Webinar LeyDeDatos Consentimiento en la práctica ¿cómo gestionarlo correctamente?

También tenemos un módulo de
capacitaciones en
leydedatos.com/capacitaciones.
¿Cuál es la agenda? Primero, un contexto
y apertura del del webinar. Eh,
consentimiento y bases legales, la
gestión del consentimiento en la
práctica y preguntas de cierre.
Nuestros invitados.
Rosario Leteler es legal council,
reconocida por Legal 500 Chile 2025 en
la categoría Inhouse, abogada de la
Universidad Andrés Bello, máster en
derecho de las nuevas tecnologías,
derecho digital y protección de datos
personales, Universidad Complutense de
Madrid y profesor adjunta del diplomado
en ciberseguridad de la FEN, Universidad
de Chile. Y por otro lado tenemos a
Pablo Contreras, director del doctorado
en derecho de la Universidad Central,
doctor en ciencias jurídicas del
Northwestern University School of La
socio en Data Compliance, perdón. fue
exdirector legal del Consejo para la
Transparencia y es coautor del libro
Compliance y protección de datos
personales.
Dicho eso, antes de darle el pase a
nuestros invitados, vamos a hacer una
breve introducción al módulo de gestión
del consentimiento de ley de datos y
para eso eh queremos hacerle la muestra
de cómo lo entendemos nosotros hoy día
en ley de datos. Entonces
eh la ley del dolor, ¿qué exige la ley
21719 respecto al consentimiento?
Primero que sea libre, sea informado,
específico e inequívoco. Nos exige un
deber de la prueba porque el responsable
del tratamiento debe poder acreditar que
contó con el consentimiento del titular
y que el tratamiento obviamente cumplió
los principios de ser lícito, leal y
transparente. Y además, y esto es muy
importante, ¿y por qué afecta la
operación? Porque el consentimiento por
esencia es revocable. Entonces el
titular lo puede revocar en cualquier
momento y no necesita expresar causa,
motivo o razón.
Entonces, los dolores muy rápido, porque
esto lo vamos a dar con nuestros
invitados, uno es la fragmentación, que
el consentimiento quedan múltiples
fuentes de información, lo segundo es la
trazabilidad, eh, que es que tenemos que
mostrar cuándo se autorizó. Lo tercero
es la revocabilidad, decía que el
consentimiento es revocable y la
visibilidad que necesitamos un stack
central que agrupe toda la información
que estamos generando dentro de la
organización.
Entonces, nosotros, ¿cómo vemos este
flujo de datos desde le2.com? Primero
está un titular de datos que interactúa
con algún punto de recolección de la
organización, por ejemplo, el sitio web,
aplicación móvil, un formulario, la
firma, un contrato, cualquier punto con
el que interactuamos con nuestros
clientes o incluso con nuestros
colaboradores.
Y eso genera lo que nosotros llamamos un
recibo único que a su vez se desglosan
transacciones, que cada transacción al
final del día es una finalidad. por
ejemplo, eh consiento que me envíen
correos de correos electrónicos, pero
por ejemplo no hay consentimiento para
que me envíen eh mensaje de texto o me
llamen por teléfono. Y todo eso nosotros
tenemos que volcarlo en una base de
datos que es un perfil unificado del
titular de datos.
Dicho eso, dado que ese es el contexto
en el que estamos conversando, le
mostramos la plataforma de ley de datos
que obviamente parte con reportería, que
nos explica básicamente cuál es el
estado de la organización con el
consentimiento. Entonces, por ejemplo,
acá podemos filtrar propósitos, eh
puntos de recolección, obviamente
filtrar por fechas y acá vemos los
propósitos con cada uno de sus estados,
por ejemplo, aceptado en revisión,
rechazado, retirado, no informado,
expirado o si es que el cliente o el
titular no ha expresado alguna elección.
Podemos ver la tasa de aceptación,
perdón, la tasa de rechazo, tasas de no
informados, los recibos y las
transacciones generadas.
Luego tenemos una base de datos de
usuarios
que si nos vamos a verla podemos ver
distinta información del usuario, pero
lo más importante de cara a nosotros del
usuario es el centro de preferencias. Es
ese lugar donde el usuario puede
comunicarnos. Si este por ejemplo quiere
recibir marketing publicidad, quiere
recibir los newsletter, acallección de
servicio, notificaciones dentro de la
aplicación o por SMS, eh detallle de
privacidad y gestión de datos. Esto es
muy importante de cara a poder mostrar
cumplimiento de cara a la ley. Y si
volvemos acá al módulo, eh tenemos las
fuentes de consentimiento, que son esos
puntos de recolección que les
comentábamos, las finalidades de
tratamiento, que son las finalidades por
las cuales capturamos el consentimiento,
los recibos, que son estas interacciones
que también hablábamos, las
transacciones que son el desglose de
estas transacciones, o sea, perdón, de
estos residuos y una carga masiva por si
tenemos sistemas legados que necesitamos
cargar con el consentimiento. Dicho eso,
le doy el pase a Ignacio para que pueda
entrar con nuestros invitados a hablar
de el consentimiento.
Muchas gracias, Rodrigo,
eh, por tu presentación y bueno, quiero
saludar a a Pablo y a Rosario. Eh,
Rodrigo, se puede sacar un poco ahí que
no los podía ver.
Bueno, quiero dar las gracias a Pablo y
a Rosario por aceptar nuestra invitación
y por estar el día de hoy en nuestro
webinar. Eh, y como bien decía Rodrigo,
el tema central de este webinar es el
consentimiento.
Quiero partir contigo, Pablo,
preguntándote, porque si bien el tema
central es consentimiento, sabemos que
el consentimiento no es algo nuevo en
nuestra legislación, eh probablemente es
algo que las empresas, las
organizaciones ya lo venían practicando,
ya lo conocían. Es algo que se repetía
normalmente, pero algo cambia con la
nueva ley y en el fondo, cuéntame qué
pasa con el consentimiento en la nueva
ley, cuál es la evolución que tiene,
para dónde estamos yendo y obviamente
hay que hablar de las bases de licitud.
Así que te doy el pase, Pablo, y muchas
gracias por aceptar la invitación.
Gracias Ignacio, gracias eh Rodrigo.
Bueno, gracias a Ley de Datos que estos
estos seminarios, estos webinars ya son
conocidos
entre los profesionales de de protección
de datos. Entonces, eh un gusto poder
participar en esta ocasión eh con
ustedes. El consentimiento eh no es
nuevo, obviamente, y de dónde viene, por
qué el consentimiento tiene este este
rol protagónico.
Eh, y hoy día uno siempre va a tener que
tener claro esto. Yo sé que a veces
cuando nos enfocamos en los contratos,
las políticas de privacidad, no pensamos
mucho más allá arriba de la ley,
digamos, sino que estamos desde la ley
hacia abajo, por así decirlo. Y pero el
fundamento de todo esto está en que
existe un derecho fundamental de las
personas, que es el derecho a la
protección de datos personales, que
también se conoce como autodeterminación
informativa, es decir, que las personas
naturales pueden autocontrolar su
información, autodeterminarse.
Ah, es muy alemana la expresión y ese es
el origen de todo esto. Y si pueden
autocontrolar esa información, una de
las formas para poder controlarlo
es precisamente el consentimiento.
O sea, usted
responsable, usted organización puede
tratar los datos cuando yo le doy mi
consentimiento. Esa esa es la lógica
inicial de todo esto por eh no es la
única, por cierto, eso es lo que vamos a
empezar a hablar un poquito, cómo
cambia, pero pero surge esto y surge
porque también tiene un contexto
jurídico más amplio de que esto viene en
alguna medida del derecho privado y en
el derecho privado los contratos están
una de las fuentes para para movilizar
esa generación de obligaciones es la
voluntad del titular, es la voluntad de
la parte. Eh, y entonces el
consentimiento tiene ese origen ya, y
que tiene hoy día un fundamento
constitucional. Entonces, yo siempre
digo, el consentimiento todo lo puede
uno puede consentir muchas cosas y de
hecho, eh si te fijas, hay varios
tratamientos de datos un poquito más
delicados
que la ley te autoriza a hacerlo si
tienes el consentimiento expreso del
titular, ¿te fijas? Em, entonces el
consentimiento viene ahí. Ahora, pero
también para la organización el
consentimiento es un poquito precario.
¿Y por qué es precario? Porque como esto
viene desde la lógica de que la persona
puede autocontrolar su información, ese
consentimiento lo puede retirar, lo
puede revocar. se le puede decir, "No
quiero que siga tratando mis datos con
este consentimiento. Yo retiro es la
organización
se queda sin esa base de ilicitud que
vamos a explicarla después y y por lo
tanto no puede tratar de eso. Solo para
cerrar rápidamente ese modelo. Hoy día e
la ley original tenía consentimiento y
autorización legal para tratar los
datos. Ah. Eh, y eso es lo que la ley
actual
cambia, cambia las autorizaciones para
poder tratar los datos. Sigue estando el
consentimiento, por cierto, mayores
contenidos, etcétera, pero hay distintas
otras bases de licitud o supuestos
legales que te permiten usar esos datos,
procesarlos, tratar, ¿ya? Y entonces el
juego entre este consentimiento y esas
otras bases de licitud es probablemente
el dilema en que están hoy día muchas
organizaciones que quieren implementar
esta ley.
Gracias, Pablo. Efectivamente está esta
evolución del consentimiento y como bien
dijiste antes era o consentimiento la
ley y si no había consentimiento nos
quedamos mirando todos
cómo trato cómo trato esos datos. O sea,
en base a qué. Y obviamente la ley
expande, la nueva ley expande un poco el
paradigma y incorpora estos nuevos
conceptos que vamos a ir desglosando un
poquito más adelante.
Eh, Rosario, muchas gracias nuevamente
por aceptar la invitación. Estamos muy
felices también que estés acá. Eh, te
quiero preguntar respecto al
consentimiento específico e en en
particular. Algo nos adelantó igual
Rodrigo, pero ¿cuáles son los requisitos
del consentimiento? ¿Por qué es tan
importante el consentimiento? ¿Qué qué
qué particularidades tiene y también en
tu experiencia con empresas
tecnológicas, entidades eh altamente
reguladas también? Eh, ¿cómo se se cómo
es la tarea de una organización de
solicitar, recopilar, gestionar estos
consentimientos y y qué cosas ocurren en
la práctica, qué errores se dan, eh qué
aciertos y qué desaciertos puedes tú
comentar respecto de esto que la ley
dice? Hay que tener el consentimiento,
pero después la práctica no no no no nos
da a entender que a veces no es tan
fácil, porque también la ley dice, "El
consentimiento tiene que cumplir con
todos estos requisitos." Entonces,
cuéntanos cómo cómo lo ves tú desde tu
visión.
Perfecto. Muchas gracias, Ignacio.
Muchas gracias, Rodrigo, por la
invitación. Feliz de participar en este
webinar, además, que es tan interesante
con un tema como el consentimiento que
se ve más simple de lo que parece, como
hablábamos de las bambarinas. Eh, y
bueno, sí, bueno, eh, yo creo que que
mucho de respondendo a tu pregunta,
mucho de esos de esos errores que vemos
eh vienen de de bueno, de todavía
nuestra vigente ley que o sea, la ley
19628,
eh que eh bueno, aparte de todos sus
problemas de inejecutabilidad,
de falta de fiscalización, establecía un
una definición de consentimiento muy
vaga y ambigua. ¿Ya? Entonces vemos
errores que que se han hecho un estándar
durante años en las formas de tratar el
consentimiento, como por ejemplo el
clásico consentimiento empaquetado, que
metemos en un sono click, todas las
finalidades del tratamiento,
eh marketing, analítica, perfilamiento,
ahora todo en uno y con eso ya estamos.
Eso eh ahora con esta nueva ley que
modifica nuestra nuestra actual ley no
no es válido. Eh tenemos también eh lo
que lo que también era una práctica eh
común eh y que no es válido es
condicionar eh eh el servicio a aceptar
estas políticas de privacidad y no hay
nunca un sentimiento libre en ningún
caso.
Ya. También tenemos
las típicas casillas premarcadas o
al registrarte, al crear una cuenta,
estás aceptando nuestra política de
privacidad, nuestros términos y
condiciones. El silencio no no
constituye afmación en protección de
datos personales. No hay no hay un
consentimiento inequívoco eh al aceptar
esta esta de esta forma. Eh, también
tenemos muchas veces que se
equivoca la base de licitud y ponemos eh
tratamientos que son necesarios para la
ejecución del servicio como eh base de
licitud del consentimiento. Entonces,
pedimos consentimiento y después,
imagínate, el usuario quiere revocar ese
consentimiento, se crea un se genera un
tremendo problema para la organización
eh en esos casos. Entonces, eh
la nueva ley eh lo que viene a hacer es
eh a dar certeza sobre este
consentimiento. Si bien muchos de los
requisitos del consentimiento ya
existían, también establece otra otras
eh requisitos para que este
consentimiento sea válido. Tenemos que
tener un consentimiento que sea previo.
Obviamente antes de de iniciar la
operación de tratamiento tenemos que el
usuario tiene que haber dado su
consentimiento, tiene que ser libre,
otorgado de manera voluntaria, sin
coersión, o sea, si no existe otra
alternativa, no hay un consentimiento
libre, naturalmente.
tiene que ser específico,
es decir, para cada finalidad un
consentimiento distinto, granular,
tiene que ser informado, o sea, el
usuario, la persona tiene que saber qué
datos están tratando, eh quién lo está
tratando, quién es el responsable del
tratamiento, cuánto tiempo los va a
almacenar, tiene que existir esa esa
información, tiene que ser inequívoco, o
sea, esta casilla premarcada o esto al
crear cuenta está aceptando cuando la
política privacidad no sirve, tiene que
ser una manifestación
afirmativa de eh voluntad del usuario o
la persona. Y como decía Pablo, el
consentimiento es esencialmente
revocable. Y bueno, ahora la ley
establece que esa revocabilidad tiene
que ser tan simple como cuando se da el
consentimiento. O sea, ahí también hay
una eh hay un desafío importante para
las organizaciones y todos estos estos
estos requisitos tienen que ser todos.
No no nos falta con que cumpla dos o
uno, tienen que ser todos. Y con todos
estos tenemos un consentimiento válido.
Claro. Y cumpliendo con todos estos
requisitos, recién podemos decir que
tenemos tenemos un consentimiento.
Exactamente.
Y y bueno, e
si ya el consentimiento de por sí eh es
complejo, la nueva ley lo complej lo
complejiza entre comillas porque al
final es lo que corresponde
eh para cualquier titular, si va a dar
su consentimiento, que sea que le
informen, que ese consentimiento sea
específico, que se sepa con exactitud a
qué le dio consentimiento. Entonces, muy
buen ejemplo el tema de las casillas
premarcadas.
Eh, pero si ya estamos, si ya las
organizaciones tienen como que cambiar
el paradigma, cambiar un poco esta
cultura de de pedir el consentimiento y
pedirlo de cualquier forma, eh
hablábamos y anticipábamos que hay
nuevas bases de licitud también de la
ley y hay un, yo lo llamo el primo
hermano del consentimiento, que es el
interés legítimo.
Y bueno, pasa mucho que el interés
legítimo, uno habla con organizaciones,
con gente de empresa que obviamente no
trabaja en este mundo,
no vive de
viendo todo el tema de datos personales
y uno le habla de interés legítimo y es
como quien lo invitó a la fiesta.
Entonces, eh quiero, Pablo, que por
favor nos puedas eh aterrizar este
concepto y también quizás dar luces a
las organizaciones de que quizás los
dolores de cabeza que podríamos tener
eventualmente con el consentimiento,
su su primo, el interés legítimo podría
un poco eh ayudarlos, pero tampoco es
llegar y decir interés legítimo a todos.
Así que cuéntanos, Pablo, un poquito en
qué consiste ese concepto y y cómo yo lo
cómo lo justifico también.
Oye, este esta es como una pregunta que
empezaba a aparecer cada vez más, eh,
pero yo yo iría un pasito atrás porque
como bien decíamos y como apuntabas ahí,
Ignacio, e
hay más bases de licitud. obra. Fíjense,
eso es importante porque eh antes el
esquema binario, ley consentimiento era
muy estrecho
y eso no necesariamente era más
protector de los datos, etcétera. Eh,
ahora tenemos más hipótesis, más bases
de licitud. Eh, y entonces ubicarse en
la correcta es relevante porque si no
puedes incurrir en una infracción grave.
Em, pero además te da mayores
alternativas en la gestión de la licitud
del tratamiento. ¿Por qué? ¿Que por qué
digo esto? Ah, porque un consentimiento
y ahí cuando Rodrigo nos mostraba la
plataforma
de tiene costos de gestión. Ya, al menos
gestionar un correo electrónico donde se
recibe la solicitud, eso tiene un costo.
Obviamente hay una persona que tiene que
revisarlo y que tiene que estar
pendiente del plazo. Los SAS como el que
mostraron ustedes eh lo que permiten es
apoyar la gestión de ese consentimiento,
¿cierto? Ahora, las otras bases de
licitud también tienen obviamente
costos, pero algunas de ellas van a ser
costos, entre comillas, jurídicos.
Claro.
Eh, y y porque suponen una calificación
legal de si esta autorización aplica o
no. Ya. Y entonces antes de de pasar una
acá tenemos consentimiento, si no
tenemos no queremos ocupar
consentimiento o o nos complica que
pasamos inmediatamente al interés
legítimo, yo diría, ojo, ¿cuál es la
actividad de tratamiento? ¿Cuáles son
los datos? ¿Cuál es la finalidad? Porque
puede ser que en ciertos casos el
artículo 13 que establece las otras
bases de licitud generales,
eh esto perfectamente puede estar dentro
de la ejecución o cumplimiento de un
contrato y eso tienen que tenerlo bien
presente las organizaciones. o puede ser
el cumplimiento de una obligación legal,
ya e o derechamente algunas son más
específicas, pero son para las gestiones
de defensa de derechos ante organismos
administrativos o tribunales.
Entonces, no necesariamente hay que caer
inmediatamente el interés legítimo. Eso
es una primera cuestión. Y y la y la el
segundo punto a propósito de lo que me
planteabas, Ignacio, e em e
bueno, ¿qué es todo el interés legítimo?
Efectivamente, aquí hay una válvula de
flexibilidad,
por así decirlo. Uno lo que hace la ley
es, mire, no siempre consentimiento,
pero tampoco siempre obligación legal o
autorización legal, sino que a veces en
el marco del contrato o en otras
actividades.
Pero en en este caso le dice a la
organización, usted vea si usted tiene
un interés, algo que que es valioso
proteger o el interés de un tercero. Y
en función de eso justificar que puede
tratar el dato sin pedirle el
consentimiento del titular o sin
descansar en un contrato o sin descansar
en una el cumplimiento de una obligación
legal, etcétera. ¿Ya? Entonces, esta es
una base de ilicitud que le pone la
carga al responsable, ¿ya? e el
responsable
unilateralmente la organización dice,
"Este es el interés legítimo que voy a
proteger." Y en función de eso,
la ley exige que el tratamiento sea
necesario para satisfacer ese interés
legítimo. ¿Y cómo pasa esto en la
práctica? eh eh en otras jurisdicciones,
otros otras regulaciones. Uno tiene que
hacer un test de interés legítimo, tiene
que confeccionar un instrumento de
compliance.
Entonces tiene un costo jurídico la
gestión de este interés legítimo en
donde uno justifica jurídicamente
en base a ciertos antecedentes de hecho
que sí tiene ese interés,
que este tratamiento es necesario para
alcanzar ese interés, satisfacerlo,
protegerlo y que este tratamiento es
proporcionado al interés que se busca
alcanzar. Aquí estoy explicando los
pasos. No, no, esto no es una clase de
de manual, para eso están los libros,
fomes, qué sé yo. Pero pero
pero esa tarea es una tarea que después
se plasma en un documento, el famoso
test de interés legítimo y en inglés el
legitimate interest assessment.
Entonces, LIA, entonces van a empezar a
escuchar, ah, es que hay que hacer un
lía. Ya es todo un lío, pero hay que
hacer un lía de Y aquí no es una
cuestión técnica únicamente, eh, sino
que es una cuestión de apreciación
jurídica. Y entonces en algunos casos le
van a decir, "Mire, eh, usted quiere
ocupar cámaras de vigilancia, no vamos a
pedir consentimiento, no tenemos
autorización legal, esto no cabe dentro
del contrato, ah, vamos a hacer un vamos
a invocar el interés legítimo, pero
entonces vamos a hacer el test, entonces
vamos a identificar cuáles son los
intereses, si es necesario, si es
proporcional y y en eso quizás vamos a
tener que tomar decisiones de
compliance, de mitigar riesgo, de decir,
aquí hay que cambiar este plazo de
conservación. Aquí hay que ponerle una
capa adicional de medidas de seguridad y
eso impacta, ¿te fijas? Entonces, no es
cosa de llegar y decir, "Si no tengo
sentimiento, me salto el interés
legítimo." Porque el mismo instrumento
te puede decir, "Mm,
¿y por qué no pedimos consentimiento
mejor?" En algunos casos impracticable,
por eso existe esta base de licitud,
pero otros casos uno puede llegar a la
conclusión de mira, mejor incurramos en
el costo, tengamos los consentimientos,
pero esto nos blinda la operación.
Perfecto, gracias Pablo. Efectivamente
viene todo un todo un análisis, todo una
reflexión que tienen que hacer las
organizaciones eh no solamente de cuándo
determinar cuándo pedir consentimiento,
sino también cuándo, como tú bien
decías, es factible ponderar un interés
legítimo y cuándo se nos complica cuando
estamos ponderando un interés legítimo.
y también hacer todo este mapeo de
obligaciones legales o cumplimiento
contrato y otras posibles bases legales
que uno podría estar quizás ignorando o
no estar tomando en cuenta. Me pasa así
un poco comentarlo con ustedes que
nuestra legislación fue muy por muchos
años consentimiento para todos.
Entonces, sufrimos un poco de
conscientitis
y a veces, no sé si les pasa, pero hay
una norma legal que yo me puedo amparar
en una obligación legal y decir yo eh
esta x norma, sí, normativa laboral que
me ampara para poder tratar esta estos
hacer esta actividad de tratamiento,
pero la misma norma me dice que tengo
que pedir el consentimiento del
trabajador. Entonces es como un loop que
volvemos un poco a lo mismo. Entonces,
para poder cumplir con la obligación
legal, igual tengo que pedir
consentimiento.
Eh, lo comento porque yo creo que es un
poco lo que tenemos que ir dejando
atrás, ir olvidando un poquito lo que es
el consentimiento como lo conocíamos y
incorporarlo dentro de este grupo de de
bases de licitudes que es como un grupo
grande de de invitados para tratar la lo
para hacer tratamiento de datos.
Sí, Ignacio, quiero hacer un alcance
también, ya que mencionaste los temas
laborales. Bueno, en temas laborales
también si tenemos altas directivas de
la de la instrucciones de la de la
dirección del trabajo con respecto a
esto y sobre todo hay temas de control y
asistencia en que efectivamente
se utilizan, por ejemplo, eh huellas
dactilares para el control de asistencia
y ahí, claro, la la dirección del
trabajo pide expresamente que también
requiere el consentimiento del
trabajador en ese caso y en ese caso es
porque estamos hablando de un dato
sensible que aparte de la base rega
legal requiere un consentimiento
explícito y expreso por parte del
titular del dato.
Claro, es que también en la dictación de
una norma, ya sea a nivel del Congreso o
a nivel de una entidad como como en el
ámbito laboral, eh no siempre eh tienen
estos temas en conciencia. Entonces, por
ejemplo, el mismo tema de la huella de
actilar, eh esa misma norma, instrucción
podría decir, bueno, y además tiene que
hacer una evaluación de impacto porque
está pidiendo datos sensibles y y usted
evalúe si corresponde o no que sea el
control de asistencia sea con datos
biométricos.
Eh, pero a veces pasa que esas cosas no
están. A veces pasa que también salen eh
salen normas o o por contingencia.
Eh, aplicamos tecnologías que de repente
son invasivas para para los titulares,
son invasivas para el tema del
tratamiento de datos personales y no nos
hacemos estas preguntas.
Eh, quiero hacer una pregunta. Pablo ya
la contestó un poco, pero así que se se
la va a bajar a Rosario para que desde
su perspectiva
eh nos comente sobre este paso previo
que hablaba Pablo, este paso previo que
tiene que hacer las organizaciones de
bueno, vamos a ver toda esta todo este
mapa de bases de licitudes, vamos a ver
cómo lo estamos haciendo hoy, es un buen
ejercicio, cómo lo estamos haciendo hoy,
que tenemos que cambiar. Eh, pero desde
tu experiencia, experiencia, Rosario,
¿cómo
cómo has visto que han enfrentado la
organización este tema? eh desde
obviamente algunas de procesos de
implementación de de adaptación,
adecuación a la nueva normativa, vienen
quizás con asesorías, obviamente ustedes
han apoyado empresas en estos temas, eh
distintos tipos de organizaciones, pero
cómo es la trastienda para una
organización, cómo toma esta situación y
y cómo tú la se la aterrizas también y
le llevas el mensaje.
Claro. Es un cambio de paradigma
tremendo. O sea, como bien decíamos,
pasamos de dos bases de licitud bastante
usadas o mal usadas con sentimiento para
todos. Ahora, este nuevo abanico de
bases de licitud que eh para mi gusto
son mejores porque no podemos depender
del consentimiento que es esencialmente
revocable para todo, pero que eh exigen
una gestión y una implementación de de
todo el tema de la protección de datos
que antes no existía. O sea, estamos
partiendo con este tema de las
implementaciones y lo primero que que
hay que hacer ver a la organización que
hablando del consentimiento, que no es
solo el check, no termina ahí con ya el
usuario del consentimiento y se acabó,
se nos olvidamos del consentimiento, hay
toda una gestión eh atrás que que hay
que tener ese seguimiento, esa
trazabilidad, esa gestión, o sea, uno de
los principios de de la de la nueva ley
que modifica nuestra actual ley
responsabilidad proactiva, o sea, el
responsable del tratamiento, la
organización tiene que ser capaz de
demostrar que dio cumplimiento a a la
normativa, que tiene válidas las bases
legales, que que está cumpliendo con los
principios y para eso hay que tener un
mapa de de los datos. O sea, no podemos
tener. Y lo que pasa en la práctica es
que marketing eh hizo un formulario web
para un concurso, tenemos un un
consentimiento por ahí, después tenemos
eh un contrato en legal de hace 3 años
que está firmado a mano, qué sé yo, por
un gestor de firmas, tenemos otro
consentimiento por la app. Entonces, eh
aparece el tema de la gobernanza, de los
datos, que es fundamental para poder
implementar la ley para complay. no
sacamos nada eh con cumplir las cosas,
independientemente hacer una cosa, si no
podemos eh acreditar y tener esta
trazabilidad para luego mostrarle al al
fiscalizador, a la agencia que dimos
todo el cumplimiento eh a la a la
normativa y ese tema de gestión es es
tremendo. Las empresas establece eh
tener que armar este modelo de
cumplimiento. La ley establece un modelo
de prevención de infracciones que es
voluntario, pero que para implementar la
ley de todas formas hay que hay que
hacer un modelo de de gestión. Entonces,
eh es algo que las empresas ya están
trabajando. Yo por lo menos estoy
contenta con las empresas que me ha
tocado verl porque noto la preocupación
desde desde el CEO hacia abajo y eso es
muy importante porque los liderazgos son
los que tienen que marcar esto para que
eh una cosa es cómo implementamos la
norma y otra cosa es el tema cultural
para que realmente eh
penetren las organizaciones y se haga
esto desde el diseño de productos, que
también es es uno de los principios que
que invoca la ley. también muy
importante en el consentimiento y muy
importante son los derechos del titular
de datos que también hay que
gestionarlos, o sea, no sacamos nada con
de un consentimiento y después quiere
hacer, ¿vale?, su derecho y no tenemos
idea como eh dónde está ese
consentimiento ni qué versión de la de
la política privida fue. Eh, tenemos que
gestionarlo de manera rápida, que para
eso tenemos que utilizar herramientas de
compliance, como decía Pablo.
Correcto. Pablo, ¿quieres agregar algo
más sobre este punto?
Em,
yo quiero que me
solo para agregarte tu respuesta, pero
quiero que también nos comentes cómo ha
sido tu proceso también de
concientización con las organizaciones,
eh, porque podemos hacer un registro muy
lindo con estas subos bases de licitud,
pero bueno, ¿cómo lo aterrizamos
después?
Mira,
dos puntos a propósito de lo que decía
Rosario, porque efectivamente
nada que agregar de cómo se trabaja
esto. Em pero uno de los puntos que
decía Rosario es bien clave. El modelo
de prevención de infracciones
es voluntario,
sí, pero es una metodología, o sea,
digamos, tiene los elementos de una
metodología que te permite cumplir con
la ley. O sea, si tú no haces el modelo,
igual tienes que cumplir con la ley. Eso
es obvio, ¿no? ¿Cómo cumples con la ley?
Entonces, eh lo primero que tienes que
saber es qué haces con los datos,
digamos. Ah, bueno, el modelo de
prevención de infracciones tiene dentro
de sus elementos obligatorios para para
certificarse el registro de actividad de
tratamiento, ¿ya? Entonces, tú tienes el
registro de actividad de tratamiento y
empiezas a llenar. Ya yo ocupo los datos
en el área de trabajadores o
colaboradores para esto, esto, esto,
esto. Entonces, tengo cuatro actividades
de tratamiento, por ejemplo, y a esa
actividad de tratamiento
tengo que ver, bueno, quién es el dueño
procede, eso eso, que s yo, pero la base
de licitud, la finalidad, las categorías
de datos, en fin, todo, toda esta toda
esta planilla, toda esta métrica es
relevante para que la organización diga,
"A ver, en este caso estamos usando
estos datos, tenemos base de licitud e,
o sea, eh, por ejemplo, estos
consentimientos tan válidos o puedo
enmarcarme en otra y ahí recién se
empieza a hacer estas preguntas.
Entonces, y esto es bien relevante
porque varias de estas preguntas van a
ser eminentemente jurídicas.
Ah, no te sirve un inventario de datos,
por ejemplo, para esto, porque tú tienes
que resolver que si ese dato sensible lo
puedes tratar con la base de licitud que
estabas invocando.
Y perdón, y esto no es un riesgo e
digamos marginal,
eh en algunos casos va a ser el riesgo
que afecta al giro de la operación. ¿Por
qué? Porque equivocarse en la base
jurídica, la base de licitud,
supone un riesgo de infracción grave.
Las infracciones graves se sancionan de
la amonestación hasta las 10,000 UTM, es
decir, alrededor de los 670 millones de
pesos. Entonces, no es casual que para
poder cumplir con la ley uno tenga que
hacer un RAT en donde desglosa la
actividad de tratamiento y para cada
actividad de tratamiento tengo que ver
la base de licitud y ahí tengo que ver,
necesito consentimiento,
¿sí? No, puedo hacerlo con otra base de
licitud, ¿sí? No, necesito interés
legítimo. Bueno, sí, eh, entonces tengo
que hacer un test de interés legítimo y
eso lo voy consignando, ¿te fijas?
Entonces, eso es una primera cuestión
que quiero añadir a a a lo que planteaba
Rosario, porque esto se empieza a
juntar. Entonces, lo que me ha pasado eh
viendo, acompañando a a personas que
quieren implementar esta ley es que uno
les dice, "Mire, usted puede querer
certificarse o no, pero igual va a tener
que en algún momento hacer algo parecido
a un registro de actividad de
tratamiento, al menos una evaluación
inicial de actividad de tratamiento y
para eso va a tener que calificar
jurídicamente
su autorización legal, ya su base de
ilícitud. Ah, y y ahí entonces, claro, y
ahí empiezan los problemas, ¿no? Esto lo
esto va a ser con un consentimiento.
Este es el consentimiento que tenemos.
Sí, es que se no cumple. Ah, chuta, ya.
Eh, bueno, es que si no cumple es
infección grave. Ah, ya. Okay, vamos,
vamos a corriir.
A veces las organizaciones no quieren
cambiar el consentimiento, no quieren
volver a pedir consentimiento. Eso es
fricción, eso es lentitud, eso es
costoso. Hay que gestionarlo, como
decíamos. ¿Ya? Eh, bueno, pero es que,
¿cuál es el riesgo? El riesgo de no
hacerlo es que alguien sostenga que ese
consentimiento es inválido y por lo
tanto la actividad de tratamiento carece
de base de licitud y por lo tanto supone
una infracción grave. Ese es el punto.
Ya. Y ojo, eh, por qué por qué todo esto
es tan determinante? A mí las bases de
licitud me son uno de los temas que más
me importan en materia de protección de
datos, porque es la puerta de entrada
para el tratamiento.
Si tú no tienes base de ilicitud, se te
cae todo. Y por eso la ley eh lo pone
como infracción grave, no infracción
leve, digamos. Y y en ese punto, fíjate,
e
no tienes una cuestión de hecho, o sea,
está bien, tienes que ver qué datos,
cómo se trata, etcétera, pero es una
cuestión jurídica. Esto cabe dentro de
la ejecución del contrato.
Este consentimiento es válido porque es
previo, porque es libre, porque no tiene
Esas son calificaciones jurídicas.
Entonces aquí los abogados, abogadas
tienen que dialogar con el resto la
sobre todo marketing,
clientes, comercial e bueno, ahí cuando
tienen que implementar cosas. Eh, y
entonces tienes que hacerle esa
pedagogía de, mire, sí, antes lo
hacíamos así, pero ahora la ley exige
todo esto ya y hay que hacerlo así,
distinto, hay que volver a pedirlo y hay
que decirle, bueno, es que si no lo
volvemos a pedir, nos ponemos una multa
hasta de 670
millones de pesos, eh, y que si
reincidimos,
si somos una empresa mediana, puede ser
multiplicada hasta por tres. Entonces
ahí, claro, un CEO inteligente, un
gerente general inteligente va a decir,
"M tenemos riesgo, ya debemos alinearnos
en esto." ¿Te fijas?
Gracias, Pablo. Me gusta la la
cronología que fuimos armando hasta este
punto del webinar porque obviamente
partimos
preguntándonos primero por el
consentimiento, qué era, aparecieron
estas otras bases de licitud y y aquí
bien Pablo eh da esclavo en el sentido
de que las bases de licitud al final son
el cimiento, son el es donde nos vamos a
parar de aquí en adelante. O sea,
determinando la bases de licitud,
tomamos las decisiones de negocio, vemos
para dónde va a navegar el barco y y
Rosario también dijo un concepto muy
importante que es el diseño de un
producto, o sea, esto tiene que estar
desde el diseño y agregarle o el
rediseño de un producto, porque el hecho
de que tengamos un producto diseñado de
algunas maneras no quiere decir que que
esté cumpliendo con la normativa de
protección de datos. Podrá cumplir con
otras, pero datos eh tiene otra otra
lógica.
Entonces, y Pablo mencionaba el registro
de actividades, que al final es como
donde se engloba todo esto, donde
podemos mapear qué actividad estamos
realizando, cuál es la base de licitud
que nos vamos nos vamos a parar, vamos a
sustentar y vamos a defender el día de
mañana, que es la es la correcta.
Eh, y pasamos ahora a la siguiente
página. Bueno, dejemos de lado la otras
de base de leicitud, volvamos al
consentimiento
y decidimos gestionar consentimiento.
Vamos a estas actividades que ya las
tenemos identificadas, tienen como
solicitud el consentimiento.
Rosario, desde desde tu perspectiva, una
vez que tú ya definiste y quieres
quieres gestionar el consentimiento y
definiste que vamos a gestionar
consentimiento en estos casos
particulares que ya están identificados,
cuáles son los desafíos entonces ahora
para una organización desde desde el
punto de vista operativo. Lo comentaba
un poquito anteriormente, pero ya
estamos ya estamos en tierra derecha en
vamos a gestionar consentimiento. ¿Qué
desafío
se presenta?
Sí, bueno, eh la el desafío operativo yo
creo que es el más importante, como les
decía, ya el consentimiento ya, okay,
tenemos el cheque y ya la empresa dice,
"Okay, listo, me olvido." Y y no, ese es
como el comienzo de todo. Ahí tenemos
que eh el desafío operativo es eh
mantener esa trazabilidad de este de
este consentimiento, eh tener eh los
mecanismos para que el titular de los
datos después pueda ejercer sus
derechos, eh revocar el consentimiento
eh y y para eso eh aparecen un montón de
de temas, o sea, tenemos eh
consentimientos que los manejan
proveedores,
si el usuario
quiere revoca el consentimiento. Listo,
yo le revoco el consentimiento, pero
tengo que tener sincronizados los
sistemas porque no lo voy a revocar por
un lado y después le siguen llegando
mail de mi proveedor que yo no no fue
notificado, no lo tenía unificado.
Entonces, es toda una gestión de ese
consentimiento
a través de de esta gobernanza, de de
esta trazabilidad que implica este este
principio de responsabilidad proactiva,
que eh
la carga de la prueba en el fondo se la
lleva el responsable de los datos, o
sea, la empresa es la empresa la que
tiene que demostrar su cumplimiento ante
la autoridad. Eh, no es el usuario que
tiene que decir, "Oye, yo presenté estos
datos." No, la empresa le tiene que
decir, "Mira, recabé este
consentimiento. Eh eh fue esta versión
de de la política, fue en tal fecha,
aquí lo tengo, aquí tenemos registrado."
Tiene que estar super bien documentado
todo este modelo de manera unificada. Y
bueno, eh ahí como decía Pablo y yo eh
soy más enfática que Pablo que que
decía, "La empresa decidirá si puede
tener un rato, o no." Para mí es
fundamental el rat, o sea, no se puede
hacer una implementación de la de la
nueva ley de protección de datos sin
tener este RAT eh y eh estos modelos de
de gobernanza de de gestión de de esta
base legal para después poder hacer el
accountability y probar en auditoría de
que se gestionó eh adecuadamente esta
base legal del consentimiento.
Yo estoy totalmente de acuerdo contigo,
Rosario, que no se puede gestionar, o
sea, no podemos hablar de consentimiento
sin antes haber tenido haber diseñado un
registro de actividades
y aunque no sea legal, porque la ley no
lo exige, lo exige,
eso mismo iba a decir que se eche un
poco de menos la normativa, que no no lo
menciona ni
ni de pasada. Bueno, hay algunos que
dicen que lo menciona en una parte, pero
eh es discutible. A mí me gustan las
cosas con con su nombre, o sea,
registro, actividades, eh título,
definiciones, ahí tené que estar
efectivamente. Eh, Pablo, bueno, viendo
todos estos desafíos operativos, eh, y
desde lo que te desde tu experiencia, de
lo que te te ha tocado ver, eh, digamos
que un una organización te pide, Pablo,
sabes que vamos a gestionar
consentimientos, pero necesitamos un
sistema de gestión de consentimiento que
nos que nos ayude con todas estas
obligaciones que nos exigen la ley. ¿Qué
qué tú le recomendarías a esa persona
que te dice, "Necesito que me ayudes a a
crear este sistema?"
¿Qué debería tener un buen sistema de
gestión de consentimiento para que el
día de mañana cuando haya que rendir
cuenta, ya sea con el titular, ya sea
con la agencia, podamos estar tranquilos
de que estamos cumpliendo con todos los
puntos de la ley. No te que nos
menciones todos los puntos, pero ¿qué es
lo que para ti desde tu perspectiva
debería tener un buen sistema de gestión
de consentimiento?
Mira, bueno, a ver, ojo con esto. E eh
porque a veces uno cree que tiene que
sacar, no sé, 2 millones consentimientos
y no es así, digamos. A veces tiene que
gestionar consentimientos, son pocos
consentimientos, ya, a veces son muchos.
Entonces, primero hay que ver
un tema de magnitud. Ya, eso es una
primera cuenta. E porque como decía, o
sea, una empresa pequeña
que es business to business, B2B, por
ejemplo, y e que claro, en algunas
ocasiones tiene que recopilar algunos
consentimientos, probablemente
su gestión va a ser simple.
Entonces, lo primero que tiene que
revisar es, bueno, a ver, ¿cuántos
consentimientos de qué tipo, cuál es su
interacción, dónde está su riesgo, ese
tipo de análisis? Uno tiene que hacerse
esas preguntas primero, ¿ya? Entonces,
una empresa pequeña o mediana, B2B, que
tiene pocos consentimientos sobre
algunos datos que no son datos
sensibles.
Bueno, quizás un sistema
sencillo en donde pueda hacer la gestión
documental de aquello, puede ser
obviamente electrónico o incluso físico,
pero que tenga el respaldo de aquello,
que pueda certificar su vigencia,
etcétera.
Bueno, y que después lo pueda demostrar
cuando tenga que hacerlo ante una
eventual fiscalización. Eso eso no es
una realidad muy distinta de varias
organizaciones. Ojo, eh,
por eso es importante calificar primero
la base de licitud, porque quizás varios
de los tratamientos de datos están ahí
dados por cumplimiento de las
obligaciones legales o ejecución de los
contratos ah, tanto respecto de sus
clientes, que son la mayoría personas
jurídicas, o de sus trabajadores, porque
gran mayoría de los tratamientos de
datos son cubiertos por esas bases de
licitud en esos casos o los proveedores
incluso también. Entonces, ojo con eso.
Ahora, una empresa que aspira a vender
las cientos o miles o millones de
clientes, obviamente
gestionar esa magnitud es muy distinta.
Entonces ahí tú tienes que tener un
sistema claramente que primero te
permita la gestión documental. ¿Ya? Es
una cuestión básica. Ah, obviamente las
organizaciones cada vez están más
preocupadas de la gestión documental
legal, ¿ya? Y hay una serie de software
asociados a eso. Eh, es un primer paso,
pero ese debe permitirte una
recuperabilidad relativamente rápida
a reaccionar frente a los requerimientos
de los titulares de datos y también de
la de la autoridad. ya te debe permitir
interconectarte,
como bien decía Rosario, con quienes
tratan datos a cargo tuyo. Entonces, el
típico caso de que tú tienes una
organización y uno de tus proveedores es
el que envía
eh el mailing,
la publicidad, ya eh el titular da de
baja, revoca su consentimiento, se se da
de baja respecto de la organización,
pero la organización no comunica ah por
déficit técnicos, por ineficiencias, por
negligencia, no comunica eso a sus
proveedores, en este caso, a quien envía
el mailing y el mailing le llega de
nuevo, ¿te fijas? Entonces, hay un
tratamiento de datos sin base licitud.
Eso es ya e o derechamente también puede
haber infracciones a e el ejercicio de
los derechos e en este caso si si pido
supresiones de datos, entonces eh tiene
que tener esa esa y por último tiene que
tener una integridad de la información,
digamos, una calidad de esa de ese de
ese consentimiento que está actualizado
debidamente. Yo creo que esos elementos
son claves. Entonces, ahora para eso hay
distintas soluciones. Por eso te decía,
eh, obviamente en la magnitud, yo yo
sugeriría un SAS, eh, creo que eso es
hay alternativa. Lo que pasa es que
claro, ahí uno empieza a visualizar el
costo de la gestión del consentimiento.
Ya. Ahora, si si son pocos
consentimientos, supongamos que es una
empresa B2B y tiene control e biométrico
de instalaciones, pero es para son 25
trabajadores. No, si son 25
consentimiento,
eso es fácil de gestionar legalmente y
documentalmente. Entonces, no te fijas,
eh, ojo con eso. Ya.
Ahora, si tú quieres apoyar en esa base
de licitud, en el consentimiento,
tu operación desde el punto de vista de
de tratamientos de datos, entonces
tienes que ponerle especial ojo, porque
a diferencia de otras,
tú tienes que recuperar el papelito, el
registro electrónico, lo que sea, la
evidencia. Ya, cuando yo digo que estoy
tratando un dato para
eh cumplir una obligación legal, es muy
distinto. Yo digo, esta es la obligación
legal, se me aplica por tales razones,
etcétera. Es es es un análisis de
calificación jurídica que puede ser más
o menos difícil, pero pero relativamente
sencillo y se y una vez que es correcta
se sanja, ¿te fijas? No tienes que
mostrar un papelito, copia y pega esa
fundamentación. Entonces, ese es el
punto de de los sistemas. Ya.
Gracias, Pablo. Eh, mencionabas por ahí
el tema de Bueno, yo creo que es
importante el volumen que lo que
comentabas de de bueno, ¿cuántos
consentimientos estamos estamos
tratando? Eh, ¿es un gran volumen o un
gran volumen? Y ahí quizás podemos pasar
del hacer este quiebre entre procesos
manuales y procesos que son apoyados con
plataformas, con sistemas más robustos
que te ayudan a mantener esta
trazabilidad y no ir a buscar el
papelito al al a la carpeta, sino eh
tener la información, tener la
trazabilidad de de cuándo se prestó ese
consentimiento, qué dónde.
Pero aunque tengamos el proceso manual,
como bien decía Pablo, aunque tengamos
esta opción de hacerlo más más simple,
no quiere decir que no tengamos que
rendir cuenta y no tengamos que tener
trazabilidad y no tengamos que tener
también claridad de quién dio
consentimiento, a qué dio
consentimiento,
a qué política está aplicando el día que
dio el consentimiento.
Entonces, son varias preguntas que se
nos van complicando también al final del
día, porque se necesita una persona que
esté o más de una persona que esté a
caballo con estos temas, que esté ahí,
oye, veamos bien dónde firmó el
documento, dónde prestó el
consentimiento, qué dice el texto legal
y un millón de etcétera.
Rosario, para complementar también un
poco lo que lo que nos decía Pablo,
quizás tú lo has visto un poco más con
entidades reguladas que o entidades que
también tienen una ciertas directrices
que hay que cumplir más aparte de la
normativa de protección de datos. Eh,
¿cómo has visto tú este proceso de
migrar un poco a plataformas que te
ayudan a gestionar el consentimiento y y
que te y que en el fondo te ayudan a
cumplir con todo este montón de
obligación y este trazabilidad,
rendición de cuenta y todo lo que
estábamos hablando. Eh, ¿cómo es ese
proceso de migración? Y y bueno, amplio
la pregunta para ambos también, que
yo creo que le ha tocado ver a
organizaciones que es como, ya, bueno,
sabes que no se nos escapó de las manos,
no lo podemos gestionar de forma manual,
vamos a tener una multa y esta es la
multa grave que decía Pablo, eh, ¿cómo
han visto este proceso de migración y y
qué recomiendan también durante este
proceso?
Sí. Bueno, eh lo que decía Pablo es
clave, o sea, eh distinguir entre si
tienes eh cuántos usuarios, cuántos
tratamientos, eh la cantidad, si tienes,
no sé, más allá de de una determinada
cantidad, se hace imposible gestionarlo
de manera manual. O sea, eh
sencillamente eh es muy eh difícil eh
tener la trazabilidad y si sumamos a lo
que decías tú, Ignacio, que no hay una
persona, no tenemos todavía este rol del
delegado de protección de datos
instalado eh en las empresas que no hay
una persona encargada, especializada, o
sea, eh el apoyo de plataformas, el
apoyo de de temas que puedan automatizar
estos datos y asegurarnos una
trazabilidad para cumplir con este
principio que repito, muchas veces
durante el webinar, pero que es la base
de esta ley, el principio de
responsabilidad proactiva, se necesita
tener esto en
sistemas
que que puedan acreditar el
cumplimiento, tener la trazabilidad. Eh,
y y bueno, si todavía tenemos va a
empezar a surgir la figura de este
delegado de protección de datos
personales, que tampoco es obligatorio
eh en la ley eh en Europa, en el
Reglamento de Protección de Datos
Personales tampoco es obligatorio,
solamente a partir de una determinada
cantidad de trabajadores ya se pide esta
figura, pero también es es fundamental y
y con el modelo de prevención de
infracciones sí van a va a requerir un
delegado de de protección de datos
personales y que y que tenga tenga a
cargo toda esta gestión de de
tratamiento de datos, porque eh no es
simple, no es como ya tengo el
consentimiento, tengo la base legal,
primero hacer todo ese ese mapeo, todo
ese RAT que tiene una parte jurídica muy
importante y y que también requiere de
de de esta de este diagnóstico, de estar
con todas las áreas. Este es un tema
transversal a todas las áreas. Entonces,
eh tiene que existir por un lado este
este apoyo eh tecnológico que que que si
no se hace imposible si tienes muchos
tratamientos. Eh aparte que que la ley
lo menciona expresamente en el artículo
10 e en el ejercicio de derechos de los
titulares, la ley establece que los
responsables tienen que establecer
métodos, medios tecnológicos y eficaces
para eh que los titulares puedan ejercer
sus derechos. Entonces, eh más claro
echarle agua.
Claro. Ahí hay una clave, una pista que
nos da la ley que muy bien, usted puede
hacerlo como usted quiera, pero si había
un medio que era el adecuado, usted
tiene que tomarlo y vos explicarme por
qué no lo tomó.
Pablo, eh, bueno, quiero primero
agradecerte por por haber asistido a
este webinar. Pablo tiene otros
compromisos, así que nos va a dejar un
poquito antes. Eh, no va a poder
responder la cantidad de preguntas del
público que tenemos, así que
hacemos otro. Después
hacemos otro, te la mandamos por interno
y las publicamos.
Eh, pero solo para cerrar este este
último punto que estamos hablando de de
cómo migramos a estas plataformas, cómo
vamos migrando y a gestionar estos
consentimientos de manera más
automatizada, de forma más
tecnologizada.
¿Qué recomiendas tú? ¿Cómo lo ves tú?
¿Qué qué nos puede aportar desde tu
experiencia?
Sí, yo creo que eh es que, a ver, hay
empresas, hay organizaciones que
entendieron prontamente cuando se
publica esta ley el desafío que importa
esto. Ya hay empresas que recién ahora
quieren hacer un diagnóstico. Eh,
entonces estamos hablando que esto entra
en vigor pasado mañana, digamos.
Entonces, cuando recién vamos a ver, ah,
nos sirve este consentimiento, tenemos
que actualizarlo, tenemos que volver a
pedir consentim, entonces es un es un
problema. Ya. E y en respecto de ese
punto e
eh aquí es buena la el es super bueno el
match entre una asesoría jurídica
que no te hace incurrir en costos
necesarios
eh y un soporte tecnológico que te
acompaña en la implementación.
Si eso es eh eh ese matrimonio, digamos,
eh
facilita
implementar esta ley y ejecutarla en la
práctica. Ya e a mí me ha pasado que yo
veo algunas cuestiones, algunas
apreciaciones y me dicen, "Sí, y aquí
vamos a tener que sacar consentimiento."
Y yo les digo, "¿Y pero para qué?" O
sea, esto les va a costar. y y
eh con riesgo bajo o muy bajo o casi
nada, les queda muy bien esta base de
licitud, digamos, eh sobre todo en un
comienzo. Entonces, claro, ahí y y
claro, cuando hay consentimiento
importante, la herramienta tecnológica
es clave, es clave porque te ordena,
porque ahora esto siempre tiene un
problema que las organizaciones primero
no quieren otra capa más de compliance,
otro software más. Entonces ahí las
herramientas tecnológicas tienen que
conversar, tienen que ser bien dúctiles.
Eh, porque efectivamente el estrés
regulatorio en términos de compliance ha
sido alto en muchas organizaciones,
delito económico, ley caring, algunas
tienen libre competencia y ambiental. Y
si además sumamos, digamos, algunas son
ley marcos cibers seguridad, pero ahora
llega al final cuando ya hay poca
energía, digamos, hay pocos recursos,
además, llega el único compliance que se
le aplica a todos,
a los organismos públicos, a los
organismos privados, con fines de lucro,
sin fines de lucro. Da lo mismo. Si eres
B2B, da lo mismo. No hay ninguna empresa
que esté hecha solo por robots o
computadores, que le ofrezca productos,
o servicio a robots y computadores. No,
siempre hay un ser humano detrás. Hay un
representante legal, hay un trabajador,
hay un contratista. Entonces este
compliance que llega al final con una
agencia que va a fiscalizar a todo el
sector privado y a toda la
administración del Estado, fíjense, no
hay ningún regulador
que tiene tantos sujetos obligados como
la futura Agencia de Protección de
Datos. No lo tiene la Contraloría, no lo
tiene la ANSI, no lo tiene ninguna
superintendencia.
Este es el único compliance, a mi
juicio,
de carácter realmente universal.
Porque hoy es imposible operar sin datos
personales.
Entonces, en ese contexto, obviamente
necesitas un acompañamiento legal y
técnico que te facilite, digamos, la
implementación y minimice los riesgos de
infracción.
Gracias, Pablo. Qué buena frase de
cierre sacaste que este es un compliance
universal. Voy a tomar nota si me
permites robártela.
Si me citas, no, no hay problema.
Si te citas.
Oye, Ignacio Rodrigo, muchas gracias por
la invitación. Me tengo que retirar,
pero fue un gustazo. Ah, y compartí con
Rosario. Ah, creo que estamos muy de
acuerdo en muchas cosas.
Gracias a ti, Pablo, por aceptar la
invitación y eres eres libre de
retirarte y te invitaremos.
Tremenda clase. Buenísima.
Bueno, Pablo hace clases también, así
que a los que quieran tomar un curso con
él, bienvenido. Rosario, ¿te puedes
quedar unos minutitos para responder?
Tenemos muchas preguntas, la verdad
quiero agradecer a todos los que la
gente que ha preguntado.
Está
te quedaste sin auditó el audio.
Habíamos dicho, tengo hasta las 125
también. Ya, 5 minutos.
Ya. Entonces, sí, por eso solamente te
voy a hacer una dos lo que alcancemos a
contestar, ¿eh?
Y bueno, y agradecer también a la gente
que pregunta y veo que cada vez el nivel
de pregunta, el detalle se nota que
están sufriendo con con la
implementación de esta de este compra
universal.
Sí, ahí Pablo Pablo escapó de las
preguntas que yo también estaba viendo
el detalle de preguntas est
Mira, no solamente para para agarrar
algunas, hay algunas bien interesantes.
Eh, esta me parece bien importante
responderla respecto a los sujetos
obligados ante la WF. Eh, ¿cómo cómo
pasa? ¿Qué pasa ahí con el
consentimiento? Creo que hay también un
tema conceptual que hay que abordar.
Sí. Bueno, eh como hablábamos eh eh hay
que hacer el levantamiento de las fases
de tratamiento y las obligaciones de la
UAF responden a una ley. Entonces en ese
caso, la base legal sería la ley y ahí
no necesitamos el consentimiento y es
mucho mejor porque la WAF establece eh
un plazo de a lo menos 5 años para de
conservar estos datos eh una vez
terminada la relación. Entonces, eh es
importante porque con el consentimiento
muchas veces es que es revocable, ¿no?
No se pueden estas cosas, lo que no
implica tener esta base legal, lo que no
implica que que no se deban cumplir los
principios de la ley, la
confidencialidad, la seguridad,
etcétera. Entonces, que que no sea el
consentimiento de la base legal, sino
que sea la ley, no significa que se
puede mantener de cualquier forma. Igual
hay que eh mantenerlo con las eh los
principios y obligaciones que establece
algo.
Claro. Ahí. Bueno, nuevamente nos hizo
la pregunta eh Imón. Sí. Eh ahí
nuevamente la invitación es a revisar
qué procesos qué se está realizando
respecto en específico cumplimiento de
la normativa de la web.
el R, revisar la norma, cuáles son los
norma, cuáles son los datos que te pide
datos que te pide y que y qué datos de
y que y qué datos de eso responden a lo
eso responden a lo que son
que son
exactamente hay cosas que van a caer de
exactamente hay cosas que van a caer de
cajón dentro de la norma, otras temas
cajón dentro de la norma, otras temas
que las empresas también realizan y
que las empresas también realizan y
claro que salen de de esa esfera y sería
claro que salen de de esa esfera y sería
entramos al consentimiento, interés
entramos al consentimiento, interés
legítimo,
legítimo,
lo que lo lo que no sea consentimiento,
lo que lo lo que no sea consentimiento,
claro, pero un tema relevante porque
claro, pero un tema relevante porque
este tipo de preguntas que se tienen que
este tipo de preguntas que se tienen que
hacer la organización el R, revisar la
hacer la organización ones eh en se o se
tenían que haber estado haciendo hace un
rato atrás, pero que se pueden hacer
seguir haciendo de aquí en adelante.
Una última pregunta de Sebastián, que de
las últimas que tengo acá, respecto de
la biometría con trabajadores,
e si tengo la obligación de mantener un
solo tipo de registro de asistencia
y no tengo el consentimiento
de todos los trabajadores, entiendo aquí
en este caso, tendría que cambiar el el
tipo de registro de asistencia, ya no
puedo tener biometría si no tengo los
consentimientos, creo que esa es la
pregunta de fondo. Ya, a ver, no, si yo,
o sea, si yo la la biometría no es una
obligación como como de del estos
sistema de control y asistencia, no es
una obligación, sino que está habilitado
por la DT. Y hay que ver qué qué
directrices va a entregar la nueva
agencia respecto de de estos usos, la
nueva agencia con respecto a la ley de
protección de datos, porque la la los
instructivos de la ET siempre se remiten
a la ley de protección de datos también
que que tienen que dar cumplimiento. Si
una persona no acepta tratar sus datos
vía biometría, tendrá que volver al un
medio menos invasivo respecto de esta
persona, ya sea incluso si no es por
medios digitales, se tendría que volver
incluso a puño y letra si esta persona
lo requiere de esta forma,
porque un consentimiento es base para
poder cumplir con la
Exacto. Hay normativa de la inspección
de trabajo en este sentido. Y ahora y lo
que va a pasar de aquí hasta diciembre y
y más es que todavía va a faltar que
diga la Agencia de Protección de Dato
porque bueno, para todo la Agencia de
Protección de Dato se va a pronunciar
sobre estos temas y va a ser el ente
técnico llamado a resolverlo.
Exactamente.
Entonces está
y además claro es un tema de biometría
que con la nueva ley es un dato
expresamente declarado sensible.
necesita eh aparte de la base legal, un
consentimiento eh explícito eh y también
tiene que ser libre, o sea, frente a la
biometría siempre hay que ver si no hay
un un método menos invasivo y tener
alternativas porque ese consentimiento
en ningún caso va a ser libre si no
tenemos otra alternativa.
Exacto. Y ahí después vienen otros
conceptos de webinar que hemos hablado
antes como la evaluación de impacto.
Ya, o sea, también eso eso ya eso ya es
específico ya para dato ya eso ya es
poner los refinados, pero es lo que
viene también, o sea, efectivamente
ex Entonces no se agota solamente si
tengo o no tengo el consentimiento
también. Claro, si vamos a tratar datos
sensibles, si vamos a tratar datos a
gran escala, eh se va a tener que hacer
una evaluación de impacto, ¿no? Si esto
es un tema que no es como cumplo acá
puntualmente, es un sistema de
cumplimiento en vivo y como decía Pablo,
¿cuál es la frase? Que es como el
sistema de cumplimiento más eh
universal, compliance universal.
Claro. Así que
y tiene un punto porque la agencia va a
fiscalizar a todos.
Claro. Y puede fiscalizar de oficio, o
sea, ni siquiera por un reclamo del
titular, imagínate.
Oye, quiero agradecerte, Rosario, por tu
tiempo, por aceptar nuestra invitación.
Estuvo muy entretenida la conversa, así
que ojalá poder repetirla en otra
ocasión.
Sí, ¿no? Muchas gracias a ti, Ignacio.
Muchas gracias, Rodrigo. Pablo también
increíble su su exposición del tema,
superinesante el tema. Dio para muchos y
bueno, muchas gracias por la difusión
que hacen los webinar. son muy buenos y
yo siempre los estoy mirando, así que
gracias Rosario. Bueno, eso intentamos
siempre desde Ley de Atost poner estos
temas sobre la mesa y también ir con
recogiendo los dolores que también
nuestros clientes tienen, irlo
recogiendo y llevarlo a un webinar para
para poder conversar sobre estos temas y
y que al final son eh son las realidades
que está viviendo cada organización. O
sea, tú lo ves por tu lado con tu con
las personas con las que tú trabajas,
nosotros lo vemos por nuestro lado, eh
nuestro público también lo hace presente
con la cantidad de preguntas. Así que eh
estamos muy contentos de hacer estas
instancias. Así que solo para cerrar eh
invito a todos a visitar nuestra página
web eh leydedatos.com
eh agendar una demo para conocer nuestro
gestor de consentimiento y las demás
soluciones que tiene ley de datos.
También tenemos cursos de capacitación
respecto de la nueva ley y obviamente
para cerrar este video va a quedar en
nuestro canal de YouTube donde pueden
visitarlo, revisitarlo y estudiar todo
lo que se conversó acá. Eh, contamos con
el consentimiento de Rosario para
publicar en YouTube, pero puedes
revocarlo cuando quieras.
Ya. Muchas gracias a todos. Hasta luego.