<br>para un tratamiento en particular<br>porque la base de datos siempre es<br>identificable y teníamos el problema,<br>¿no es cierto?, nosotros en en nuestro<br>proyecto de ley, siendo que se solucionó<br>que teníamos dos definiciones de la<br>organización, una el procedimiento que<br>permita, o sea, el el procedimiento que<br>haga imposible la reidentificación de la<br>persona, o sea, básicamente eliminarla,<br>la única forma de va ser imposible<br>eliminarla, ¿cierto? Y segundo, todas<br>las medidas suficientes eh dependiendo<br>de la complejidad de la base de datos,<br>¿no es cierto?, que impidan la<br>identificación. Por tanto, la ley tenía<br>inicialmente esta diferencia entre una<br>obligación de medio y una obligación de<br>resultado.<br>La obligación de resultado no es posible<br>en anonimización<br>con con respecto a la definición de la<br>base de datos. Es posible con respecto a<br>un tratamiento y eso nos genera una<br>dificultad que cuando lo vea alguien,<br>¿no es cierto?, una agencia y diga,<br>"Veamos cuál es efectivamente el la<br>anonimización que se hizo." Va a decirme<br>esta esta anonimización no fue<br>suficiente, porque ninguna es<br>suficiente. Tenemos un problema super<br>grave con respecto a la ización son<br>técnicas que estamos descubriendo o se<br>están descubriendo recientemente.<br>Entonces es un tenemos un desafío super<br>grande con respecto a eso.<br>Claro, porque ahí también viene un poco<br>lo de la exigencia y qué tan exigente va<br>a ser la agencia después respecto de<br>esta estas técnicas que se utilizan.<br>Es un tema<br>s. Eh, les queríamos agradecer la<br>participación a Matías Ignacio también<br>por su presentación, la buena discusión<br>que tuvieron de compartir la el<br>conocimiento que tienen con nosotros.<br>También agradecer a la gente que<br>participó. Recordarles que nos sigan el<br>LinkedIn en YouTube, también vamos a<br>estar enviando un correo con la<br>grabación de la presentación y cualquier<br>duda pueden escribir a<br>[email protected].<br>Que tengan un muy buen día. Gracias.<br>Muchas gracias, Rodrigo. Gracias,<br>Matías. Gracias. Gracias.