Protección de datos en el mundo laboral y datos sensibles - LeyDeDatos.com

bueno en honor al tiempo vamos a partir
con la exposición de Paulina Paulina
Silva ella es abogada de la Universidad
de chile con un magister en derecho
comercial con especializaciónes
tecnología de la Universidad de merw de
Australia es socia de bitl estudio de
abogados de tecnología privacidad y
fintech directora de la alianza chilena
de ciberseguridad y officer del comité
de tecnología de la International bar
association dejamos con con ustedes a
Paulina Muchas gracias Paulina por estar
el día de hoy y bueno puedes partir ya
con tu
presentación buenísimo Muchas gracias
Ignacio por la presentación y por la
invitación
e este tema creo que es bien oportuno el
tema como laboral más privacidad cierto
y
eh con ocasión de consultas que que he
tenido antes con clientes Eh me ha
tocado Buscar información en Chile Esto
no es una novedad pero me ha tocado
Buscar información concreta en chile y
se escrito bien poco en fondo la la la
doctrina se genera mucho más como tú
señalaba cuando estamos pensando en este
otro clúster más importante si quieres o
como como más riesgoso de datos que que
son los claster de clientes
eh de una empresa cierto Pero todas las
empresas incluso cuando eres b2b Tienes
tu cl tienes un classter de deed perdón
de de titulares relevantes que son tus
trabajadores cierto
e y en ese sentido para hablar de
protección de datos en el ambiente
laboral quiero partir un poco con un
pequeño disclaimer uno yo no soy yo soy
abogado privacidad y de tecnología e no
tengo una no tengo una gran
especialización en laboral distinta
de de lo que me ha tocado investigar con
ocasión del mundo de la PR cierto y la
otra muy breve Es que yo me voy a
referir en términos generales a la
protección de datos en el en el mundo
laboral eh pero no me voy a referir a
datos sensibles y categorías especiales
de datos que e que es aquello a lo que
se va a referir Romina
eem a diferencia un un un tema que puede
ser relevante también es que a
diferencia de datos si hay una autoridad
en en en en el mundo laboral que no se
extendido pero pero pero se ha ocupado
cierto de interpretar también las normas
de protección de datos en el ente
laboral que es la dirección del trabajo
Pues
bien de qué voy a hablar hoy día hoy día
voy a hablar de estos cuatro temas
Primero quiero partir de de algún modo
quiero estar segura que estamos
partiendo de la misma página y para eso
quiero hablar de ciertas instituciones
como más o menos básicas de privacidad
para
que para que podamos empezar a conversar
cierto hay hay materias aquellos que que
se relacionan más con el mundo de la
protección de datos que le van a parecer
más o menos obvias pero me parece
necesario partir desde ahí porque por
ejemplo no voy a poder comentar la el
tremendo cambio de estructura que viene
con el proyecto de ley para el
tratamiento de datos laborales si es que
no puedo comentar un poco más
detalladamente de qué hablamos cuando
hablamos de bases de legalidad ya e esa
va ser la introducción y luego voy a voy
a tratar
de comentarles mi opinión respecto de
Cuál son las particularidades en este
mundo en este choque o en esta
intersección si quieres entre en la
relación laboral eh y la y la privasidad
o en el ámbito de la privacidad para
luego conversar sobre Cuáles son los
controles más usuales que hemos
observado o que parecieran ser y y acá
puede ser super discutible controles que
parecieran ser más sensatos hoy día
e bajo la ley actual y cuál y De qué
modo esos controles deberían mutar bajo
el proyecto de ley cierto o o bajo una
una futura ley para terminar
comentándoles sobre un poco más atad
gente como para bajar la pelota a la
cancha sobre casos de uso es decir bajo
qué circunstancias las autoridades
europeas y las autoridades chilenas han
entendido que ciertos tipos de
tratamiento deben deben ser alojados en
ciertas bases de legalidad
específica luego el panorama regulatorio
es más o menos obvio cierto la la la eh
A partir del 2018 la eh la privacidad
forma parte del catálogo de de de
derechos fundamentales del artículo 19
son relevantes también Además del
derecho a la protección de datos
personales que está en el 194 es
relevante el el derecho al respeto y la
protección de la vida privada estamos
pensando en Qué es aquello que tiene que
estar mirando empleador cierto o o o qué
es aquello por lo que se debería regir e
en e cuando se hace la pregunta de cómo
tengo que yo que hacer tratamiento de
los datos de mis trabajadores cierto y
también es relevante en particular en
relación con el monitoreo de de correo
el derecho al inviabilidad de toda forma
de
correspondencia los derechos
fundamentales del trabajador se
entienden vulnerados cuando el empleador
realiza actos que limitan el pleno
ejercicio de estos derechos sin alguna
justificación suficiente cierto en forma
arbitraria o desproporcionada y en ese
escenario existe la figura o el
procedimiento del juicio de tutela
laboral eso vive en la Constitución
ahora en este momento la cancha que
tenemos en la ley 1928 que Data del 99
que todos sabemos que está s Eh Eh Eh Eh
defasada cierto e y que regula
completamente la protección de datos
pero ya hace harto tiempo que dejamos de
Mirar solamente la 1928 Y empezamos a
mirar esta cancha regulatoria futura que
es el proyecto de ley e obviamente
estamos regulados por el código del
trabajo e es bien relevante en el código
de trabajo por ejemplo el el 154 bis que
establece que el empleador tiene que
mantener reserva de toda la información
y datos privados del trabajador esa
pareciera ser como la norma más
propiamente de privacidad del código del
trabajo pero obviamente el actuar del
empleador está iluminado en relación con
con con con el tratamiento de los datos
por todas las obligaciones que surgen
del Código de trabajo cierto y
finalmente los dictámenes de de la
dirección del trabajo como les había
comentado la dirección del trabajo junto
con las cf yo les diría que es de las
autoridades que ha generado más que no
es mucha pero que ha generado más eh
jurisprudencia administrativa
pronunciándose respecto a ciertas
materias eh de de de privacidad en
algunos casos con conclusiones poco
felices mi opinión Pero pero pero en
general Me parece que ha sido coherente
eh Y que ha dado respuestas a materias
donde la ley de protección de datos no
otorga respuestas como les voy a
comentar
ahora luego cuando pensamos en las
particularidades
cierto de de de esta regulación sucede
que surgen y acá me interesa hacer como
esta distinción yo voy a estar hablando
todo todo el rato que est conversando
con usted voy a estar hablando de esta
misma
extinción existen uno podría clasificar
las obligaciones que tiene el empleador
para tratar los datos de sus
trabajadores o en general el empleador
en relación más que los datos de sus
trabajadores en relación con la ley de
protección de datos desde dos
perspectivas tiene una serie de
obligaciones que se relacionan
directamente con el titular cierto son
son obligaciones que lo hacen actuar de
una manera determinada porque tiene una
relación específica con el titular de
datos el trabajador con el sujeto de
datos desde ahí surgen obligaciones Como
por ejemplo tener que alojar los
distintas finalidades de tratamiento en
bases de legalidad determinada en ley y
en consentimiento tener que Ender a los
derechos arc del trabajador Pero y y y y
en el fondo la gran mayoría cuando
hablamos de privacidad en el ámbito
laboral intuitivamente uno piensa en
este mundo cierto en el mundo donde el
empleador se relaciona con su trabajador
desde una
perspectiva controlador titular cierto o
responsable del dato sujeto del dato
pero existen otras obligaciones que
surgen para el empleador de la ley de
protección de datos que no tienen
necesari que no tienen que ver con esa
acción tienen más que ver con el dato y
tienen que ver con todos los datos que
el empleador custodia en su señorío
cierto en en en su área de control que
son datos de trabajadores pero pueden
ser muchos otros datos datos de clientes
de afiliados de de de eh de proveedores
personas naturales etcétera y en
relación con ese como esa universalidad
de los datos es que existen obligaciones
que de nuevo no se relacionan con los
titulares sino que con el dato y se
generan obligaciones como más
transversales como establecer medidas de
seguridad establecer ser ser ordenados
en la relación con tus proveedores
porque yo tengo una obligación general
de cuidar el dato y en ese sentido mi
relación con el trabajador cambia mi
relación con el trabajador vive en otro
lado porque cuando yo pienso en las
obligaciones que como empleador tengo
respecto de los datos en general y a mis
obligaciones de Cuidado la relación con
el
trabajador dejando a un ladito cierto
este paquete
de controlador titular se transforma en
una relación e en una relación donde
surgen obligaciones propias del contrato
de trabajo donde el trabajador por
instrucciones del empleador debe cuidar
los datos y debe comportarse de una
manera determinada me interesa harto
hacer esta distinción
porque he observado harta confusión en
general
dónde Cómo cuando hablo de protección de
datos puedo al eh al
trabajador obligarlo a ciertas cosas
Pero además garantizarle derechos Eso es
bueno por lo menos como lógicamente
generar esa Esa
diferencia pensando entonces en las
particularidades de la de la privacidad
en la relación
laboral se genera como les comentaba
esta lo que les acaba de decir est esta
relación ambivalente con el trabajador
donde como titular de datos yo estoy
obligado a garantizarle una serie de
derechos y proteger sus datos en función
de esas garantías cierto Pero por otro
lado cuando pienso en el trabajador como
subordinado estoy obligado Porque
protejo todos los datos cierto a exigir
de ese trabajador que si bien es titular
de datos es es trabajador de empresa por
lo tanto puedo exigir de él como
subordinado que se comporte de una
manera determinada por ejemplo en
materia de ciberseguridad en general que
me ayude a cuidar el dato cierto y eso
se traduce en obligaciones contractuales
otra particularidad la de eh eh de la
privacidad de la relación
laboral tiene tiene que ver con que
estamos hablando estamos pisando huevos
un poco estamos en un mundo donde
confluyen dos estatutos protectores
donde el legislador exante analizó esta
relación la laboral y la de protección
de datos y concluyó que existe una
asimetría en las condiciones en la
posición inicial de las partes y por lo
tanto genera un estatuto protector tanto
en privacidad como en laboral y Y
eso eso lo menciono porque creo que es
necesario mirar con la distancia que
merece o más que con la distancia con el
cuidado que merece este tipo de relación
que tenemos con los
trabajadores acá me voy a detener aun
cuando estamos todavía en la
introducción esta probablemente sea la
parte como una de las partecitas más
largas Espero que no tanto pero me
interesa mucho en el fondo que podamos
todos entender cómo cambia el escenario
Cómo cambia el juego de piernas que yo
voy a tener entre hoy y mañana en
relación con las bases de licitud las
bases de licitud al final del día son el
sombrero que yo me tengo que poner el
vestido que me tengo que poner lo que
sea pensemos un sombrero el legislador
me dice usted en principio solo puede
tratar el dato si se pone uno de estos
sombreros yo le voy a disponibilizar
distintos sombreros y usted va a tener
sabiamente y no caprichosamente que
elegir cuál es el sombrero que se pone
porque si elige mal Le voy a ver si
elige mal lo voy a sancionar yo no puedo
llegar y decir como Ah inter todo
interés legítimo lch cierto tengo que
adecuar las finalidades del tratamiento
a la base de legalidad que corre pasa
que y esto archisabido pasa que
en que nuestra ley plantea las bases de
licitud en un modo absolutamente binario
cierto me dice señor usted o tiene el
sombrero obligación legal es decir o
tiene una autorización para tratar el
dato Porque existe una obligación legal
que no puede sino ser cumplida a través
del tratamiento de un dato y sio ni modo
usted va y pide
consentiment lo que nos deja en un
estado confuso por lo menos en en el
ámbito laboral por lo menos
confuso porque ese consentimiento en
principio es esencialmente revocable es
esencialmente
revocable por lo tanto estoy tirando un
poco y sé que el ejemplo es un poco
ridícula ridículo pero si es que yo
vaso necesaria y
obligatoriamente la mayoría de los
tratamientos del del eh derivados del de
la ejecución del contrato de trabajo si
lo vaso En consentimiento qué es lo que
hacemos hoy día cierto podría el
trabajador el día de mañana decir sabes
qué voy a ejercer dado que dado que mi
mi mi tu tratamiento vive en
consentimiento yo tengo los derechos
Arco más amplios que existen cierto
mucho más amplio que que si estuviera
bajo obligación legal y por lo tanto te
voy a pedir que dejes de usar mi dato p
Silva @ vit.cl que es un dato personal
que me identifica e Y eso significa que
yo no puedo cumplir con mi validaciones
como empleador cierto de disponibilizar
un un email llega un poco al ridículo El
ejemplo Pero el punto que quiero hacer
es que el esta esta planteamiento
binario de nuestra ley nos da poco juego
de pierna es poco Sensato al final
claro les voy a comentar más adelante
uno podría pensar sí pero las
obligaciones que surgen del contrato de
trabajo en realidad deberían ser
entendidas como una obligación legal
puede ser puede ser poco ha dicho la
dirección del trabajo ae respecto nada
han dicho los tribunales a ese respecto
entonces pensando en obligación legal
nuestra ley les decía lo plantea en un
modo ordinario y habla de cuando esta
ley u otras disposiciones legales lo
autoricen y si no o el titular
consciente en ello gdpr lo que hace es
hablar del cumplimiento no habla de
cuando la ley te autorice sino que habla
de que un tratamiento sea necesario para
el cumplimiento de una obligación legal
es super importante que el tratamiento
que el procesamiento sea necesario para
el cumplimiento de la obligación eso
significa que si es que se puede que
cuando estás analizando las
posibilidades de alojar bajo la base de
legalidad ley un tratamiento específico
si es que puedes cumplir razonablemente
sin procesar datos personales esa base
en principio no debería poder aplicarse
cierto el el el de protection
commissioner de Irlanda ha señalado que
sigue siendo aplicable que en el fondo
que cuando un empleador está obligado a
cumplir si bien un empleador está
obligado a cumplir con la legislación
nacional cierto este cumplimiento de
obligación legal puede no ser
necesariamente una base jurídica
adecuada si es que no
es si es que no es necesario o no es
absolutamente indispensable para ese
tratamiento específico el proyecto de
ley sigue una línea bastante similar no
no no no Innova y señala entre las otras
fuentes de licitud que cuando el
tratamiento sea necesario para ejecución
o cumplimiento de una obligación legal o
lo dispongo la ley Tengo este permiso
cierto estoy dejando en esa en ese eh
ese código QR una herramienta inútil que
es de la de la ico del information
commissioner Office que es la autoridad
de protección de datos de UK e que se
llama Law basis guidance tool que te
sirve es como una una herramienta de
descarte para darte una aproximación de
Cuál es la base de legalidad que tienes
que utilizar en un escenario eh en un
escenario específico entonces dejamos de
hablar de obligación legal si yo no pude
identificar una obligación legal como
les decía no tengo otra tengo que
alojarme en el consentimiento en la ley
actual
cierto la ley Entonces me dice cuando el
titular consienta expresamente en ella
yar lo plantea de una
forma lo plantea de una forma levemente
diferente del sig modo habla cuando el
interesado dio su consentimiento cierto
cuando habla consentimiento pero
estructuralmente
yp señala al consentimiento junto con
todas las otras bases de legalidad en el
mismo artículo en cambio el proyecto de
ley plantea el consentimiento como la
regla general el artículo 12 dice regla
general del tratamiento de datos y
señala elito del tratamiento de datos
personales el titular
cuando cuando otor su cons ento para
cierto y genera Y esta es una novedad
genera el requisito o por lo menos es
una novedad En cuanto está escrito y
específico y claro cierto genera la
necesidad de que el consentimiento sea y
ahí señala y acá Espero no ponerme muy
latera pero me parece est es una es una
parte del proyecto de ley que me sigue
preocupando señala que Se presume cuando
es libre el consentimiento cierto A
diferencia
depr nosotros no tenemos los muchos y
muy útiles considerandos que tenemos los
famosos res cierto pero señala Se
presume que el consentimiento para
tratar datos no ha sido libremente
otorgado cuando el responsable lo recava
cuando yo lo recojo en el marco de la
ejecución de un contrato en que no es
necesario efectuar esa recolección yo
los invito a a comparar después el
artículo 12 del proyecto de ley nuestro
con el considerando 48 de gdpr porque
este considerando 48 que es bastante
parecido lo que si introduce es el
elemento de obligatoriedad en el fondo
yo voy a presumir que el consentimiento
no fue dado en forma libre si es que yo
te obligué si que yo no te di la opción
de dar el consentimiento si yo lo metí
en un mismo paquete Pero y AC puedo
estarme equivocando pero tengo la
impresión de que la forma en que el
proyecto de ley lo está planteando quita
toda posibilidad a que yo pueda
voluntariamente solicitar ese
consentimiento porque derechamente lo
entiende un consentimiento no cierto
bien les comentaba también que est esta
diferencia que veo estructural es
que en el artículo 12 del proyecto de
ley dice regla general consentimiento
artículo 13 todas las demás en
circunstancias que dado que ahora va a
existir van a existir estas estas bases
de legalidad que vienen como aportar un
poco más de sensatez donde es obvio que
yo no Necesito un consentimiento
específico si es que el tratamiento es
consecuencia del cumplimiento de un
contrato existen ciertas circunstancias
como el uso de un circuito cerrado
televisión o o o o o usos parair
seguridad donde yo debería alojarlo el
interés legítimo y no estar preguntando
y dependiendo del consentimiento
cierto pareciera
que el consentimiento en la práctica
debería ir en disminución el
consentimiento es completamente feble
porque me lo pueden porque es
esencialmente revocable cierto y además
porque el consentimiento al final del
día es bien mentiroso nosotros Nosotros
el legislador en realidad justifica su
fuerza o el valor del consentimiento en
este conocimiento que tuvo el titular
que nadie tiene todos lo sabemos bien no
me voy a extender en eso pero les quería
comentar que e el el proyecto de ley
trae le lleva cierto el eh nuevas bases
de legalidad el cumplimiento contractual
el interés legítimo y y y y y otra y
otras bases de legalidad hago énfasis en
el cumplimiento cont contractual y en el
interés legítimo
e porque son los más frecuentemente
utilizados en eh en el en el ámbito
laboral precisamente porque se entiende
cierto que el consentimiento no se
considera libremente prestado si es que
el interesado aquí y aquí me estoy
refiriendo al al eh al considerando de
jar no tiene una verdadera libre
elección o no puede negar o retirar su
consentimiento sin sufrir perjuicio esto
es
es clásico cierto del escenario laboral
y esto ha sido señalado en doctrina
chilena hace muchos años es es más o
menos evidente que el trabajador Okay le
tengo que levantar consentimiento pero
no es como que el trabajador cuando está
o o el postulante a a un trabajo cuando
está postulando cuando ya está
trabajando me va a decir sabe qué en
realidad prefiero que no trata datos
personales cierto en Europa se ha
sostenido que en materia laboral
consentimiento No no es entonces una
base de licitud a la que se pueda
recurrir por regla generales y si solo
excepcionalmente Generalmente en
relación con el tratamiento de datos de
datos sensibles en este mismo sentido se
ha pronunciado la european Data
protection Board en en en una directriz
de mayo del 2020 que señala que se
produce naturalmente un un desequilibrio
de poder y por lo tanto no es probable
que pueda negarse este consentimiento
sin experimentar como temor o un riesgo
real de que la negativa produzca efectos
perjudiciales
cierto dejemos de hablar de
consentimiento un rato y hablemos de
ejecución del contrato o de cumplimiento
contractual que también
viene no existe hoy como base de
legalidad Y esa es la parte como más
dolorosa por la falta de sensatez de la
ley actual Es evidente que la gran
mayoría de los tratamientos que se
generan en el contrato o en la relación
laboral son una consecuencia de las
obligaciones de las partes en el
contrato laboral cierto pero no tengo la
banderita no tengo el sombrero
cumplimiento contractual todavía sí lo
voy a tener el el proyecto de ley
chileno lo lo pone en el artículo 13 en
las otras fuentes de licitud cierto eh y
habla de el tratamiento de datos cuando
es cuando este sea necesario para la
celebración o ejecución de un contrato
entre el titular Y el responsable
e de nuevo es muy relevante como les
decía que sea necesario para la
ejecución hay una hay unas guías del eh
de la autoría de protección de datos de
islanda que es bien claro en ese sentido
y que abunda bastante en bajo qué
circunstancias Yo entiendo que el
tratamiento es necesario para la
ejecución del contrato porque en el
evento que no sea necesario voy a tener
que basar o en interés legítimo o
residualmente en consentimiento cierto
el al evaluar si el tratamiento de datos
personales es necesario para la
ejecución de un contrato es es Es útil
que consideren si es que el tratamiento
es objetivamente necesario y
proporcionado y por lo tanto se haga la
pregunta de existen otras medidas
alternativas menos intrusivas para
lograr el mismo propósito ahora interés
legítimo no es una bolsa de gato no no O
no ha funcionado así en desde
Europa hace un tiempo leíamos que con mi
equipo hace un par de años leíamos que
alguien mencionaba que el interés
legítimo solo para los valientes porque
el interés legítimo requiere que tú
exante hayas hecho o puedas demostrar
que hiciste este test cierto est test de
de estoy haciendo un tratamiento que es
para la satisfacción de intereses
legítimos pero esos intereses no
prevalecen sobre los los derechos y
libertades fundamentales del titular
ambas concepciones no no concepciones
ambas definiciones de interés legítimo
tanto en como en proyecto de ley son
parecidas pero tienen una
diferencia no radical como importante o
o o como una diferencia sutil que es
importante porque yar habla que los
intereses no el interés legítimo no
prevalezca no prevalezca sobre los
intereses o derechos eh Y libertades
fundamentales des el interesado en
cambio el proyecto de ley habla de que
no afecte los derechos y pareciera ser
que el requisito de afectar es bastante
menos exigente hay muchas cosas que
pueden afectar sin prevalecer se
entiende bien eh en en Europa se se ha
se ha entendido ahí de nuevo la la
autoría de protección de datos islandesa
en una en una eh guía del 2023
señala que pensando en el en interés
legítimo que aplica solamente si es que
puedes por un lado identificar este
interés legítimo todo esto es anes
tomando esa decisión antes no no es
después como no es en realidad sí que
sea legítimo no me sirve identificar el
interés legítimo demostrar que el
tratamiento eh de los datos es necesario
para lograr el interés legítimo y hacer
este balance cierto sopesar el el el
interés legítimo frente a los intereses
y derechos y y libertades del
titular y existen otros que como como
defensa de un derecho o o protección
protección de intereses vitales a los
que no me voy a referir porque son
residualmente relevantes pero no tanto
como aquellos que ya comenté cambiamos
de slide cambiamos de slide y vamos a
hablar entonces de los controles cierto
para eso quiero proponerles la misma
clasificación de la que hemos estado
conversando o sea pensando en el
trabajador como titular de datos y vamos
a hablar de cuáles son los controles que
hoy día me permite la ley o pareciera
permitirme cierto y el trabajador como
titular de de nuevo Cuáles son esos
controles cómo mutan esos controles
mañana y finalmente quiero conversar
sobre el trabajador como como como
subordinado cierto Cuáles son los
controles adecuados para relacionarme
con el trabajador Desde esa perspectiva
donde yo ya no le estoy garantizando
Derecho sino que le estoy dando
instrucciones de cómo tratar todos los
datos de los cuales yo soy responsable
surgen entonces preguntas bien
relevantes ya en la práctica cierto
dónde recojo ese consentimiento y ahí
tengo que estar pensando en en en en el
juego de estos dos estatutos porque des
de protección de datos me da lo mismo
donde recoges este consentimiento en
tanto sea escrito e informada cierto por
lo tanto puede estar en una servilleta
no lo pongan en una servilleta pero
desde la perspectiva laboral la forma y
acá esto puede ser super
discutible no quiero plantearlo como una
solución unívoca cierto pero
pareciera
útil establecer el consentimiento en el
contrato de trabajo cierto recoger
consentimiento específico en un contrato
de trabajo pero que ese consentimiento
ha referencia a una política de
privacidad standal cierto que viva sola
y que yo tenga colgada en la internet y
esté disponible para los trabajadores y
Ojalá sea forme parte de un anexo del e
del contrato de trabajo entonces uno
contrato de trabajo sin tener que meter
la cláusula de 20 páginas cierto en el
contrato de trabajo sino que una
cláusula sencilla que haga referencia a
esta política privacidad que se que se
agrega como anexo
e tener esta política de privacidad
disponible siempre y el el el reglamento
interno se hace bien bien bien relevante
Y eso derivado y acá y acá como que
entran cierto en todo su esplendor las
normas las normas laborales el el rol
del reglamento interno de orden
seguridad es bien alto cierto la
dirección de trabajo ha sido
relativamente consistente en señalar que
hace hace imprescindible que se
incorporen en el reglamento interno
normas que regu guarden la vida Privada
de los trabajadores cierto eh una una
una solución similar la ha planteado en
los de monitoreo de correspondencia
corporativa ha entendido que si bien el
empleador está facultado para regular el
uso de correos electrónicos corporativos
en virtud de su derecho de organizar de
dirigir de administrar la empresa Esto
no puede considerar es esta facultad no
puede considerar una vulneración al al
derecho de privacidad de las
comunicaciones de los trabajadores por
lo tanto debería implementarse regulando
en el reglamento interno las condiciones
y las circunstancias de este acceso e y
en ese y en ese caso el riesgo de
acceder a los correos disminuiría de
algún modo y si es que no existe esta
regulación explícita se tiene que
ponderar la expectativa de privacidad
del trabajador con el legítimo derecho
del empleador de dirigir y administrar
la empresa por lo tanto se hace un poco
más puesta arriba cierto en ausencia de
esta de esta regulación interna la
sugerencia entonces a tomar medidas para
que el acceso sea el estrictamente
necesario que sea restringido en el
tiempo que sea solamente con el
propósito por ejemplo de permitir la
continuidad operacional o deir de
permitir la la relación con con un
cliente e Bien bien Y por último la Esta
es una pregunta para la que no tengo
respuesta no tengo respuesta y es puedo
yo
entender que dado que el derecho laboral
es una materia altamente regular cierto
puedo yo
entender que mis obligaciones como
empleador son en realidad deberían vivir
bajo la casita de obligación legal
porque yo cuando incumplo el contrato
contrato de trabajo también estoy
incumpliendo el ley cierto y es un
argumento que que que me parece Más o
menos más o
menos
práctico pero creo que no está reflejado
en la
ley
bien no falta tanto no falta
tanto pensando entonces en los controles
mañana cómo muta este este eh este este
control cierto o o esta estructura que
yo les planteaba que les invitaba a
considerar respecto de contacto de
trabajo más política de privacidad eh
más reglamento interno pareciera que
aumenta la importancia del reglamento
interno porque como como comentábamos no
debería en principio ya vivir los
tratamientos bajo consentimiento no
debería
yo seguir solicitando el consentimiento
de los trabajadores salvo en los
escenarios específicamente permitidos
cierto salvo en aquello que se cae de
las de las otras bases de legalidad
Romina no no nos va a conversar en en
mucho mayor y mejor detalle eh el
tratamiento de los datos sensibles
pero una primera pregunta es cómo cambia
el contrato de trabajo pareciera que yo
debería dejar de alojar en el contrato
de trabajo tiene que haber una una
referencia a la política de privacidad o
al aviso de privacidad que pasa llamarse
aviso de privacidad porque ya no estoy
cumpliendo con mi obligación de recoger
el consentimiento y automáticamente
informarlo sino que estoy cumpliendo
como viación de transparencia de
siempre publicar y disponibilizar la
forma en que ygo tratamiento de todos
los datos respecto de todos los
tratamientos y no solo los que se alojan
en consentimiento se entiende Si es que
yo no tuviera ni un dato a los o ni un
tratamiento a los Ju consentimiento Yo
igual voy a tener en virtud de la del
principio de transferencia yo voy a
tener la obligación de tener esta
política este aviso de privacidad
constantemente disponible pero pareciera
que ya no tiene que para su validez no
depende del consentimiento que yo recojo
en el momento del contrato de trabajo Y
pareciera que adquieren harta más
vigencia el cumplimiento contrato e y el
interés
leg finalmente el el el en esta relación
con el trabajador como
subordinado viven todas nuestras
obligaciones de seguridad yo tengo
obligación respecto de mis datos perdón
de los datos de los cuales yo soy
responsable y debo custodiar y en ese en
esa labor de custodia yo tengo una
obligación legal de requerir de mis
trabajadores de mis colaboradores el
eufemismo que quieran usar pero de de de
las personas por las cuales yo respondo
que se comporten con esos datos de una
de un modo coherente cierto de un modo
Sensato y diligente y ahí las políticas
y procedimientos cobran la mayor
relevancia y por qué quiero hacer esta
distinción Me
parece inadecuado que en un reglamento
interno de orden Hi y seguridad tengamos
un capítulo de protección de datos
personales y mezclemos las dos cosas Una
cosa es seguridad de la información y
aquellas materias respecto a las cuales
yo puedo exigir de un trabajador una
conducta determinada y eventualmente
podría exigir O podría o podría imputar
el incumplimiento a a a un despido
cierto yo no puedo despedir un
trabajador por incumplir una política de
privacidad porque él no está obligado a
cumplir nada en la política de
privacidad solamente es depositario de
derechos entonces esa distinción creo
que en el reglamento interno es bueno
hacerlo cierto bajo qué circunstancia
estoy dendo instrucciones y bajo qué
circunstancias estoy garantizando
derechos o explicando por ejemplo De qué
modo Voy a monitorear la correspondencia
eh del de la
empresa y finalmente para terminar
quería comentarles algunos casos de uso
estoy s en el
tiempo lo sé lo sé
e estos casos de uso son los que los que
pudimos como levantar de Europa y
algunos de chile
cierto en general el tratamiento de los
datos sensibles para transmitar licencia
debería vivir en la casita ley cierto yo
tengo no puedo no puedo si no hacer
tratamiento de ciertos datos sensibles
porque tengo una obligación para para
para tramitar las licencias por
enfermedad de los trabajadores de
conocer esos datos cierto en materia de
impuesto o o o o en virtud de
obligaciones de salud en en en islanda
se ha señalado que si un empleador
facilita por ejemplo los datos de un
trabajador a una autoridad fiscal para
cumplir con requisitos Fiscales vale
como como base de legalidad obligación
legal el tratamiento de datos vinculados
c como ayudas de acción social que
implican el tratamiento de datos
vinculados a cargas familiares también e
y en Chile esto Es bien interesante Este
es el dictamen 29 27 del 2001 de la
dirección del trabajo que señaló que con
motivo de una consulta relativa a
sistemas digitales de registro de
control de asistencia señaló que si los
sistemas estos sistemas de control de
asistencia si es que requieren datos
personales o sensibles para su
enrolamiento para el enrolamiento del
trabajo en el sistema que no son que son
datos diferentes del artículo 10 del
código del trabajo pues entonces en ese
caso requiero consentimiento cierto
Ah y a contrario censu pareciera que lo
que está está señalando la la eh la
dirección del trabajo es usted no
requiere consentimiento y por lo tanto
su casita es obligación legal cuando
está tratando datos como consecuencia de
de una obligación legal pero Además está
tratando los datos que están en el
artículo 10 del Código de trabajo en
relación con consentimiento en Europa se
entendió que por ejemplo ciertas pruebas
psicotécnicas o o psicológicas de
postulantes de trabajo tienen que
requerir consentimiento ciertas
preguntas de entrevistas de trabajo
cierta información adicional que tien
que conocer pero no sea estrictamente
necesaria para el empleo debería vivir
en con ento la utilización de datos
biométricos por parte del empleador
también requiere por regle general este
consentimiento y pensando y yo creo que
con eso con esto voy a terminar
e pensando en la base legalidad de
consentimiento hay una serie dees de la
dirección de trabajo donde ha dicho este
dato Este tratamiento consentimiento
consentimiento como por ejemplo el
escenario donde los trabajadores tienen
que llenar un formulario electrónico de
síntomas cierto para controlar el
covid-19 o un sistema de acceso con
mediante código QR r también eso
requiere requeriría consentimiento e si
el empleador se ha consultado si es que
el empleador hubiera podido consultar en
burón de información financiera si los
trabajadores tienen participación en
sociedades comerciales dijeron sí pero
tenéis que requerir consentimiento
etcétera contrato Debería ser la mayoría
cierto Perdón bajo la ley futura el el
el el aquí se aquí se nos agotaron en
obligación legal y consentimiento se nos
agotaron para ley actual para ley futura
la mayoría va a vivir debajo de contrato
pero se ha entendido que en en cierta
en Casos de duda ciertos datos de de
geolocaliza por ejemplo para la
Industria del transporte se justifica
como que viva bajo cumplimiento un
contrato el tratamiento de datos por por
grupo empresarial cuando existen
e varias empresas que ocupan la
presición de un empleador y por ejemplo
tramitan o utilizan ciertos software
comunes para todas la para todas las
empresas ha entendido que que pasa el T
de la risa la la alojarlo en contrato y
finalmente y con esto sí termino en eh
es
legítimo se se la la ico de UK ha
entendido que prevención del fraude
seguridad en las redes de la información
indicar posibles actos delictivos
amenazas de seguridad pública todo vive
bajo interés legítimo cámaras de
circuito cerrado televisión e revisión y
esto en en en en en Europa la revisión
por ejemplo de correos corporativos de
los empleados con todos los los
elementos eh eh con todos los principios
cierto de la de las leyes debería que
dar también a los interés legítimo y en
general aquellos que tienen que ver con
ciberseguridad con seguridad con
detención de fraude eso viven interés
legítimo les agradezco la atención con
esto termino Muchísimas
gracias muchas gracias Paulina por tu
presentación en honor al tiempo y el
tiempo de nuestra siguiente expositora
pasaremos directamente a a su
presentación eh No necesita mayor
presentación Romina muchos de ustedes la
conocerán eh Porque ha sido una parte
activa en todo lo que es en la
tramitación del proyecto de ley de
protección de datos Así que pasaremos
directamente con su presentación Gracias
Romina por por tu tiempo por estar acá
eh Y bueno eh el micrófono es
tuyo Muchas gracias Ignacio por la
invitación y gracias a todos los
asistentes por estar acá para ser
respetuosa con el tiempo me voy a poner
el cronómetro de 20 minutos e Y también
voy a hacer el mismo disclaimer de de
Paulina
en cuanto a que no soy una abogada
experta en temas laborales sino que en
temas de protección de datos desde hace
muchos años como decía Ignacio eh
participé activamente en la la comisión
de Constitución el año pasado en la mesa
técnica que revisó las más de 200
indicaciones del proyecto de ley de
datos personales y y ahora también
apoyando a algunos parlamentarios en el
senado para para poder sacar este este
proyecto de ley de de la de la mejor
manera posible en mi carrera profesional
me me ha tocado Por cierto asesorar a a
empresas y y también dentro del ámbito
académico eh enseñar muchas veces eh
Cómo cómo se intersecta la protección de
datos en el entorno laboral eh
particularmente es un tema que que
interesa mucho dentro de ámbito de la
ciberseguridad porque porque
efectivamente cuando cuando cuando
existe el monitoreo laboral para para
para poder proteger los activos de las
empresas eh existen eh invasiones a
ámbitos de la privacidad del del del del
trabajador en su computador en el correo
electrónico eh en la vigilancia con
cámaras etcétera entonces no es un tema
nuevo y como ya mencionaba Paulina hay
hay hay hay hay una robustez de de
algunas sentencias de de la dirección
del del trabajo con sus aciertos y y sus
desaciertos eh en en en ese sentido y es
algo que Yo creo que la una de las
claves más importantes de la de El
proyecto de ley de protección de datos
que está en el congreso ahora eh
independiente de su parte sustantiva
donde Podrían haber algunos arreglos más
o menos
eh para dejarlo lo más claro posible lo
más ajustado al reglamento europeo lo
que la opinión que ustedes quieran nada
de eso es importante si no tenemos la
autoridad reguladora que permita hacer
realidad la eficacia del derecho a la
protección de datos personales la
protección de datos personales siempre
se mueve en unos en equilibrios que son
complejos y en equilibrios de sobre
proteger los datos y utilizar los datos
eh Y muchas veces en en en dicotomías de
que cuando de que cuando hay temas de
privacidad cuando hay temas de
protección de datos cuando los datos son
personales no los puedo usar y esas son
cosas que van a tener que empezar a a
cambiar debido a a la a la a la claridad
que nos va a entregar la nueva
legislación de datos personales que eso
es lo más importante hoy en día vivimos
en escenarios de incertidumbre y de y de
y de y de dicotomías entre el
consentimiento y la ley y no teniendo
mucha Claridad de que si lo que hacemos
está permitido o no entonces utilizar
datos personales es una actividad
permitida pero regulada y regulada por
la ley de de datos personales Y también
decir que la la protección de de datos
personales en el ámbito laboral va a ser
uno de los ámbitos que va a tocar a
todos
eh Porque hay empresas que si bien en su
en su giro de negocio mismo no tratan
datos de de clientes o de personas
siempre hay trabajadores la mayoría de
ellas hay trabajadores pocos muchos hay
trabajadores entonces de Esos
trabajadores tienen derechos
fundamentales eh que que son alcanzados
por la protección de de datos personales
hoy y que y que y que van a ser
alcanzados por la nueva regulación de
datos personales la situación actual es
bien precaria tenemos mucha
incertidumbre respecto a lo que se puede
o no se puede hacer con los datos cuál
son las bases de licitud como las
explicaba Paulina eh La La La regulación
al final del día no ofrece protección a
los negocios en Chile porque nadie
quiere estar en un o sea todos buscamos
tranquilidad respecto a lo que la la ley
nos permite o no nos permite hacer Y
cómo lo tenemos que hacer eh Hay poca
cultura en las organizaciones respecto a
la protección de datos personales Y
sobre todo bueno Y esto se Y esto es
mucho más sensible en el entorno laboral
las empresas cuando cuando buscan
internacionalizarse Tienen que salir a
cumplir en escenarios regulatorios mucho
más estrictos que los chilenos hay bajos
incentivos de de cumplimiento y ausencia
de fiscalización que es el cambio que
viene finalmente con la futura ley de
protección de datos Don que esperamos eh
según los compromisos legislativos que
se han eh conversado en el congreso que
pueda salir en enero eh a más tardar en
marzo pero Esperamos que sea en enero
porque ya es harto harto tiempo
esperando eh el proyecto de ley del 2017
es el tercer esfuerzo legislativo en ese
sentido eh es el el proyecto que más
avanzado por suerte porque es el el más
alineado a La regulación europea que es
el estándar Global en protección de
datos personales Y si nosotros queremos
insertarnos en el mercado de datos
tenemos que cumplir eh básicamente ese
ese estándar
e Por cierto los trabajadores tienen sus
derechos fundamentales en el entorno
laboral el código del trabajo señala que
las facultades que la ley le reconoce al
al empleador tienen un límite eh Y este
y este límite es el respeto a las
garantías constitucionales
particularmente señala el código del
trabajo cuando pueden afectar la vida
privada o la honra de estos no se
refiere a la protección de datos
personales propiamente tal pero el 19
número 4 que que consagra el derecho a
la vida privada quedó en el Así mismo la
protección de los datos personales por
tanto eh la protección de datos personal
es es parte de este entramado de normas
que el empleador debería respetar eh Y y
es el límite Por cierto que podría tener
O sea que tiene directamente el
empleador en ese sentido e Y por cierto
la tutela
de derechos fundamentales que hoy en día
los trabajadores pueden eh interponer en
tribunales han habido casos por datos
personales efectivamente la protección
de datos un derecho fundamental sido en
la constitución política vamos
directamente al tema por el cual me
invitaron a compartir esta esta mañana
con ustedes que son los datos sensibles
en la relación laboral acá el disclaimer
es que vamos a hablar de los datos
sensibles en la futura ley de datos
personales eh No La regulación que
tienen ahora porque es lo que nos
debería importar o es al menos el
estándar que deberíamos tener en las
organizaciones responsables eh con los
datos de sus trabajadores primero lo
básico que son los datos sensibles los
los datos sensibles son aquellos que se
refieren a características físicas o
Morales de las personas eh o hechos
circunstancias que revelan
circunstancias que revelan asuntos
particulares de al e el el proyecto de
ley mantiene en el artículo 2 letra g el
concepto de datos personales y lo
mantiene como un concepto abierto y esto
es muy importante porque lo hace
omnicomprensivo nosotros el concepto que
hoy tenemos de datos sensible no
contempla por ejemplo a los datos de los
niños y niños y adolescentes pero el
hecho de que sea un un un de que el el
de que el concepto contenga la la la
fórmula del tal es como que es lo que
les subrayo en esta lámina ha permitido
poder incluir otro tipo de datos que que
no están incluidos estrictamente en la
obligación eh Perdón en la definición de
datos sensible eh datos sensible origen
étnico racial afiliación política
sindical situación socioeconómica el
perfil biológico humano los datos de
salud eh y hay dos novedades en este
concepto en el proyecto de ley que son
la la la la identidad de género de una
persona natural y la situación
socioeconómica como dato sensible eh uno
podría discutir si es que est si es que
este tipo de información debería o no
ser un dato sensible pero el dato
sensible Lo cierto es Es que muchas
veces esa información que depende del
contexto eh es información que que es
funcional finalmente al tratamiento y
depende de la afectación que pueda
causar al titular si un dato va a ser o
no eh sensible al final de El dí eh es
un concepto abierto omnicomprensivo y Y
por qué la ley distingue entre los datos
personales y los datos personales
sensibles porque se trata de datos que
proporcionan mayor información de las
personas que puede ser susceptible de de
ser utilizada de manera inapropiada y
con ese uso inapropiado va causa
consecuencias que son más importantes
sobre la vida de las personas en materia
de privacidad intimidad eh No o
discriminación derechamente entonces la
la la importancia entre entre distinguir
si un dato es personal a secas y es
personal sensible se traduce en la
práctica en requisitos específicos y
condiciones más estrictas para su
tratamiento y esto no está muy claro en
la actual ley 19628 pero sí viene con
mayor Claridad en la en el proyecto de
ley que está en el congreso y en la pra
se refleja en dos cosas primero en que
cuando yo trato datos sensibles sin el
consentimiento estoy dentro de las
hipótesis de realizar evaluaciones de
impacto en protección de datos
personales Y eso es muy importante
porque en muchas de las hipótesis del
tratamiento de datos sensible en el
entorno laboral no va a haber no va a
haber consentimiento como explicaba
Paulina porque la base de licitud puede
ser el interés legítimo o pueses o va a
ser directamente el contrato entonces
estando en una hipótesis de excepción al
consentimiento voy a tener que realizar
una evaluación de impacto en protección
de datos y Las evaluaciones de riesgo al
implementar las medidas de seguridad
recordemos que el proyecto de ley toma
un enfoque de riesgo siguiendo el modelo
europeo no no le dice a los responsables
Estas son las medidas de seguridad de
nivel alto medio bajo y este es el
catálogo de cosas que usted tiene que
hacer no le dice usted tiene que evaluar
el contexto naturaleza tipo de datos
tratados y los riesgos que derivan de
ese tratamiento eh y y y luego eh ver
qué medidas eh realmente eh implementa
Verdad de acuerdo a su capacidad
económica Por cierto de acuerdo la
tecnología disponible entonces si yo
estoy frente a datos sensibles Ya estoy
en un contexto de tratamiento distinto
al de tratamiento de datos simplemente
personales eh Por qué Porque los riesgos
que derivan de ese tratamiento como
veíamos en la lápida anterior es más eh
eh impactarían de manera más negativa
dentro si si yoo un mal uso de esa esa
información personal y ese impacto se
puede traducir en una invasión a la
privacidad de alguien o en una
discriminación derechamente voy a hacer
se se se traducen que voy a tener que
estar evaluando y monitoreando
permanentemente las medidas de seguridad
de datos voy a tener que tener políticas
más claras a ese respecto perfiles
funcionales de acceso y y medidas de
cifrado y seudonimización en muchos
casos eh que también aparecen
mencionadas en en el artículo que regula
que regula la seguridad de datos en el
proyecto de ley y que por cierto viene
inspirado en el en el reglamento europeo
de protección de datos Y también
privacidad por diseño la privacidad por
diseño es una forma de insertar la
privacidad en la en las organizaciones
que abarcan las prácticas de las
personas y los sistemas de información
las prácticas de las personas que
trabajan con datos y los sistemas de
información que sustentan esos datos
entonces en la práctica yo debería estar
como pendiente de estas dos cosas
respecto a el tratamiento de datos
sensibles en la relación laboral qué
datos sensibles podría encontrar en la
relación laboral datos de salud Por
cierto el trabajador va a tener acceso a
mis licencias médicas a a la situación
de discapacidad a a los exámenes
psicológicos cuando me entrevistaron Y
yo quedé contratada a exámenes médicos a
datos sobre cargas familiares donde
Podrían haber datos de menores de edad
niños niñas y adolescentes datos de la
afiliación sindical datos biométricos
geolocalización ayudas sociales por la
situación socioeconómica del trabajador
y datos en procedimiento de denuncia de
delito acuso laboral relacionad con
violencia de género o abuso sexual donde
podría quedar esta esta donde podrían
también haber datos sensibles Estos son
algunas de las de las de las de las
ideas preliminares Porque por cierto el
tratamiento de datos siempre es
contextual Y hay que estar mirando eh
Cuáles son los datos que realmente se
recopil la base de licitud para el
tratamiento de datos sensibles bueno
actualmente eh es el consentimiento Por
cierto y la ley para el tratamiento de
datos sensibles y el proyecto de ley
mantiene esa misma línea de base digamos
el consentimiento forma expresa eh
otorgado a a través de un medio de un de
un medio tecnológico equivalente pero
esta misma normativa que establece el
consentimiento como regla general para
el tratamiento de datos sensible
establece las mismas las excepciones
para las para requerir ese
consentimiento y las excepciones la
primera que está en el en el en el el 16
y el 16 bis que son los dos artículos
que vamos a analizar en en esta pequeña
charla Es que la la primera tratamiento
datos sensible general segunda datos de
salud la primera Establece que la la
licitud del tratamiento cuando el dato
sensible sea necesario para el ejercicio
o el cumplimiento de las obligaciones
del responsable de datos en el ámbito
laboral para el ejercicio de los
derechos del titular de datos para la
persona trabajador titular de datos y
para el cumplimiento de las obligaciones
del responsable en el ámbito laboral es
decir acá la base de del de de licitud
es el cumplimiento de las obligaciones
en el ámbito laboral y por tanto el la
ejecución del contrato de trabajo y no
me voy a detener en eso Tal como lo
explicó Paulina el contrato es la base
de licitud principal en el tratamiento
de datos en el entorno laboral no es el
consentimiento porque el consentimiento
se proporciona entre un evidente
desequilibrio entre el interesado Y el
responsable del tratamiento de datos y
esto lo han dicho las autoridades de
protección de datos personales de
diversos países y me imagino que es la
la la línea de argumentación que ira
seguir la futura autoridad de datos
personales como no tengo que pedir el
consentimiento eso es suficiente
evidentemente no eh tienen que el
tratamiento de estos datos tiene que
hacerse bajo dos condiciones es para el
ejercicio de los derechos del titular y
el cumplimiento de las obligaciones
laborales y debe realizarse en el marco
de la ley de datos personales es decir
es un consentiment es un uso de datos
sensibles que es apropiado y
proporcional informado transparente Leal
y seguro el consentimiento es la puerta
de entrada a al es es lo que me habilita
el acceso a datos muchas veces el cons
imiento el contrato y las demás bases de
licitud es lo que me habilita a a poder
tratar datos personales pero luego de
eso empieza la protección de datos
personales después el consentimiento no
es la protección de datos personales el
consentimiento es
la como les digo la llave que me que me
permite acceder a estos datos y de ahí
yo tengo que empezar a aplicar las
reglas de tratamiento de datos
personales como como les dije hay dos
normas importantes acá la de datos
sensibles en general y la de datos de
salud en particular y en datos de salud
también hay una excepción al
consentimiento las bases de licitud para
el tratamiento de datos de salud son las
mismas que las mencionaba anteriormente
el consentimiento como base y luego que
el tratamiento sea necesario para fines
de Medicina preventiva laboral
evaluación de la capacidad laboral del
trabajador y restricción eh y y y la y
el diagnóstico médico Por cierto hay una
restricción o una prohibición de
almacenamiento de muestras médicas eh
cuándo estas se obtienen dentro de del
contexto de la relación laboral salvo
que se que estas se recolecten para los
fines mencionados anteriormente es decir
fines de Medicina preventiva evaluación
de la capacidad laboral del trabajador y
el diagnóstico médico todas las
excepciones para tratar datos sin
consentimiento que tiene el proyecto de
ley de datos personales en el 16 y en el
16 bis y en el 13 se entienden
aplicables para los datos que no son
sensibles también es decir acá la
habilitación para el tratamiento de
datos personales de salud y para el
tratamiento de datos sensibles se
entiende por cierto dentro y si es en el
contexto de la relación laboral eh se
extiende a los datos a los demás datos
personales que no son sensibles entonces
en los tres minutitos que me quedan
casos de uso de datos sensibles en el
entorno laboral Por cierto en la futura
ley de datos personales datos de salud
datos de salud vamos a encontrar
evaluaciones ocupacionales programas de
vigilancia en salud de los trabajadores
evaluación de compatibilidad de salud
accident laborales evaluación de salud
realizada trabajadores o postulantes que
van a desempeñar tareas de riesgo
exámenes para detección de sustancias en
abuso todos estas estos usos estarán
quedan quedan enmarcados en el 16 bis eh
donde el empleador tiene Por cierto la
facultad para tratar esos datos eh pero
debe protegerlos Por cierto y aplicar la
normativa de protección de datos es
decir sujetarse a la finalidad
confidencialidad privacidad por diseño
medidas de seguridad la lealtad en el
tratamiento eh Y la finalidad en el
tratamiento de de datos eh personales e
entonces eh si es que si es que el
trabajador si es que el empleador va a
acceder a otros datos distintos de salud
o datos sensibles eh que no están
amparados en esta justificación legal va
a tener que pedir el consentimiento del
trabajador el cual deberá ser libre y
voluntario en todos los demás casos lo
que nos encanta en Chile la biometría eh
nos encanta porque está en todos lados
yo me cambié de trabajo hace poco soy
directora de protección de datos en
y para entrar a este edificio hay
reconocimiento espacial no me ido
enrolar todavía porque estoy tratando de
bajar la ansiedad por En ese sentido no
es un dato biométrico que se va a
recolectar para el cumplimiento de mi
jornada que así lo ha reconocido la la
la dirección del trabajo porque se ha
habilitado que se pueda utilizar la la
biometría para el cumplimiento de las
relaciones laborales acá para entr e los
datos biométricos son aquellos obtenidos
a partir de un procesamiento técnico y
que toma las características físicas
biológicas de alguien eh Son datos
altamente sensibles de hecho porque
efectivamente yo no puedo cambiar
mi mi cara Nunca ni mis huellas
dactilares es una información que me
hace única y repetible eh Y que y que y
que por cierto logre identificar de
manera unívoca a una persona la regla
general es que el tratamiento de los
datos biométricos que aparecen como
datos especialmente protegidos o
sensibles el proyecto de ley hace esta
distinción Pero al final del día son lo
mismo eh consentimiento o los mismos
casos de excepción para el caso de datos
sensibles y salud que son los que ya les
mencioné ejercicio de derecho y
cumplimiento de las obligaciones
laborales o fines de Medicina preventiva
o laboral evaluación de la capacidad
laboral del trabajador y diagnóstico
médico suficiente por supuesto que no el
proyecto de ley impone obligaciones
adicionales al tratamiento de los datos
biom va a ver que informar al trabajador
el sistema biométrico usado la finalidad
de uso de datos el periodo de uso de los
datos biométricos y la forma en que en
que la personas pueden ejercer sus
derechos relativos a la biometría es
decir entregar información específica al
trabajador
eh Por lo tanto no basta la solo la la
solo base base de licitud para el
tratamiento de los datos biométricos acá
les dejo una guía publicada el mes
pasado sobre el la el tratamiento de de
datos para el control de presencia Eh
Define laborales Mediante los sistemas
biométricos eh Por cierto en países con
con mucha sofisticación en protección de
datos Y con autoridades fuertes como la
autoridad española de datos personales
eh existe la biometría existe la
biometría en el entorno laboral existe
para el re jornada por ejemplo pero se
le aplica la ley de protección de datos
minimización proporcional proporcional y
necesario y es algo que a mi juicio no
ha sido bien evaluado por la dirección
del trabajo eh en cuo si existen medios
menos invasivos para lograr la misma
finalidad y real elección y alternativas
para las pruebas la geolocalización como
eh que es esta tecnología que hace
referencia a conocer mi ubicación
geográficamente más o menos precisa con
alguna diferencia un par de metros cu yo
puedo reconocer d están objetos o
personas eh También aparece como un dato
especialmente protegido en la
legislación de datos personales en la el
nuevo proyecto de ley y y se somete a
las mismas bases de licitud del artículo
12 y 13 Es decir consentimiento y en el
caso que nos importa el contrato y y acá
en el caso de geolocalización lo que
señala eh el proyecto de ley es que hay
que entregar información suficiente y
oportuna y específica al al titular del
dato en este caso al trabajador sobre
los tipos de datos de geolocalización
que se le han tratado la finalidad la
duración del tratamiento y si es que
estos datos van a ser compartidos con
terceros casos de uso de la
geolocalización Esto es algo que es bien
común en la dirección del del trabajo
hay var el pronunciamiento en ese
sentido Afortunados y otros más
desafortunados en ese eh Para poder
geolocalizar trabajadores para el
ingreso de la marca cuando cuando
estuvimos en pandemia muchos sistemas eh
computacionales que tú tú usas el
computador de tu trabajo en tu casa te
geolocalizada en un lugar la ubicación
de vehículos y trabajadores la detección
de infracciones de velocidad eh para
trabajadores que trabajan buen manejando
camiones autos eh Y hace poco un
dictamen bien interesante de la
dirección del trabajo respecto eo de
vendedores que tenían que geolocalizar
por WhatsApp para eh para poder saber si
estaban o no realmente en la ubicación
en terreno la dirección del trabajo en
este sentido que ha regulado este tema
ha dicho bueno la la geolocalización no
no tiene que ser una medida de sanción
para los trabajadores sino que una
medida que sirva para el cumplimiento de
las obligaciones laborales debe
necesariamente estar incorporar el
reglamento interno de higiene y
seguridad de la empresa debe efectuarse
Como ya lo ha dicho en en reiterados
pronunciamientos con medios idóneos y
concordantes con la naturaleza de la de
las obligaciones laborales ser ser
impersonal en cuanto a que yo no puedo
monitorear o o ejercer este control
sobre cierto sobre un trabajador en
específico sino que debe ser una medida
de aplicación general y respetar la
dignidad del trabajad finalmente estoy
pasada como 2 minutos Pero eh eh las
conclusiones finales que la protección
de datos será un nuevo desafío para las
relaciones laborales lo es actualmente
de hecho es un un un nuevo un nuevo
ámbito de riesgo para para las
organizaciones que tienen trabajadores
donde ya no solamente la dirección del
trabajo va a ser una una un un lugar
donde estos van a poder ir a ejercer sus
derechos e ir a reclamar estos derechos
sino que también va a ser la agencia de
protección de datos no basta para el
tratamiento de datos sensible la sola
justificación del contrato si no hay un
análisis de proporcionalidad idoneidad
del uso de las tecnologías que van a
procesar estos datos personales
sensibles es y esto me refiero en
particular a la biometría y a la
geolocalización los derechos de
información evidentemente son más
reforzados que los datos simplemente
personales o personales a secas Y por
cierto Esto va a requerir varios ajustes
a la a los procedimientos reglamentos y
la documentación interna de la empresa
eh para poder darle Claridad a los
trabajadores respecto al uso de sus
datos sensibles sobre todo eh Y también
para no estar en incumplimiento frente a
la futura agencia de protección de datos
eso es lo que tenía preparado para
ustedes hoy Muchas
gracias muchas gracias Romina por tu
presentación por tu tiempo también eh
queremos dejar esta parte para una ronda
de preguntas entendemos que nuestras
expositoras También tienen otros
compromisos Así que vamos a hacer eh
esta parte corta vamos a seleccionar hay
varias preguntas hay muchos interés al
respecto y un tema que da para largo no
solamente una hora quedamos corto
obviamente eh voy a dirigir una pregunta
para cada una y dejamos también
invitados a todos los asistentes al
final de la del webinar vamos a
presentarle parte de nuestras soluciones
tecnológicas que hemos preparado como
ley de datos para sus diferentes
organizaciones eh Y interesante también
señalar que lo que vamos a presentar es
un tipo diagnóstico para ver cuál es la
situación actual de sus organizaciones
en comparación al cumplimiento a lo que
proyecta la ley eh más adelante En qué
situación están actualmente y qué cosas
tienen que preparar empezar a preparar
en la implementación eh Romina la
primera pregunta bueno puede ser para
cualquiera de estas preguntas porque son
temas bien bien similares eh pero quiero
quiero enfocar esta pregunta a tu
exposición en relación al tema de las
entrevistas el tema de la preselección
eh cuando hay datos sensibles por
ejemplo información de los hijos como
habíamos señalado eh También tema de lo
de la eh de los test psicológicos eh
Cuál es la base de licitud que debería
aplicar ahí es el consentimiento qué
tiene que tener en cuenta el emple quien
está el reclutador que está haciendo
este proceso de selección Qué cosas
debería considerar al momento de obtener
esta información que son datos
personales sensibles eh si es en el
momento del reclutamiento
en el reclutamiento de una persona que
todavía no tiene una relación laboral
con esa con esa empresa lo que han dicho
las autoridades de datos es que la base
de licitud para ese tratamiento es el
consentimiento y que y que y que así
debe expresarse eh en en los acuerdos de
almacenamiento de datos Y en la entrega
de datos de de esa persona que por
cierto remite información hay su
currículum su informe psicológico y hay
hay información sensible que en en ese
sentido se trata y la base de licitud en
ese caso es el consentimiento y para
llegar a a guardar esa información por
más tiempo del requerido para esa
finalidad específica que es el proceso
de reclutación de reclutamiento
propiamente tal eh eh Y yo si yo
quisiera usar por ejemplo esos datos
para un para un cargo distinto la
persona también debería estar informada
y consentir respecto de ese tratamiento
de datos personales en una segunda para
para para para una segunda
finalidad perfecto Eh bueno Paulina eh
una pregunta bastante interesante
relación a los derechos arcos ejercidos
por extrabajadores
eh qué tenemos que tener en
consideración eh respecto a este tema
porque ya obviamente la relación laboral
ya ya ha concluido
eh qué debería tener en cuenta el
empleador cuando existe solicitudes de
derecho arco y también si es que hay
también datos sensibles intermedio de
hecho que la regación laboral ya haya
concluido la única diferencia en
términos como de regulación de
protección de datos si quieres es que no
no
debería no no no debería estar tan
determinada por las obligaciones
laborales cierto o por por las
obligaciones del empleador desde el
código del trabajo pero pero pero el el
hecho de que yo siga tratando datos de
extrabajadores requiere sigue
requiriendo una base de legalidad y
claro esa base de legalidad ya hoy día
va a seguir siendo el consentimiento
porque como comentábamos no no tengo
otra cierto el consentimiento es es la
única herramienta que se me
disponibiliza para ello y en ese
sentido pareciera que una forma sensata
de enfrentarlo es agregarlo en la
política de privacidad del trabajador
quien consciente el tratamiento que
sigue teniendo que ser un tratamiento
determinado por el principios de
minimización y proporcionalidad Pero si
yo tengo la oportunidad de recoger el
consentimiento del trabajador en la
política de privacidad cuando cuando ese
trabajador ingresa esa política de
privacidad debería
poder regir el tratamiento posterior
cierto otra opción es levantar esa
autorización en el finiquito y esa Y esa
nosotros recomendamos harto Esa esa ese
control
porque porque porque por regla general
no no levantaste esa finalidad
específica al comienzo eh
[Música]
Ahora
hay se hace bien delicado en particular
cuando una relación laboral ha terminado
mal o ha terminado en tribunales o ha
terminado en conflicto se hace
particularmente delicado el poder
calificar cuando en realidad estamos
hablando de un dato personal porque la
ley es tremendamente amplia para definir
datos personales por lo tanto me refiero
al siguiente escenario me refiero al
escenario y es más complejo donde en
jurisdicciones donde el Discovery es
mucho más estricto cierto un trabajador
bien Podría ejercer un derecho arco para
que en los se entregue toda la
información que se ha comentado de él en
correos de la empresa por ejemplo que
seguiría siendo información personal
correos entre entre Juan y Pedro
respecto respecto de María te fij
entonces la la la amplitud de aquello
que un trabajador podría o un
extrabajador podría solicitar en virtud
de esos derechos aros no se refiere
solamente A aquello que a lo que uno
intuitivamente piensa Dime cuáles son
los datos que tienes de mí Cuáles son
las las licencias que pedí Cuáles son
los correos que tienes de mí puedo yo
Acceder al correo de un trabajador si si
tenía por ejemplo la obligación de
cargarlo en srl cierto y no lo cargó y
sé que hay un correo que determina una
relación importante con el con un
cliente puedo acceder al disco duro de
El computador que él tenía para poder en
el futuro para poder darle continuidad a
la relación con ese cliente hay alas
preguntas que no están muy respondidas y
que es más fácil responderlas si es que
nos aseguramos metiendo esa autorización
en la política de privacidad interface
claro muchas cosas se responden también
en la práctica son moment son
situaciones que se dan en el momento eh
Para cerrar No sé si Romina Paulina
tienen un minutito más para Una última
pregunta dirigida a ambas que me parece
me parece relevante que en relación
a hablamos mucho del consentimiento y
esta preponderancia que le dan al
consentimiento en el proyecto de ley eh
Por sobre otras bases de licitud pero la
dificultades también que significa
recopilar el consentimiento para cada
tipo de tratamiento es posible a través
de los reglamentos internos que la la
pregunta va dirigida a los reglamentos
internos yo quiero y quiero también
incorporar también los convenios
colectivos a a nivel de sindicato suplir
este consentimiento a través de estos
instrumentos o tendríamos que
eh recabar sentimientos para cada
tratamiento
específico estoy hablando en general no
obviamente hay tratamientos que quizás s
van a requerir consentimiento y no va no
va a ser suficiente que esto esté
contenido en otro instrumento Pero cómo
ven esta vincula puedo prescindir del
consentimiento si es que incluyo estas
tipos de tratamiento en documentos
diferentes que no hayan sido consentidos
por el trabajador es esa la pregunta no
por ejemplo no que hayan sido sentido
Pero el reglamento interno cuando se le
entrega al trabajador él tiene que
manifestar su conformidad con el
reglamento interno cuando existen
convenios colectivos a nivel de
sindicato se entiende que los
trabajadores afiliados el sindicato
están de acuerdo con ese convenio
colectivo es posible suplir ciertas
situaciones a través de estos
instrumentos Cómo ven esta
situación a mí me me parece que dado que
el consentimiento debe ser
Expreso la pregunta va a tener tiene que
ver con cuán cercano o o cuán
fidedignamente puedo acreditar que me
dieron el consentimiento expreso y en
los dos escenarios que tú describiste me
parece que es más evidente El
consentimiento Expreso en el escenario
del sindicato
eh que en el de el reglamento interno si
es que no a ver si en el reglamento
inter si yo tengo la política pral del
reglamento interno O tengo ciertas
normas de privacidad que señalan de cómo
voy a estar haciendo tratamiento de los
datos y ese reglamento interno
simplemente me acusan recibo del
reglamento interno yo creo que no pas la
ris yo creo que no ha no hay no hay o
sea consentimiento necesitas igual La
pregunta es cómo lo recab Y cómo luego
acreditas que lo recabaste
claro exactamente Rina no sé si quieres
agregar algo más no Ignacio disculpa Me
desconcentré hablando con el chat con
alguien acá que me está haciendo una
pregunta sobre la slide Pero pero bueno
yo tengo tiendo a a diferir bueno
efectivamente hay un artículo que regula
el consentimiento en forma en forma
precisa eh pero creo que el cambio más
importante que se genera con la ley de
datos personales son todas las nuevas
bases de licitud que se que se generan
con con y que amplifican la manera en
que las empresas y las organizaciones
pueden utilizarlo los los datos
personales eh Y Y eso Pese a que se
señala como que el consentimiento dice
en general como que fuera la piedra
angular la piedra angular Ya deja de ser
el consentimiento y pasamos a a un
régimen de protección de datos más
basado en responsabilidad porque el
consentimiento como en el entorno
laboral y muchos otros lados es como
decía Paulina me gustó esa palabra que
usaste como que no es real el
consentimiento al final Entonces el
consentimiento es como como claro y
además nadie lee lo que claro un poquito
forzado también un poquito forzado en
muchos de de de estos entornos
bueno agradecemos su su tiempo Paulina
Romina quean lideradas en esta parte del
webinar
ehes Muchas
gracias gracias Que estén bien gracias a
ustedes eh Les pedimos que se queden
conectados vamos a presentar parte de
nuestras soluciones eh importante
también señalar
que nosotros como ley de datos Contamos
con registr de actividad de tratamiento
eh Para que ustedes puedan eh
específicamente poner allí Cuáles son
las bases de licitudes que ustedes están
utilizando y también Contamos con
módulos para la evaluaciones de impacto
en relación a los datos sensibles que
era lo que comentaba Romina en la
presentación Así que dejo con ustedes a
Rodrigo cante Que también es socio
cofundador de ley de datos quien hará la
presentación Muchas gracias Ignacio eh
actualmente les estoy mostrando la
plataforma eh lo primero que podemos ver
Es el Data mapping o el mapa de datos
donde ustedes van a poder ver si hacen
el registro previo de sus fuentes de
información dónde están ubicadas estas
fuentes de información y Por qué es
importante porque no todos los países
son un puerto seguro de datos Entonces
esta es la primera alerta muy visual de
si al momento hacer el tratamiento lo
están haciendo de la manera correcta o
si hay algún riesgo que no se han
percatado Entonces por ejemplo acá vemos
servidores en en en el Reino Unido en
Irlanda pero también vemos uno en India
entonces ahí uno de manera muy rápida y
muy visual podría darse cuenta que está
en riesgo y que tiene que hacer acciones
correctivas o medidas de control para
disminuir esos riesgos
luego tenemos nuestro registro de
actividades de tratamiento que es una
herramienta fundamental Al momento de
implementar esta ley donde ustedes van a
tener listadas todas las actividades de
tramiento de la organización Sí y dentro
de ellas van a poder editarlas o
cargarlas de manera masiva llenando toda
la información que es requerida por hoy
día la rgpd el día de mañana por el
proyecto de ley que tendrá un propio
reglamento toda la información que es
necesaria para cumplir y levantar esta
actividad de tratamiento sí Y por qué es
importante porque una vez que tengamos
la actividad de tratamiento identificada
vamos a tener que ver si presenta un
riesgo para los titulares de datos con
los que estamos trabajando Entonces el
primer paso que lo pueden hacer todo
esto en la plataforma es una
preevaluación de impacto hoy día
nosotros tenemos una evaluación
preevaluación de impacto perdón eh
cargada de manera de maqueta O sea no de
maqueta sino que es una plantilla pero
ustedes si utilizan la plataforma podrán
muy fácilmente cambiar estas preguntas
para ir configurando los niveles de
riesgo los apetitos de riesgo de cada
uno de su empresa Entonces yo acá por
ejemplo marqué Sí también puede marcar
no y al responder este cuestionario
ustedes rápidamente van a ver bueno si
hago esta preevaluación de impacto
necesitaré hacer una evaluación de
impacto y finalmente y mientras les hago
la presentación en el chat va a salir el
correo mío donde podrán agendar una
reunión que es Rodrigo ley ded datos.com
e les quería Mostrar la evaluación de
impacto propiamente tal esto también es
un una plantilla efectivamente estamos
usando la que justo mencionó Paulina del
pico que es del Reino Unido y son los
distintos elementos que va a pedir esta
organización que después va a ser la
agencia Nacional de protección de datos
que debemos llenar el momento de
realizar la evaluación de impacto Sí por
ejemplo identificar esta necesidad de
hacer una evaluación de impacto
Describir el tratamiento y acá lo vamos
a ir rechazando en distintas preguntas
lo puedo ir editando actualizo la sesión
la sección perdón y ahí puedo hacer
todos los cambios que quiera
ajustar Y luego como Quizás lo más
relevante es que tenemos que evaluar
ciertas cosas como por ejemplo la
necesidad y la proporcionalidad de este
tratamiento o sea es necesario hacerlo
es proporcional con respecto a lo que
queremos hacer y finalmente Debemos
identificar los riesgos asociados a la
actividad de tratamiento por ejemplo eh
si estamos utilizando un sistema de
control de asistencia el recolectar la
biometría de nuestros trabajadores Si o
si estamos usando algún servidor que
estos datos sean filtrados y una vez yo
identifico estos riesgos puedo ver si su
probabilidad de daño es alta o quizás
baja y qué tan qué tanto impacto nos
genera este daño con el fin de ver si el
riesgo es muy alto o quizás un riesgo
que puedo tolerar y luego a cada riesgo
Le vamos asociar una medida de control
para poder mitigar y disminuir el rgo Sí
así que eso es por nuestro lado lado
para no seguir extendiéndonos eh les
dejamos ahí en el chat nuestro correo
para agendar reuniones y agradecemos su
presencia en el webinar del
día bueno Muchas gracias a todos eh Este
ha sido el último webinar de todos los
webinar que hemos preparado para ustedes
eh dejamos también en el chat el link
para que puedan visitar eh las
presentaciones de las otras exposiciones
que también hemos tenido también grandes
eh grandes exponentes eh de los
distintos temas que hemos hablado desde
desde que partimos con este proyecto y
siendo este último webinar del año los
dejamos también invitado para que
contacten con nosotros para conocer
nuestras soluciones y nuestra plataforma
en los distintos módulos que presentaba
Rodrigo y ya en marzo probablemente
retomaremos también estas instancias
para seguir conversando y viendo estos
temas muchas gracias a todos Hasta
luego
i