sobre reprotección de datos personales.
Esta este webinar va a ser grabado, van
a poder acceder a él posteriormente en
nuestro canal de YouTube. Ahí les vamos
a dejar el link para que nos puedan
seguir en YouTube y en LinkedIn y estén
atentos a nuestras nuevas novedades, eh
los webinar que estamos haciendo, pueden
revisar este webinar, los webinars
pasados y eh también vamos a dejar un
link de preguntas o los pueden hacer
también por el chat de de Zoom, cosa que
después de la presentación de los dos
expositores podamos conversar respecto a
las dudas que puedan tener y las cosas
que quieran plantear en en el webinar.
Sí. Entonces, como muy bien adelantamos,
la temática hoy día va a ser base al
Instituto y Derechos Arco, los conceptos
fundamentales, diría yo, en el entender
del marco legal que nos va a regular el
tratamiento de datos personales en Chile
y en el mundo. Y vamos a aprender, por
un lado, qué son las bases de ilicitud,
eh cuáles son las comunes y cómo se
aplican y sobre todo el interés
legítimo. Vamos a conversar de interés
legítimo para el negocio, eh, y las
dificultades que podamos tener. Es como
la zona más importante a conversar de
bases de licitud. Y por otro lado los
derechos arco, eh ver casos prácticos,
cómo se ejercen y cómo respondemos desde
el lado del responsable o encargado del
tratamiento. Y como les había
adelantado, queríamos pedirles disculpas
por la ausencia de Leocadio. Él tuvo un
inconveniente, un imponderante último
minuto, pero lo va a reemplazar Ignacio
Gallardo, quien ahora les va a
presentar. Ignacio Gallardo es magíster
en derecho digital y sociedad de la
información de la Universidad de
Barcelona. Es abogado de la Universidad
de Chile y les va a presentar ahora
Derechos Sal. Ignacio, te dejo el pase y
cualquier cosa nos pueden preguntar.
Ya voy a compartir la pantalla, la
presentación. Eh, bueno, faltó decir ahí
también que uno de los socios fundadores
de Ley de Datos, así que esta
presentación viene de parte de ley de
datos. También
me confirmas, Rodrigo, si se ve la
pantalla.
Se ve perfecto.
Perfecto.
Bueno, como decía Rodrigo, lamentamos la
ausencia de de Leo Cayo, pero no
queríamos dejar fuera este tema eh por
la importancia eh que significa no solo
para las organizaciones, sino que
también para todos nosotros como
titulares de datos.
Eh,
este lo que respecta a los derechos arco
tiene una doble dimensión para las
empresas, cómo tienen que adecuarse,
implementar esta normativa y también
respecto de los titulares, cómo
nosotros, los titulares, nosotros, todos
ustedes que están conectados eh el día
de hoy, podemos ejercer estos derechos y
cómo, ante quién tenemos que recurrir eh
para ejercerlos y ante quién también
vamos a recurrir cuando no se respeten
estos estos derechos. Entonces, pasamos
al primer tema.
Esta exposición tiene eh se divide en
dos partes. Una parte general donde
vamos a ver un poco cuáles son los
principios que están detrás y los
fundamentos de los derechos arco. Eh, y
después una parte más específica,
analizando brevemente el contenido de
estos derechos.
Eh, ¿qué significa cada uno y cómo se se
pueden ejercer? en qué en qué casos eh
corresponde y en qué caso los
responsables del tratamiento pueden
también eh negar la el ejercicio de
estos derechos.
Y bueno, ¿dónde nace eh
la el ejercicio de los derechos arco?
¿Por qué existen estos derechos? Y estos
derechos existen por un motivo en
específico, es porque todos nosotros,
las personas queremos tener control
sobre nuestros datos personales.
Lo que buscamos que nuestros datos, los
que los datos que entregamos a las
organizaciones, empresas, el estado
o a otras personas, nosotros queremos
tener control, queremos saber dónde
están, queremos saber qué datos tienen
la las organizaciones, queremos saber si
esos datos están correctos y un montón
de otras cosas relacionadas con esos
datos. Entonces, el punto esencial es el
control y para eso la normativa, el
proyecto de ley que está en discusión
ahora en el Congreso y también que
bueno, el proyecto de ley se inspira en
estándares internacionales eh que ya
regulan eh esta materia en otras partes
del mundo, eh pone de manos de los
titulares el ejercicio de estos
derechos,
busca una posición activa del titular en
la defensa de sus derechos y libertades.
¿Y cuál es la diferencia? trascendental
entre lo que tenemos hoy en día, la ley
actual en Chile versus lo que es
proyecto de ley y estos estos estándares
que se buscan alcanzar el procedimiento.
Hoy en día nuestro nuestro ley contempla
estos derechos, existen en nuestra
legislación eh con algunas
características distintas, sí puede ser,
pero existen. Nosotros podemos ejercerlo
el día de hoy. El problema es
procedimiento. ¿Cómo ejercemos estos
derechos? ¿Ante quién los ejercemos? Hoy
en día la ley solamente establece un
procedimiento judicial ante los
tribunales de justicia para el ejercicio
de estos derechos. El proyecto de ley y
lo que busca también un poco el mundo ir
avanzando es poner esto dentro de lo que
es un ente regulador que va a ser la
Agencia de Protección de Datos, que va a
ser la encargada de fiscalizar y eh ver
las reclamaciones cuando se afectan
estos derechos. Entonces, el primer
cambio y más importante es el
procedimiento.
Lo que se busca un poco es flexibilizar
y agilizar el ejercicio de estos
derechos. Así que bueno, considerando
que hoy en día existen en nuestro
ordenamiento, me gustaría también saber
si es que alguno alguna vez ha ejercido
ante un tribunal eh estos derechos,
porque yo la verdad lo he visto muy poco
y la idea es que ahora en adelante esto
cambie, que nosotros como titulares
titulares de los datos podamos ejercer
estos derechos eh cada vez que sea
necesario. ¿Y cuáles son estos derechos?
Los derechos arco, su sigla viene de
acceso, rectificación, cancelación,
oposición.
Y por y y de dónde viene esta sigla
viene un poco de lo que era la directiva
europea, la antigua antigua directiva
europea que regulaba en específico estos
cuatro derechos,
eh, los cuales ahora han avanzado con el
nuevo reglamento, el nuevo reglamento
europeo y se han incorporado dos
derechos más que la portabilidad y la
limitación. Entonces hoy en día más que
derechos arcos, hablamos de derechos
arco más o plus o derechos arcos.
También hay otras siglas para incorporar
también estos otros dos derechos que se
que se agregaron. Eh, pero la idea hoy
en día es que hay una amplia gama de
derechos que se pueden ejercer y quién
dice que el día de mañana no se pueden
incorporar otros más. Eh, como dije,
acceso, rectificación, supresión,
cancelación. Se cambia el concepto a
supresión. El proyecto de ley ocupa
indistintamente los dos conceptos,
oposición y portabilidad. La limitación
está incluida en el proyecto de ley,
pero de forma más acotada. ¿Y cuáles son
los principios detrás? Transparencia,
calidad de la información, capacidad de
control, que es lo que mencionaba
anteriormente, que nosotros queremos
tener control de nuestros datos.
Y por otra parte, un principio que es
muy importante, que lamentablemente el
proyecto de ley no lo contempla de forma
específica, pero sí se da a entender en
todo lo que es su regulación, el
principio de responsabilidad proactiva.
¿Y qué es la responsabilidad proactiva?
lo que señala es que el responsable, las
organizaciones que tratan datos
personales tienen tienen que implementar
eh mecanismos adecuados para su
tratamiento y además tienen que ser
capaces de demostrar
ante eh en este caso la agencia que su
el tratamiento eh cumple con la
normativa. Entonces, no solamente se
busca ser responsable a la organización,
sino que esta también sea capaz de
demostrarlo. Y vamos a ver que en el en
el ejercicio de cada uno de estos
derechos, un elemento esencial es cómo
las empresas demuestran ante tercero,
ante sus ante los interesados y ante la
misma agencia cómo están cumpliendo con
estos derechos.
Y otro aspecto esencial de estos
derechos es que son personalísimos.
Solamente los titulares de los datos
pueden ejercerlo o algún representante
debidamente acreditado y las empresas
pueden también solicitar información a
la a quién ejerce el derecho para poder
acreditar su identidad.
Bueno, y el primero de estos derechos
del acceso, vamos a revisarlo muy muy
brevemente, no nos vamos a detener mucho
en cada uno de los derechos. Cada uno
habla por sí solo, eh, y esto es lo que
existe hoy en día en el proyecto de ley.
Esto está exactamente como está en el
proyecto de ley. Puede cambiar, puede
cambiar ahora en esto en transcurso
hasta hasta su aprobación, pero hoy en
día está de esta forma. ¿Y qué es lo que
lo que busca el acceso? Es solicitar y
obtener. Fíjense que el proyecto habla
muchas veces de solicitar y obtener. No
basta con solicitar, tiene que obtener
también del responsable una respuesta. Y
en este caso el acceso es poder acceder
específicamente a cierta información que
cuenta el responsable eh que la está
tratando. Y esto es en específico, datos
tratados y su origen. ¿Cuál es la
finalidad del tratamiento? ¿Quiénes son
los destinatarios de estos datos? ¿A
quién se lo están entregando?
¿Cuánto tiempo lo van a conservar? ¿Cuál
es el periodo estimado para conservar
esos datos? ¿Y cuáles son los intereses
legítimos del responsable para tratar
esos datos? Matías más adelante va a
hablar específico de los intereses
legítimos, pero también para que ustedes
sepan, el titular puede solicitar
información respecto a los intereses
legítimos. ¿Cuándo no está obligado el
responsable entregar esta información?
Cuando el titular ya dispone esta
información, lógico, si yo voy a un
banco y le pregunto cuál es mi nombre y
mi root, no tiene mucho sentido. Yo sé
cuál es mi nombre y mi root cuando su
comunicación resulta imposible o su
entrega exija esfuerzos
desproporcionados.
Esto la entidad tiene que acreditarlo.
Eh, no es no es que uno pueda alegar
esto cada vez que un alguien ejercita un
derecho. Tiene que ser eh objetivamente
eh demostrable que implica un esfuerzo
desproporcionado. Y acá hay un ejemplo
con el caso del bloqueo de datos. No sé
si bueno, en algunas organizaciones se
implementa lo que es el bloqueo de
datos.
Eh, y lo que se busca es un poco que
ciertos datos queden limitados su
acceso.
Yo no puedo decir que no no se puede eh
negar el ejercicio del derecho a acceso
si es que estos datos están bloqueados.
El responsable tiene que ser capaz de
desbloquearlo y permitir el acceso para
entregar esta información. No es una
excusa. Anteriormente se había una
doctrina que sí lo señalaba como excusa,
pero hoy en día no.
cuando se entrega imposibilite oice
gravemente el tratamiento de los datos
con fin histórico, estadístico, esto es
muy específico, o en otros casos que lo
disponga expresamente la ley. Ahora,
haciendo un simil entre el derecho de
acceso con el con lo que es el
reglamento europeo, que es finalmente el
estándar internacional en este en esta
materia, nos damos cuenta que hay dos
casos en particular que no están
incorporados en el proyecto de ley. Uno,
el caso de la existencia de decisiones
automatizadas que incluyan la
elaboración de perfiles. Y en el fondo
lo que se busca acá es que el titular
tenga acceso a información respecto a la
lógica que se está aplicando atrás, la
importancia y las consecuencias
previstas de este tratamiento. para que
se hagan una idea, decisión
automatizada, por ejemplo, es cuando eh
una entidad, por ejemplo, una entidad de
de gobierno, para otorgar un beneficio
utiliza eh bases de datos, los datos de
la persona para ver si ese beneficio
aplica o no aplica a esa persona. Hay
una decisión automatizada detrás entre
si se le otorgó o no le otorgó el
beneficio.
Y lo que se busca acá es que la persona
tenga acceso a saber si es que hay una
decisión automatizada y qué es lo que se
está aplicando detrás. Y lo otro,
respecto a las transferencias
internacionales, la ley prevé la
situación de eh de tener acceso a
quiénes son los destinatarios de los
datos, pero deja fuera que qué pasa
cuando esos datos se transfieren
internacionalmente, está dejando fuera
eh lo saber cuáles son las garantías que
se están aplicando a ese tratamiento.
Esos son dos como observaciones que se
pueden hacer a la ley, sin perjuicio de
que igual se puede incorporar dentro de
otras categorías.
El derecho de rectificación, tan simple
como rectificar mis datos, solicitarle a
la entidad, rectificarlo cuando estos
están inexactos, desactualizados o
incompleto.
Acá es muy importante que una vez que se
rectifiquen los datos, la organización
que rectifica tiene que comunicar a
otras personas, entidades o organismos a
los cuales ello haya transferido o haya,
perdón, cedido esos datos eh por algún
cumplimiento de alguna obligación
contractual, legal, eh etcétera. Tiene
que informarle que ese dato fue
modificado. Porque, ¿qué pasa? Si yo en
una base de datos rectifico un dato y no
la rectifico en otras bases de datos, yo
voy a tener bases de datos duplicadas.
Y la ley se pone en esta situación y lo
ve como un incumplimiento también de la
normativa. Hay que tener mucho ojo e de
que si se está rectificando un dato, esa
rectificación tenga un efecto para todas
las bases de datos y para todos los
destinatarios de esos datos que
rectifiquen esa información. Y además el
el responsable de los datos puede
solicitar también documentación
justificativa a quien está pidiendo la
rectificación. Por ejemplo, yo no puedo
pedirle a una entidad que cambie mi
nombre simplemente porque yo quiero.
Puede ellos pueden solicitarme, bueno,
acompáñame algún documento que acredite
una resolución judicial que usted se
cambie el nombre e o su documento de
entidad donde yo pueda ver cuál es su
nombre. Acá las entidades pueden
solicitar documentación adicional. El
derecho de cancelación
eh también en términos simple es
cancelar o suprimir datos personales que
se encuentran en poder de del
responsable. ¿En qué casos? eh cuando
los datos no resultan no resultan
necesarios con los fines del
tratamiento, cuando el titular ha
revocado su consentimiento, cuando estos
datos se han tenido se ha obtenido de
forma ilícita o están siendo tratados de
forma ilícita cuando los datos se
encuentran caduco, en caso de sentencia
judicial, obligación legal y también por
el ejercicio del derecho de oposición
que vamos a ver a continuación.
¿Cuándo no está obligada la entidad a
cancelar estos datos?
un caso muy particular, cuando esto
altere eh la libertad de opinión e
información, cuando esto vaya en contra
de la libertad de opinión. Por ejemplo,
si yo le solicito a un diario que
elimine una noticia
eh porque tiene datos personales míos,
el diario puede objetar esa solicitud
señalando que esto iría en contra el
derecho de información porque esa esa
noticia es objetiva, son hechos reales
que ocurrieron y no hay nada que
acredite que eh esa información va en
contra de la verdad. Acá se podría
aplicar también lo que es el derecho a
información y otros casos en caso de
razones de interés público, también con
fines histórico, estadístico,
científico, reclamación administrativa o
judicial. eh y tener en cuenta que la
supresión puede ser perfecto de la
totalidad de los datos y en ese caso se
elimina el tratamiento de esos datos o
por algún dato en concreto.
El derecho de oposición
eh bueno, el titular puede oponerse
frente al responsable cuando este
realice un un tratamiento específico o
determinado. Y esto, ¿en qué casos va a
ocurrir? Cuando ese tratamiento afecte
sus derechos y libertades fundamentales.
Esto en términos amplios.
Si el tratamiento se realiza
exclusivamente con fines de
mercadotecnia o marketing directo, acá
los interesados también pueden solicitar
eh que se eliminen esos datos. Y este es
el típico caso de los correos
electrónicos que nos llegan con
información eh comercial eh y que uno no
tiene idea cómo llegaron esos datos a
esa empresa. Bueno, con esto uno lo
puede ejercitar este derecho sin
perjuicio que hoy en día también se
puede hacer en sede de consumidor. Y si
el tratamiento se realiza respecto a
datos obtenidos en fuentes de acceso
público y no existe un fundamento legal
para su tratamiento.
¿Cuándo no está obligado el responsable?
En los mismos casos de la cancelación,
cuando esto afecta la libertad de
opinión, información, interés público o
cuando se traten estos datos con fin
histórico, estadísticos o científicos
sean necesarios para al ejercicio de
alguna reclamación administrativa o
judicial.
Acá es importante que se incorpora el
derecho de oposición eh
el derecho de oposición a las
valoraciones personales automatizad
incluida la elaboración de perfiles.
Esto es lo que les mencionaba respecto
del derecho de acceso, que en el derecho
de acceso no lo contempla, pero para el
derecho de oposición sí lo contempla. Y
acá se ocurre un pequeño sin sentido en
la legislación, que yo para poder
oponerme al tratamiento de estos datos
eh tratamiento automatizado, tengo que
tener primero conocimiento. Entonces,
primero tengo que ejercer el derecho de
acceso para saber si efectivamente se
están tratando estos datos y cómo se
están tratando. Entonces, esto quizás un
pequeño punto que se podría regular
ahora en en lo que queda de tramitación
del proyecto. Y muy simple, la
portabilidad simplemente es yo los datos
que tengo eh radicados en una entidad,
solicitarle a esa entidad que los
comunique a otra. ¿Cuándo? Cuando el
tratamiento se realiza en forma
automatizada o el tratamiento se basa en
el consentimiento del titular.
Bueno, y algunas consideraciones
finales. Eh, esto específicamente
también respecto de la de las empresas
que tengan muy eh para que los tengan
muy en cuenta ustedes que que se están
incorporando en este tema de datos
personales. Primero es que estos
ejercicios se pueden ejercer ante el
responsable, se ejercen de forma directa
ante el responsable y si son varios se
puede ejercer ante cualquiera de ellos.
Eso como primer punto. Y lo otro es que
se deben implementar mecanismos y
herramientas tecnológicas para el
ejercicio expedito, eficaz de estos
derechos. Y esto no es algo que lo diga
yo, lo dice la ley. Las empresas tienen
que incorporar mecanismos y herramientas
tecnológicas para el ejercicio de estos
de estos derechos. En el fondo, lo que
ellos buscan es que eh existan ciertos
canales eh disponibles para el titular
para que estos puedan ejercer sus
derechos. Pero esto también hay que
tener mucho ojo porque se contrapone
también con la libertad que tiene el
titular para ejercer estos derechos ante
eh por cualquier medio. Por ejemplo, si
yo soy responsable y tengo una página
web y tengo alojada en la página web las
solicitudes de de mis derechos arco, yo
y va un un titular a a una tienda, a un
local y quiere ejercer uno de estos
derechos en la tienda o en el local, yo
tengo que tener mecanismos para poder eh
eh recibir esa solicitud que está
haciendo el titular, aunque sea de forma
presencial, no puedo ponerme a esa
solicitud y decirle, "No, sabe que vaya
a la en la página web usted puede
encontrar eh dónde ejercer estos
derechos. Eh, el responsable tiene que
eh establecer los medios para poder
tramitar estos derechos y ahí eh darle
siempre una respuesta. Y lo otro
importante es que su ejercicios
gratuitos para los interesados. Esto
también lo señala la ley, establece una
pequeña excepción en el caso del derecho
a acceso si se ejerce más de una vez de
forma trimestral, pero eh lo importante
es que es gratuito y al ser gratuito
significa que también es un costo para
la empresa y además tiene que
implementar los lo las herramientas
tecnológicas. Entonces acá la ley
efectivamente le está imponiendo una
carga a las organizaciones, no solo
empresas, también al mismo estado. ¿Y
quién vela por el ejercicio de estos
derechos? La agencia. La agencia va a
ser la que va a resolver eh cuando no se
dé respuesta. Se establece un plazo de
15 días hábiles. Esto puede cambiar
durante la tramitación, pero son 15 días
hábiles para la respuesta y en caso de
negativa o falta de respuesta, se puede
ejercer también la reclamación ante la
agencia.
Perdón. Y bueno, para terminar un solo
unos ejemplos, eh porque a veces cuesta
un poco aterrizar cuáles son estos
derechos. Eh, acá pueden ver en pantalla
eh ejemplos muy simples, pero que puede
pasarle a ustedes que les llegue de
repente un correo electrónico, alguna
solicitud por LinkedIn, etcétera. Y con
este tipo de preguntas acá pueden saber
si se está ejerciendo o no se está
ejerciendo en derecho. ¿Cuál? ¿Qué datos
tiene en mí? Acceso, el correo
electrónico incorrecto, rectificación y
ahí pueden ver lo otro. Y por ejemplo,
hola quiero pagar mi mi factura del
agua. Bueno, ese no es un ejercicio, un
derecho. Es muy importante que se
distinga también cuándo estamos ante la
presencia de un ejercicio, un derecho
arco y cuándo no estamos en presencia de
un derecho arco. Bueno, y eso sería la
presentación.
Eh, dejamos los datos de ley de datos en
pantalla.
Muchas gracias, Ignacio. Agradeciendo la
presentación de Ignacio que nos habló de
los derechos arco. Nosotros de manera
breve les vamos a mostrar la plataforma
leidedatos.com.
Les voy a compartir pantalla ahora
y básicamente les queremos mostrar dos
módulos. El primer módulo es el módulo
de mapeo de de activos o data mapping,
como se conoce en inglés. Y básicamente
es un mapa donde podemos ver los
distintos activos que tenemos la
organización. ¿Y por qué esto es
importante? Porque no todos los países
son puertos seguro el día de hoy parece
queo se le quedó abierto el micrófono.
Ahí se lo voy a cerrar. Eh, no todos los
países en el día de hoy son puertos
seguro de datos. De hecho, Chile, por
ejemplo, hoy día no lo es. una empresa
que trabaja en Europa y quiere cumplir
la normativa, no puede estar dando
mandando datos eh personales a Chile
porque hoy día no es Puerto Seguro.
Entonces, nosotros como organización
debemos ser capaces de ver dónde están
nuestros activos y ver qué riesgo tiene
asociado que algún activo, por ejemplo,
est en India, que también es otro país
que no es un puerto seguro de datos. Y
acá nosotros podemos editar de manera
muy rápida
el las distintas información de nuestro
activo. Entonces, ese es uno de los
módulos que les queremos presentar. Es
un módulo nuevo. Y el segundo módulo es
el módulo de evaluación de impacto, que
es el corazón de toda la gestión que
tenemos que hacer nosotros como
delegados de protección de datos o
gestionar como delegados de protección
de datos. Entonces, en este módulo están
todas las actividades que requieren una
evaluación de impacto y nosotros al
hacer clic acá nos vamos a ir a su
importe. Entonces, por ejemplo, hago acá
clic en vivovigilancia y nosotros vamos
a ver todo lo que hemos llenado nosotros
como delegado o nuestro equipo y tenemos
distintas plantillas. Nosotros
actualmente trabajamos con una plantilla
que la recomendamos a nuestros clientes,
pero cada uno puede configurar la
plantilla que quiere poner en su en su
organización. Sí, al final del día cada
uno tiene que cumplir su distintos
estándares. Entonces, por ejemplo, en
esta plantilla la el paso uno es
identificar si es que hay que hacer una
evaluación de impacto o no.
Describir el tratamiento, siempre es
importante explicar qué estamos
haciendo, describir también el alcance
de este tratamiento, el contexto del
procesamiento y, por ejemplo, el
propósito. Luego también tenemos un
proceso consulta, que es el proceso que
vamos a ir llevando dentro de la
organización para ver la pertinencia y
el riesgo asociado a este proceso.
También tenemos que siempre en una
evaluación de impacto ver la necesidad y
la proporcionalidad de esta de este
tratamiento y dejarlo justificado acá en
caso que el día de mañana tengamos un
problema y la agencia quiera revisar
nuestra documentación y ver si fuimos
capaces de mitigar este riesgo. Y
finalmente en esta misma línea está por
un lado la identificación de los
riesgos. Entonces, por ejemplo, acá uno
puede ir agregando riesgos, puede ir
tomando estos riesgos que ya están
agregados y los podemos ir editando. No
necesitamos la descripción del riesgo,
que por este caso es el mal uso de la de
la biometría en la biovigilancia y le
podemos asignar una probabilidad de
ocurrencia que puede ser remoto, o sea,
que no pueda ocurrir o muy posible y
también el impacto que tiene la
organización. Entonces, por ejemplo,
esto es poco probable que ocurra, pero
es significativo. Y en el caso de la
filtración, vemos que es posible y sería
severo, o sea, el daño sería muy alto
para la organización y con eso tenemos
un riesgo general que nosotros lo
adecuamos según nuestros esquemas, pero
lo podemos adecuar también a los
esquemas de la empresa. Y finalmente,
para cada riesgo, un control, ¿sí?
Entonces, en este control, eh nosotros
podemos acá decir qué es lo que vamos a
hacer para controlar ese riesgo y cómo
ese riesgo va a cambiar gracias al
control que nosotros estamos
proporcionando.
Eh, ahí les vamos a dejar el contacto en
el chat si alguien quiere ver una
demostración más en profundidad o le
gustaría verlo con su empresa y yo ahora
voy a dejar de compartir para pasar a
presentar a nuestro siguiente exponente
que es Matías Aranguis. Él es profesor,
bueno, muchas cosas en verdad, pero él
es eh un segundo, se me perdió, es
profesor asistente de derecho económico
y subdirector del programa derecho,
ciencia tecnología UCP de la Facultad de
Derecho de UCP, director de los
diplomados en protección de datos
personales, derecho e inteligencia
artificial, contratación y regulación en
finte y nos va a presentar hoy día
basesitud para tratamiento de datos. Así
que dejo a Matías Aranguis y cualquier
duda que tengan de su presentación
también la pueden escribir en el chat y
la vamos a abordar al final de la
conversación.
Gracias, Rodrigo. Déjame
la presentación.
Ya. Entonces, la conversación de hoy día
tiene eh como bien como bien decía
Rodrigo, ¿no es cierto?, hablar un poco
sobre las bases de licitud. Eh, las
bases de soliditud son
en general de las cosas básicas que uno
ve en uy chup allá en las cosas básicas
que uno ve en materia de protección de
datos. Eh, salió el el el WhatsApp que
tenía a fondo. Eh, y las bases de
licitudes generan un par de
dificultades, ¿no es cierto? Porque es
la primera pregunta que deberíamos
presentar, ¿no? Cualquier institución
que haga tratamiento de datos, que
básicamente son todas, debe presentarse
al momento de empezar a tratar datos,
¿no es cierto? ¿Cuál base se aplica?
Paso vamos a poner un un par de
elementos de contexto. Vamos a
analizarlas rápidamente. Vamos cuáles
vamos cuáles son los efectos de un
selección de una u otra base de licitud
y terminamos haciendo algunas preguntas
con respecto a la responsabilidad que
nos va a aplicar después en el contexto
del reglamento nuevo. Entonces, veamos
un poco de contexto, ¿no es cierto? Ent,
cuando nosotros pensamos en la
regulación de datos personales, que nace
estructuralmente, finales de los 60,
comento de los 70, nace como un miedo
una desconfianza al tratamiento de datos
que se hacía por parte de los gobiernos,
¿no? Eh, la gente o se había masificado
en ese momento el uso de censos, ¿no?, o
el uso de levantamiento de información,
ya sea por censo o por servicios de
inteligencia, ¿no? y había este
inquietud natural de decir, "No me
siento tan tranquilo" porque
pasaba algo muy similar a lo que pasa
hoy día con inteligencia artificial,
¿no? Con estas herramientas de
estadística
pueden encontrar muchas más cosas de mí
a las que yo podría ver, ¿no? Que es muy
similar a lo que la gente dice, "Ah, con
esta herramienta de inteligencia
artificial pueden aprender muchas más
cosas mías de las que yo necesariamente
sé."
Entonces decía, "Mira, están violando mi
privacidad, están violando con este
tratamiento de datos, ¿no es cierto? Con
estas nuevas técnicas de estadística,
están aprendiendo cosas mías que tal vez
yo no me siento representado, ¿no es
cierto? O tal vez yo no sé, o tal vez no
quiero que se hagan públicas eh con esas
tres variades, ¿no es cierto? No me
siento representado. Eh, vamos derecho
arco, derecho a rectificación.
Eh eh no quiero que se sepan privacidad
en su base, ¿no es cierto?
eh o yo no sé, ¿no es cierto? Y ahí
primer problema con respecto al derecho
de acceso. Eso después se extendió, ¿no
es cierto? La aplicación horizontal de
los derechos se empieza a extender a
quiénes pasan a ser eh desde los 80
hacia adelante, ¿no es cierto?, los
grandes tratadores de datos después del
Estado, siempre el Estado es el primero,
eh a la empresa, ¿no? Y esto es lo que
da limitante, empiezan a decirse, bueno,
porque cuando el Estado trataba datos en
general era porque tenía que cumplir su
función del organismo público en
particular. Eh, la pregunta se empieza a
ser interesante cuando empiezan a tener
empresas datos, porque la función no es
evidente, ¿no es cierto? Yo sé
evidentemente cuáles son los objetivos
del Ministerio de Salud, eh, eh, y que
están, por tanto, ¿no es cierto?, me
están delimitando cuáles son las
funcionalidades del tratamiento de datos
que pueden estos hacer o la finalidad
del tratamiento de datos que estos
pueden hacer, pero cuando lo tomo una
empresa es distinto, ¿no? Cuando tomo
una empresa, no sé exactamente, más allá
de lo obvio que es vender, ¿no es
cierto?, o prestar su servicio, eh, para
qué lo pueden usar, ¿no? Entonces, se
empiezan a limitar, ¿no es cierto? y
empiezan a hacer todos los tipos de
organismos. Cuando se hace investigación
académica o científica en la universidad
o los centros de estudio, etcétera,
empiezan a aparecer otros tratadores de
datos, ¿no? Y eso fija el marco sobre el
cual decimos, bueno, tenemos que poner
bases de licitud, ¿no? Ciertos que tener
ciertas causas que me permitan tratar
los datos y cada una de estas causas o
antecedentes que tenga su limitación.
Eh, con ese con ese entendido, ¿no es
cierto?, esta evolución de que parte
como una desconfianza hacia el Estado y
que después se extiende, ¿no es cierto?
Porque el Estado está mucho más
delimitado por la función de cada
organismo, ¿no es cierto?, y se extiende
hacia las empresas. Eh eh
nos damos cuenta que si bien en la
retórica parece ser que el tratamiento
de datos personales en general por regla
general es abierto,
eh eh vemos que siempre necesitamos una
causa o una base de licitud. Por tanto,
la regla general real, ¿no es cierto?
más allá narrativa de los textos es que
la regla general es que no hay libertad
de tratamiento de datos, salvo que tenga
una base de licitud, ¿cierto? Esto se
complejiza más, ¿no es cierto?
particularmente en la era digital o
desde que se empiezan a digitalizar las
interacciones sociales, donde todo
acción que se puede hacer, que toda
acción que es digitalizada pasa a ser
una acción que puede ser registrada,
¿no? Y ese es el gran cambio que
tenemos, ¿no es cierto? Y hace que
existe esta explosión primero en el 95
con el reglamento, ¿no es cierto?, de la
Unión Europea, el reglamento 46 y
después posteriormente con el Reglamento
General de Protección de Datos
Personales, ¿no? Y después lo siguen
regulaciones más o menos similares. La
China a finales eh un poquito antes del
del 2020, ¿no es cierto? 2018, 2020,
2019, 2020 eh y Estados Unidos con su
regulación particular, salvo en
California que tiene, eh, pero vienen a
responder a esta pregunta de, bueno,
ahora que todas las la gran parte
cantidad de las interacciones sociales
son pasan, ¿no es cierto?, por un
sistema digital, por tanto son
registradas, por tanto pueden ser
tratadas, ¿no es cierto? Y eso nos
genera, ¿cierto? En este contexto nace
esta visión de eh las bases de licitud.
Ahora,
¿qué es lo que dice? Y particularmente
el recital 40, ¿cierto? Que son el
antecedente normativo antes antes de los
artículos bien como en la justificación
normativa. En el recital 40 dicen, el
presente reglamento no requiere que cada
tratamiento individual se rija por una
norma específica, ¿cierto? una norma
puede ser suficiente como base de varias
operaciones de tratamiento. Entendamos
en la definición de la normativa en
general, decimos que hay un tratamiento
dependiendo cada función que tengo con
respecto a una base de datos. Por lo
tanto, si tengo una base de datos, por
ejemplo, mis clientes, que la uso para
hacer marketing, por ejemplo, para
perfilar, ¿ctierto? Y para comunicarme
con ellos con respecto a las
obligaciones que puedan tener de pago,
estamos haciendo tres tratamientos
distintos,
¿no? Tres tratamientos distintos. Por
tanto, cada uno de esos tratamientos
necesita en el contexto normativo tener
una base de ilicitud que lo anteceda.
Y por tanto el proceso, ¿no es cierto?,
siempre encontrarla. Esto es muy similar
si lo pensamos en las regulaciones de
contabilidad, ¿cierto? Hoy día dentro de
una empresa no existe ninguna acción que
yo pueda hacer sin que pase por la gente
de contabilidad. No hay ninguna compra
que se pueda hacer sin que pase por la
gente de contabilidad.
Es muy sano porque básicamente todo
tiene que ser registrado. Y si todo
tiene que ser registrado, ¿no es cierto?
en contabilidad. Es la única forma que
yo puedo, en este caso contra mi contra
Marte, servicio de impuestos internos,
decir efectivamente hice un tratamiento
correcto de los dineros. Lo mismo pasa
en el contexto de protección personales.
La idea es que todo el tratamiento tenga
una causa, ¿no es cierto? Una base de
lexicitud y tenga por tanto las
condiciones que tenga esa base de
leicitud en particular. Ahora, ¿qué es
lo interesante con respecto a la base de
licitud? Porque la base de licitud
generalmente nosotros las reducimos a
cuáles son del listado que hay
dependiendo de la normativa. Pueden ser
dos, puede ser tres, puede ser seis, si,
etcétera, dependiendo el sistema
normativo que estemos viendo. Eh, a cuál
es la causa, ¿no es cierto? Pero el
recital 40 también de la del Reglamento
General de Protección de Datos de la
Unión Europea nos agrega esto, nos dice
la norma, la normativa nacional, porque
el reglamento general de protección dato
no es una ley, ¿no es cierto?, sino que
obligación para los estados para que
tengan sus leyes, ¿no? Y de esto nacen
las leyes. Por tanto, la normativa
nacional
que se antecede esta de este reglamento
podrá establecer especificaciones
para la determinación del responsable
del tratamiento, el tipo de datos
personales objeto del tratamiento, los
interesados afectados, las entidades con
las que se puede comunicar datos
personales, ¿a quién puedo entregarle?
No, es cierto, copia de datos, las
limitaciones de la finalidad, o sea, en
qué casos no se puede tratar datos. El
plazo de conservación de datos, tema
clave y poco tratado todavía, y otras
medidas. Por tanto,
es una definición números apertos, ¿no
es cierto? O listado números apertos, no
es taxativa, ¿no es cierto? Se ahí
pueden haber otras y otras medidas para
garantizar el tratamiento lícito y leal.
Lícito y leal. Por tanto, lo que me está
diciendo el resital del 40 es la base de
lexitud, ¿no es cierto? Antecedente, ¿no
es cierto? O o el principio de lexicitud
se cumple al menos por dos elementos,
¿no es cierto? Uno, el antecedente del
tratamiento y dos, este listado más
otros que tengan que ver con respecto al
tratamiento que yo haga de datos, porque
esto es clave, ¿no es cierto? Es clave
porque podría caer y pasa mucho, ¿no es
cierto?, que yo estoy haciendo un
tratamiento que está justificado en
alguna de las bases de licitud, pero al
no cumplir los otros requisitos de lo
que lo que se decía anteriormente, muy
bien, sino al cumplir los otros
requisitos de medidas de seguridad o
cumplimiento correcto del resto de los
principios que hay en materia de
protección de los personales, igual
podría caer del tratamiento ilícito,
podrá
Entonces con eso, ¿cierto? Con eso vamos
particularmente a cuáles son, ahol solo
un punto más, ¿no es cierto? Y tomando
el punto de los derechos ARCOP, que bien
se decía anteriormente, ¿no es cierto?
Los intereses, los interesados, el
titular de datos debe tener derecho a
acceder a los datos personales recogidos
que le conciernan.
Todos elementos clave acá. Recogidos que
le concierta.
Uno, el derecho de acceso es un
antecedente
necesario para la verificación, ¿no es
cierto?, la licitud del tratamiento con
el fin de conocer bla bla y verificar la
licitud del tratamiento. Por tanto, un
elemento de la licitud, pero es
interesante que dice los datos
personales recogidos.
Por tanto,
si es que en mi empresa recogemos datos
de cliente, ¿no es cierto?, o de quien
sea
y sobre eso hago un tratamiento y yo
infiero otra información. Esa
información no necesariamente está
incluida los derechos arco,
si no sería mucho, ¿cierto? Y eso
entendemos que está en la esfera de la
propiedad
eh o del trabajo interno que se haga en
la empresa. Por tanto, no necesariamente
dependen del
titular. Y ejemplos como esto complejos
podríamos tener varios. Un diagnóstico
médico.
Diagnóstico médico es una diferencia,
pero el diagnóstico médico tiene una
regulación especial. Pensemos en la
evaluación crediticia a una persona, ¿no
es cierto? Cuando yo le doy un scoring,
le doy un puntaje a esa persona en base
a la información que recogí de ella.
El scoring no es un dato recogido, ¿no
es cierto? La evaluación critic un dato
recogido, un dato inferido.
Entonces, el derecho de acceso es
fundamental porque una delimitación
clara, son los datos recogidos, h no los
datos que yo pueda haber procesado y que
hayan sido consecuencia del
procesamiento. Con esto nos vamos
particularmente a las bases del
tratamiento y estoy pensando o lo voy a
explicar en base al reglamento europeo
por facilidad y por cercanía
regulatoria.
Primero, el consentimiento, ¿no es
cierto? el rey, el rey de eh el rey de
los de los eh de las bases siempre es el
consentimiento
eh
que tiene altos requisitos, ¿no? No es
un consentimiento simple, es un
consentimiento que primero puede darse
de muchas formas. Nosotros tendemos a
pensar que tiene que ser escrito. El
reglamento europeo dice, ¿no? De hecho,
dice
puede ser, o sea, dice en caso que sea
escrito, bla, bla, bla, pero
consentimiento tiene que tener el
requisito anterior, que es que yo pueda
probarlo eventualmente que lo conseguí y
lo registre.
Por tanto, cierto, puedo hacer una
grabación de una persona diciendo, "Sí,
acepto."
Eh, no caemos necesariamente en esta
idea que tenemos. Al menos nuestro
derecho es que tiene que ser escrito.
Dice, "El consentimiento tiene que ser
algo que yo sea capaz de probar y que
sea expreso." No, no puede ser inferido,
no puede ser tácito. No, no puede ser.
Si no responde este correo, usted
acepta, ¿no? Si pasa más de 5 días en
que usted no responde, usted acepta. Si
usted por el solo hecho de entrar a mi
tienda acepta el tratamiento de datos
personales, ¿no? Esos son
consentimientos tácitos, no no son no
son aplicables en el contexto de la ley
o no son válidos en el contexto de la
ley. Si se da por escrito,
¿cierto? Y ahí es la única única
especificación que tenemos reglamento
europeo de protección de datos
personales. Si se da por escrito tiene
que ser diferenciado a otros asuntos.
Por tanto, yo no puedo juntar los con
sentimientos. No puede ser usted
consciente en contratar con mi empresa y
dentro de ese consentimiento venir el
consentimiento de protección a otros
personales, sino que tienen que ser
separados. Tengo que hacer un
consentimiento con respecto al contrato
principal y uno específico
con respecto al tratamiento de datos
personales que no sean de suyo
un resultado, ¿no es cierto?, o
necesarios para la contratación. Hay que
hacer esa distinción y es una distinción
no siempre tan fácil de hacer,
particularmente cuando uno se sienta con
los equipos de marketing.
Por tanto, diferenciado, inteligible,
que es bastante razonable, ¿no? No, no,
no hay que hacer cosas que la gente no
entienda, eh, porque si no entrar mal
más la lógica de de contrato o cláusula
abusiva de de fácil acceso y de lenguaje
claro y sencillo. Lenguaje claro y
sencillo, lo cual lo tenemos, ¿no es
cierto? tanto nuestra normativa actual
como en la normativa de consumidor
financiero en Chile. Artículo 17, ¿no es
cierto? Viene con este ideal enque claro
y sencillo. Concepto que no tenía más
interesante, ¿no es cierto? Concepto que
si bien parecía genérico, hoy día cada
vez se está estandarizando más, que es
lo que significa lenguaje claro, ¿no?
Hay una metodología de lenguaje claro en
la cual puede ser implementada, ¿no es
cierto? Y eso cada vez se va
convirtiendo más en el estándar.
metodología en la cual cuando uno dice
metodología donde hay que contratar
profesionales distintos, los
profesionales distintos que me ayudan a
la redacción de cláusula o solicitudes
de aconsentimiento.
No es vinculante, ¿no es cierto?, lo que
vaya contra el Reglamento General de
Protección de Datos, ¿cierto? Y tercero
dice que es esencialmente revocable el
consentimiento. ¿Por qué? Porque la
lógica de la autodeterminación
informativa, soy dueño de mis datos,
¿cierto? Por tanto, tengo un derecho
humano con respecto a la protección de
datos o a la privacidad y porque este
nace intrínsecamente del ser. El dato no
es distinto un órgano del cuerpo con la
única diferencia diferencia que una vez
que el dato está digitalizado es
replicable, ¿no es cierto? Pero esa
replicación de mi dato sigue siendo
parte de la esencia de mi ser. Por
tanto, es esencialmente revocable. No,
yo te controlo que es lo que haga en
caso que sea por consentimiento. En caso
que sea por consentimiento. Y la única
fuente de leicitud sea el
consentimiento.
Hm. Eso es clave. Y el caso de los
consentimientos de menores, ¿no es
cierto? Ellos ponen ponen ponen en el
reglamento europeo 16 años. De 19 años
hacia arriba pueden dar consentimiento
en España desde los 14 hacia arriba. En
Chile tendríamos que el reglamento
proyecto de ley viene con su normativa
especial. No sé si va a terminar
saliendo, pero tendríamos que aplicar
norma general, ¿no es cierto? 12, 14
años dependiendo el sexo.
Si no, en el fondo quien tenga patria
potestad y hace la solicitud de que se
debe verificar razonablemente la patria
potestad en el consentimiento. Y después
venimos con los otros bases deitud, ¿no
es cierto? Seguimos el artículo 67 89
del Reglamento General de Protección de
Datos Personales. E y ya Rodrigo me
informa con su aparición que me quedan 5
minutos, así que estamos bien. Esta
parte es cortita, ¿eh? No, no, pero Rod
Rigo, no desaparezca, no desaparezcan.
Quéate así, si no me siento tan solo. Si
no me siento tan solo. Eh,
tenemos la otra baseitud, ¿no es cierto?
La ejecución de un contrato es necesario
para la ejecución de un contrato, ¿no es
cierto? el cumplimiento de una
obligación legal. Estos son más o menos
razonables, ¿no es cierto? Hay cierta
información que es necesaria para el
contrato. El típico ejemplo que uno pone
es la información que yo necesito de mis
trabajadores para eh poder eh eh
no es cierto, ejecutar el contrato.
Necesito en cuenta su información de su
cuenta corriente, su rout, etcétera,
etcétera, eh que es parte, ¿no es
cierto?, de el pago eh para el
cumplimiento de una obligación legal,
¿no? Imputable, ¿no es cierto? imputable
al responsable del tratamiento. Gran
pregunta, la Corte Suprema de nuestro
país, acaba decir hace un par de meses
que no se pueden en caso de obligaciones
de no me voy a enrear si lo mejor les
cuento el caso, ¿no? Habían dos personas
que se debían plata, una le dice a la
otra por WhatsApp, "No te voy a pagar."
La otra dice, "Ah, no me va a pagar."
Va. Y lo demanda. En la demanda dice,
"Juanito Pérez me dijo, no te voy a
pagar." Pone, entre comillas por
WhatsApp. No, ni siquiera una foto del
WhatsApp. Dice, "No te voy a pagar."
El demandado presenta un recurso de
protección por violación de privacidad.
En primera instancia no lo acogieron y
la Corte Suprema lo acogió. Dice, "Las
conversaciones privadas
son
están sujetas, ¿no es cierto?, a la
protección del 19 número 4,
lo cual es de suyo cuestionable, ¿no? Y
podríamos hablar la cuestionabilidad de
eso, proteger intereses vitales, ¿no es
cierto? Del interesado otro, si alguien
que se está muriendo, ¿no es cierto?,
necesito información de esta persona
para salvarla o lo que sea o otra
persona similar.
en la efectividad a una misión realizada
en interés público, pensemos caso
pandemia, o en el ejercicio de poderes
públicos, pensemos en las funciones que
tengan los órganos públicos y satisfacer
los intereses legítimos perseguidos por
el responsable del tratamiento o por un
tercero, ¿no? Siempre que dichos no
prevalezcan por sobre los intereses o
derechos de el titular, en este caso o
el interesado, ¿no? Son casos que tienen
harto desarrollo, pero yo creo que eso
va para una conversación más larga que
Rodrigo seguramente en los siguientes
seminarios va a traer a gente más
capacitada que yo voy a hablar tal vez
de detalle de esto. Preguntas que nos
da, ¿no es cierto? Con respecto a los
derechos arco, ¿no? Y a propósito
pensando la conversación o la
presentación anterior, ¿no es cierto?
Hay un par de preguntas con respecto al
consentimiento, por ejemplo.
Evidentemente el consentimiento yo puedo
ejercer la portabilidad del derecho al
olvido. Es es obvio, sobre todo el
derecho a cancelación o supresión, el
nombre que uno quiere poner.
Pero, ¿cómo hago la separación, ¿no es
cierto? Entre la obligación principal y
obligación accesoria.
Eso es una pregunta muy difícil hoy día,
¿cierto? Es mucho tipo de
contrataciones, pero yo estoy pidiendo
derecho al olvido con respecto en el que
solo el único antecedente es el
consentimiento.
Pero el dato fundamental para la
obligación tendría que de alguna forma o
decir ten paso a otra base de ilicitud,
la ejecución del contrato, por ejemplo,
o efectivamente si esto puede anular la
contratación completa, ¿no es cierto?
Como una consecuencia de el término de
una obligación accesoria dentro de un
contrato si pasa, ¿no es cierto?,
terminar el contrato principal en la
ejecución de un contrato, ¿no es cierto?
De nuevo, portabilidad de olvido.
Eh eh son cuestionables
si me están demandando,
si me están demandando por una
obligación de dinero,
¿puedo que ser la portabilidad?
Es raro, ¿no? Claramente no puede que
sea el derecho al olvido. No le puedo
decir al banco, olvídeme de cierto. Por
tanto, una limitación con respecto a los
derechos arcos de la base de
legitimidad. Eh,
pero no oposición, por ejemplo, ni
oponer sesiones pasadas al tratamiento
automatizado. Me faltó la automatizado,
porque los perfiles en este caso, y eso
es interesante, los perfiles, por
ejemplo, de riesgo de crédito son
importantes para la ejecución de un
contrato,
¿no? Y en caso de interés legítimo,
¿cierto? Interés legítimo, o sea, cuando
alguien está usando los datos sin mi
consentimiento, pero porque hay un
interés legítimo de quién los va a usar
que no afecte mis eh mi posición, ¿no es
cierto?
Evidentemente tenemos que intensificar
el deber de transparencia y se pueden
operar al tratamiento, salvo que existan
motivos legítimos imperiosos, ¿no es
cierto? Y hay una discusión
jurisprudencial de cuándo de repente un
canda el interés legítimo por solo
interés del titular. Pero sería extraño,
por ejemplo, aplicar el derecho de
portabilidad en un caso interal
legítimo, ¿no? Entonces, pensemos, no
sé, por Ministerio de Salud hace un
acuerdo con la Universidad Católica,
pasa para la gente de Chile del COVID,
básicamente lo que se hizo. Eh, están
trabajando mi dato. ¿Podría yo decirle,
"Oye, quiero aplicar por
a quién?"
¿No es cierto? Porque el interés
legítimo, el antecedente está en el ruso
su. Con eso hago un par de preguntas y
con esto termino.
Esta es la última slide y con esto
termino. ¿Qué es lo que pasa en estos
casos? ¿No es cierto? Los casos de
interés legítimo con respecto a la
reparación del daño. Pensemos en el
proyecto. Nosotros hoy día tenemos un
sistema de responsabilidad especial,
¿cierto? Que el proyecto nos da el
sistema de responsabilidad o nos fija
cuáles son los estándares de
responsabilidad.
Tiene una una prescripción, dice, de 5
años para para buscar, ¿no es cierto?,
eh la responsabilidad que es básicamente
el el antecedente, ¿no es cierto?,
contractual o la prescripción de de la
responsabilidad contractual. Habla de la
indemnización del daño patrimonial y
extrapatrimonial en el proyecto.
Actualmente, ¿no es cierto? Se habla de
daño patrimonial y moral. La doctrina ha
evolucionado el moral extrapatrimonial
porque incluye incluye eh el dolor y el
sufrimiento en otros contextos que no
necesariamente son daños morales. E
pero después hay que ver la base de
licitud particular, ¿no es cierto?
Porque si ve, estamos viendo si hay
responsabilidad contractual por
consentimiento o si hago así me sale un
clito. Si hago así por consentimiento,
eh
evidentemente tengo estándares de
responsabilidad contractual que no
tendría en interés legítimo.
Y la diferencia entre responsabilidad
contractual y excontractual son varias,
¿no es cierto? Por lo pronto, la
graduación de la culpa, ¿no?
Y algo super importante son los daños
indirectos.
Los daños indirectos no se no se no se
pagan. No es cierto. O o no se no se
indemnizan en caso de responsabilidad
extracontractual.
Por tanto, si no hay un contrato, ¿no es
cierto? Tendríamos que hacer esta
institución y esa es una institución que
también es importante al momento de la
selección que va a ser ilicitud. Estoy
teniendo con respecto a cada uno de los
tratamientos que tengo contra una
empresa, ¿no es cierto? Tengo que saber
que el riesgo, como bien lo decía
Rodrigo, como explicaba, la matriz de
riesgo que están que ellos tienen en el
fondo, el riesgo de que esto falle va a
tener consecuencias muy distintas si es
un riesgo que tiene un antecedente
contractual de que un riesgo que tiene
un antecedente no contractual,
particularmente menciendo los daños
indirectos.
Entonces hay un trabajo interesante de
profundidad que hay que pensar en esto y
con esto termino. Solo solo termin
Gracias.
Gracias a ti, Matías. Eh, invitamos a
Ignacio también a prender su cámara para
la ronda de preguntas. Eh, quizás partir
con Matías, ya que aprovechamos el
impulso. Hay una pregunta en el chat que
dice, eh, hoy en día, entendiendo que el
consentimiento y la ley son la única
manera de realizar tratamiento lícito,
¿cómo justifican las empresas la
transferencia de datos dentro de su
grupo empresarial? Por ejemplo, una
filial.
Es que con lo que hay es como que todas
las respuestas son son malas, ¿no?
Tenemos un problema de continuidad
legal, ¿no es cierto? Tenemos un
problema sin la finalidad eh eh porque
la cuando yo pido consentimiento de que
solicitar quién lo va a tratar, ¿no es
cierto? Y por tanto, si el sujeto que lo
va a tratar tiene continuado legal o o
puede identificarse con el otro sujeto,
con el con el con el segundo tratante,
y yo creo que hoy día no hay el marco,
el marco que tenemos hoy día simplemente
no es capaz de responder eh esas
preguntas, o sea, no no no sé qué es lo
que piensan ustedes, pero pero mi
impresión es que estamos simplemente
como en un mundo mucho más complejo de
la que la regulación pensaba.
La regulación actual habla del
mandatario. Cuando uno le transfiere
datos a otra persona, está actuada como
según las reglas del mandato, que es lo
que cambia un poco ahora con la nueva
legislación, que es el encargado de
tratamiento. Y ahí uno podría exigir más
cosas respecto a
Sí, pero pero este es el caso de sesión,
no es caso de mandato.
son son son dos lógicas son dos lógicas
jurídicas completamente distintas.
es una cosa
y lo y lo otro mando, porque el caso del
responsable encargado el mandante
mandatario, ¿no es cierto? Hay que hay
que simplemente mantener la lógica y se
puede hacer tratamiento por terceros por
mandato, está bien, cierto, tiene
ciertos límites, pero en el caso de la
sesión de datos, un tercero, la sesión a
un destinatario, Exactamente.
Donde el tercero, ¿no es cierto? también
es responsable y eso no es y es lo que
pasa en los grupos empresariales,
¿no?
Vale, perfecto. Entonces, en esa misma
línea también preguntan, la
videovigilancia de los detectores
biométricos de temperatura que existían
en los negocios los tiempos de pandemia,
¿qué base legal aplica? Ya que se guarda
igual información sensible.
Ninguna tampoco.
Como pasa palabra, ¿no? No sé.
No, no. Ahí hay un tema bien interesante
porque la pregunta, yo creo que
elemental es, ¿se guardan los datos?
¿Cuánto es el periodo de conservación de
ese dato? Yo me acuerdo cuando uno iba
al al mall y te detectaba la temperatura
con con estas cámaras, esa información
se suponía que tenía que eliminarse de
forma inmediata y allí era lícito el
tratamiento. Pero si el si el
responsable guardaba esa información y
hacía quizás cualquier otra cosa con esa
información, claro, ahí sí efectivamente
hay un problema. Pero ahí se eso se
podía resolver con el tema del periodo
de conservación, que era simplemente el
instante que uno entraba al molte,
tomaba la temperatura y uno continuaba.
Ahí ahí hay que ver como
si uno ve como la base de licitud, hay
que ver varios. Yo no sé si en alguna
industria en particular le mandaban a la
gente a controlar el la temperatura,
¿cierto? Eh, me declaro me claro enante.
El caso de la minería, en muchos casos
la baseitud, ¿no es cierto?, interés
legítimo, ¿cierto? Y
te ha caso la empresa viendo los
resguardos que eh que viene de Ignacio,
pero ese juego es un juego que también
uno tiene que ir viendo eh viendo caso a
caso. La videovigilancia
tiene de nuevo el mismo problema, ¿no es
cierto? la tiene reglamentación especial
la vidovigilancia. Por tanto, no
necesariamente entra la lógica de la
protección de datos personales o o el
marco completo, pero la selección de de
la base de licitud e es un trabajo como
lento.
Claro. Respecto a los trabajadores, por
ejemplo, podría uno ampararse el
cumplimiento de una obligación legal. El
empleador efectivamente tiene que tener
un resguardo de la seguridad y la salud
de sus trabajadores.
Pero claro, por ejemplo, si yo iba a un
a la a la oficina de de otra persona, a
una reunión, que yo no tengo nada que
ver con la organización y me tomaban la
temperatura
o me o me había videovigilancia también
en esos casos. Eso esos son los casos
complejos también.
Pero bueno, al final ahí Evely también
nos aporta del chat que bueno, ella
tiene experiencia en minería y que
efectivamente en Faena sí lo controlaban
incluso con drones, pero claro que dice
que no existe una más solicitud, pero sí
se buscaba el recuerdo de los demás
trabajadores, entonces probablemente por
ahí había algún tipo de amparo.
Igual quizás como para cambiar el tema,
aprovechando también que hicieron
preguntas Ignacio,
sobre los derechos Arco dice, "Estos
derechos pueden ser ejercidos sin
matices especiales por un trabajador
respecto a su empleador,
respecto al trabajador del empleador,
respecto a su el trabajador,
ah, perdón, el trabajador ejerce sus
derechos arco ante el ante el empleador.
Eh, efectivamente, el trabajador también
tiene la posibilidad de ejercer derechos
arcos. Ahora hay que ver, hay que
distinguir un poco si estamos dentro del
ámbito laboral, que efectivamente
también tiene su propia normativa y
también la protección del estatuto de
los trabajadores o si esto también cae
fuera del ámbito laboral. Podrían darse
ciertas circunstancias que un trabajador
quiera tener acceso a sus datos o
ejercer algún derecho arco fuera del
ámbito laboral. También habría que hacer
esa distinción, pero en principio sí, un
trabajador puede ejercer estos derechos.
Y finalmente también preguntaban,
eh, podría también tratarse también de
los algoritmos las plataformas de redes
sociales con respecto a los derechos
arcos.
Sí, el tema de los algoritmos está muy
relacionado con lo que es las decisiones
automatizadas, con los perfilados, eh,
que va a depender del tipo de algoritmo
que se está utilizando en la en la red
social. Eh, pero por ejemplo, eh, si
ustedes entran a sus redes sociales, no
sé, Facebook, eh uno no tiene idea, pero
uno puede ejercer el derecho de de
oposición eh para que no se aplique, no
se realice un perfil eh una evaluación
de tu propio perfil y que te envíen
información en base a la evaluación del
perfil tuyo.
es un poco complejo, ¿no? No he hecho la
prueba ahora porque siempre te hacen
hacer clic y después clic y uno llega la
opción quiere desactivar el tratamiento
o los el tratamiento perfilado. Sí, si
puedo. Y ahí uno desactiva. Es posible
eh es posible realizarlo respecto al
algoritmo. Y el problema de la eh
comentaba también anteriormente en la
presentación, que se dejaba fuera el
derecho a acceso para saber eh cómo era
ese tratamiento respect o por ejemplo
respecto a información de del propio
algoritmo, porque la información del
algoritmo es algo propio de la empresa,
no tiene por qué entregártelo, pero sí
te puede entregar o o uno sí podría
solicitar información respecto de cómo
ese algoritmo está afectando o qué
consecuencias puede tener respecto a mis
datos personales.
Y esa información sí tendría que ser
proveída, pero ahí hay un silencio en la
ley porque no habla específicamente de
los temas de decisión automatizada.
Entonces, eh ahí habría que ver cómo
cómo aplica si es que esto después
posteriormente la agencia eh mediante
sus circulares lo lo amplía un poco. Eh,
pero por ejemplo en el caso de europeo
sí sí se puede hacer y lo contemplan la
la normativa en ese caso específico.
Perfecto. De hecho, quizás como dato yo
uno efectivamente en meta puede pedir
sus datos. Uno se puede meter en
Instagram y puede pedir que le entregue
los datos que tienen de uno. No he visto
si ven también que los tratamientos que
hacen con los datos, pero al menos salen
que saben de mí, a quién sigo, quién me
sigue, qué le he hecho like, qué no le
he hecho like y te lo entregan ahí de
manera digital a través de un correo
electrónico.
Claro. Este es el típico caso de los de
los anuncios personalizados. Cuando te
llegan anuncios personalizados en base a
tu actividad,
yo podría eventualmente o meta en este
caso debería tener la opción de que yo
pueda desactivar ese esa evaluación de
mi de mi perfil
en base al algoritmo.
Y quizás la última pregunta para ir
cerrando la hace Beatriz, que dice,
"Para estudios médicos con equipos
médicos específicos, como por ejemplo un
electro electromiógrafo guarda
información del paciente y se sugiere
informar el paciente previamente con
algún tipo de disclaimers, por ejemplo,
cómo actuar en ese ámbito
en tema médico, yo creo que estamos
estamos con en altos temas, ¿no es
cierto?
tenemos un problema por cualquier
información médica uno puede meter la
ficha clínica o a regulación en materia
de protección personales de regulación
de ficha clínica para hacer el ser para
decirlo en completo y eso significa que
estamos hablando de dato personal
sensible, ¿cierto? El dato personal
sensible tiene base de licitud distinta
porque estamos hablando, sabemos que hay
cuatro tipos de datos personales
dependiendo si a a quién sigamos de la
doctrina, ¿no es cierto? Está el dato
nuevo personal, tal dato personal, el
dato personal que que permite la
identificación, dato personal sensible
con todo lo que hay, dato personal
sensibilísimo, que es el que se habla en
general, eh, o que parte de la opiniona
dice, ¿no es cierto?, que el dato es
ficha clínica. Por tanto, hay requisitos
especiales con respecto al dato personal
sensible. Ahora, esto es que siempre hay
información, siempre haya
consentimiento, ¿no es cierto? Y que
siempre haya revocabilidad.
Eh, pero con la información clínica
tenemos un problema, ¿no? Eh, porque la
información clínica serie, por ejemplo,
para investigaciones.
Que en esa lógica, ¿no es cierto?, El
interés legítimo es bastante más
reducido cuando estamos hablando dato
personal sensible de la información, por
ejemplo, que podría tener
máquina en un consultorio médico pasar
una universidad para para que
investigue, requiere en principio
consentimiento especial, ¿no? Y a eso le
sumamos otra cosa que tenemos regulación
sectorial
tanto nacional como internacional. la
regulación sectorial toda la
reglamentación que hay en materia de
ficha clínica, tanto por el reglamento,
o sea, tanto por perdón el código
sanitario como la reglamentación 2012
del Ministerio de Salud con respecto a
ficha clínica y tenemos las obligaciones
internacionales que hay con respecto a
la World Medical Association, ¿no es
cierto? O a los diferentes estatutos que
hay en materia de consentimiento y
tratamiento de datos de eh salud. ¿Por
qué es importante las los estándares
internacionales? Porque cuando nosotros
hablamos de diligencia, uno de los
elementos de la diligencia es las
recomendaciones, ¿no es cierto?,
profesionales de cada gremio. Entonces,
mi impresión es que hoy día se hace
superclejo el tratamiento de datos de
salud si es que seguimos toda esta
lógica. De hecho, la Unión Europea hay
varias solicitudes de asociaciones de
colegios médicos de que se liberalice,
¿no es cierto?, el tratamiento de datos
de salud en casos de investigación y el
tratamiento porque evidentemente las
máquinas están diseñadas. Habría que
repensar el diseño de las máquinas para
que vayan manteniendo la información por
algún tiempo y esa información, ¿no es
cierto? Hay que ver qué es lo que va a
pasar con interoperabilidad, fichas
clínica, etcétera, etcétera, etcétera.
Eh, hoy día estamos en una situación aún
más precaria, ¿cierto?, de la realidad
versus lo que está entendiendo la
regulación de cómo funcionan los
hospitales de la realidad. Por tanto, en
resumen del desorden de respuesta que
acabar de que no fue respuesta de nada,
sino que más bien fue como tirar cosas
al aire. Eh, disclaimer. Evidentemente
hay que hacer un disclaimer, pero no es
un disclaimer porque los disclaimer en
protección de datos personales no
existen. Existen
información de información en caso que
no haya consentimiento, pero en este
caso es informar los derechos que tiene
y qué es lo que hace con los datos y por
tanto qué derechos puede usar sobre ese
tipo de tratamiento. Eh, y efectivamente
limitar el acceso a esos datos a tercero
porque sea efectivamente limitado. Super
complejo el tema médico.
Sí,
perfecto.
Ahí solo para agregar algo, eh, el
responsable tiene que aplicar medidas
técnicas y organizativas para garantizar
el tratamiento de los datos y sobre todo
cuando estamos hablando de datos
sensibles, como los datos médicos. Eh,
pero también choca con lo que decía
Matías, bueno, ¿qué pasa si esto es para
investigación, para fines científicos,
estadísticos, etcétera? Eh, eso te
genera una complicación, pero una
solución que pueden implementar también
la la organización el tema de la
anonimización del del dato, o sea, que
ya no sea un dato personal que yo pueda
vincular directamente a una persona,
sino que ese dato pasa a ser eh un dato
relevante eh para los fines científicos,
estadísticos que yo estoy buscando, pero
no para vincularlo con la persona. Eso
es una es una de las tantas medidas que
se puede implementar.
laimización que laización en la práctica
en muchos casos imposible. No existe
anonimización como la ley lo entiende.
La ley, la redacción de las leyes no
entiende que es la anonimización,
¿no? Eh, confunde confunde. De hecho, la
el los documentos técnicos, ¿no es
cierto? Recomendaciones de las agencias
confunden
técnicas simplemente de enmascaramiento
con anonimización.
Eh, y hoy día cuesta conseguir
áreas donde yo pueda anonimizar
efectivamente la anonimización es con
respecto a un tratamiento
más que una anonimización en general,
¿no? Eh, eh, y eso es lo que es raro. Yo
no puedo anonimizar una base de datos.
Punto.
Yo puedo anonimizar una base de datos
para un tratamiento en particular
porque la base de datos siempre es
identificable y teníamos el problema,
¿no es cierto?, nosotros en en nuestro
proyecto de ley, siendo que se solucionó
que teníamos dos definiciones de la
organización, una el procedimiento que
permita, o sea, el el procedimiento que
haga imposible la reidentificación de la
persona, o sea, básicamente eliminarla,
la única forma de va ser imposible
eliminarla, ¿cierto? Y segundo, todas
las medidas suficientes eh dependiendo
de la complejidad de la base de datos,
¿no es cierto?, que impidan la
identificación. Por tanto, la ley tenía
inicialmente esta diferencia entre una
obligación de medio y una obligación de
resultado.
La obligación de resultado no es posible
en anonimización
con con respecto a la definición de la
base de datos. Es posible con respecto a
un tratamiento y eso nos genera una
dificultad que cuando lo vea alguien,
¿no es cierto?, una agencia y diga,
"Veamos cuál es efectivamente el la
anonimización que se hizo." Va a decirme
esta esta anonimización no fue
suficiente, porque ninguna es
suficiente. Tenemos un problema super
grave con respecto a la ización son
técnicas que estamos descubriendo o se
están descubriendo recientemente.
Entonces es un tenemos un desafío super
grande con respecto a eso.
Claro, porque ahí también viene un poco
lo de la exigencia y qué tan exigente va
a ser la agencia después respecto de
esta estas técnicas que se utilizan.
Es un tema
s. Eh, les queríamos agradecer la
participación a Matías Ignacio también
por su presentación, la buena discusión
que tuvieron de compartir la el
conocimiento que tienen con nosotros.
También agradecer a la gente que
participó. Recordarles que nos sigan el
LinkedIn en YouTube, también vamos a
estar enviando un correo con la
grabación de la presentación y cualquier
duda pueden escribir a
[email protected].
Que tengan un muy buen día. Gracias.
Muchas gracias, Rodrigo. Gracias,
Matías. Gracias. Gracias.