Webinar LeyDeDatos.com - Modelo de Prevención de Infracciones

Ahí estamos
grabando. Y bueno, ¿de qué se trata la
sesión de hoy día? En nuestro webinar
vamos a estar hablando del modelo de
prevención de infracciones, donde
tenemos a dos grandes invitados. Por un
lado, a Jimena Rojas, ella es directora
legal de IQU y a Marcelo Drago, que se
suma en unos minutos, que estaba recién
en Tele 13, eh socio Data Compliance.
Les recordamos seguirnos en LinkedIn,
que pueden agendar su demo en
lidatos.com y que la grabación va a
quedar en nuestro canal de YouTube.
Entonces, algunas indicaciones que
queríamos comentarles a ustedes. Eh,
pueden dejar sus consultas en el chat.
Eh, habrá una runda de consultas al
final, o sea, la idea es que ustedes
dejen sus consultas en el chat y al
final les vamos a hacer un par de
preguntas a los a los invitados. La
grabación para nuestro canal de YouTube.
Nos pueden seguir en LinkedIn, pueden
agendar su demo y también les recordamos
que pueden iniciar su capacitación en
leadatos.com/capacitaciones. Un curso
asincrónico con 8 horas de contenido
para iniciar este camino en la ley de
protección de datos personales. ¿Cuál es
la agenda hoy día? Hoy día tenemos las
definiciones claves del modelo de
prevención de infracciones, el
fundamento del modelo y el rol del DPO
en este modelo de prevención de
infracciones, levantamiento de
actividades y evaluación de riesgos y
certificación, reportería y buenas
prácticas en el modelo de prevención de
infracciones. Entonces, nuestros
invitados, por un lado tenemos a Jimena
Rojas, que estamos muy agradecidos de
que haya aceptado nuestra invitación con
Sultana Preta Agenda. Ella es directora
legal en Quú, directora del programa de
inteligencia artificial y derecho en VP
en Transamb Marina. Me contaba que eran
cuatro programas lo que ella es
directora. Ahí les puede contar un
poquito más. También es eh directora en
programa de formación para DPO en la
UDP, abogada de la Universidad Diego
Portales y postítulo en economía y
finanzas en la Universidad de Chile. Por
otro lado, Marcelo Drago, es socio Data
Compliance, expresidente del Consejo
para la Transparencia, presidente de la
AGDP Chile, director del diplomado de la
Universidad Central en protección de
Datos Personales y él es máster en
Administración Pública en Harvard y
abogado de la Pontificia Universidad
Católica de Chile.
Entonces, el modelo de prevención de
infracciones y les queremos hacer muy
muy breve una pequeña introducción a
nuestros invitados para que partamos con
esta conversación de manera más
avanzada. Eh, el modelo prevción de
infracciones es un modelo que es un
programa voluntario, o sea, no es
obligación que las empresas lo tomen, no
es un requerimiento que la ley nos va a
pedir, pero es un modelo de programa
voluntario de cumplimiento diseñado para
prevenir las infracciones a la ley
21719. está en su artículo 48 y 49 de la
ley. Ahí se unió Marcelo Drago. Lo vamos
a hacer co-host. Denme un
segundo. Y el objetivo de este proyecto
de ley es demostrar la debida diligencia
eh de la organización en la protección
de datos. Y como les decía, de
naturaleza no es obligatorio, o sea, las
las organizaciones no están obligados,
pero más bien es optativo y recomendado
que lo puedan usar para cuando sea el
momento de estar un proceso
sanczonatorio tener una atenual. Y este
modelo de prevención de infracciones
tiene seis componentes esenciales. Por
un lado, eh tiene que tener un un DPO
experto, ¿sí? que está designado y
formalmente capacitado para poder
liderar esta ley, debe identificar los
riesgos, o sea, vamos a tener que
levantar en este modelo de prevención de
infracciones todos los riesgos que están
dentro de la del programa de tratamiento
a los personales dentro de la empresa.
Tiene que tener protocolos y controles,
o sea, vale, identifico los riesgos y
cuáles son los controles para mitigar
esos riesgos. Tenemos un mecanismo de
reporte que les permite tanto a las
personas de adentro de la reacción como
de afuera levantar las vulneraciones de
los derechos a los titulares. Un modelo
de supervisión que verifica que los
controles y los protocoles apliquen y
también un modelo de capacitación
permanente que permita a la gente poder
hacer una formación continua en la ley
de protección deos personales y también
por eso hace mucho sentido este módulo
de capacitaciones que habilitamos dentro
de nuestra plataforma. Y sin más, le voy
a dar el pase a mi socio Ignacio
Gallardo, que justamente está entrando
ahora a la reunión para que pueda lirar
esta parte de preguntas con nuestros dos
destacados invitados. Voy a dejar de
compartir y le vamos a dar permiso para
que pueda mostrar su cámara a Ignacio.
Entonces, ahí creo que Ignacio
está. Ignacio, ¿nos
escuchas? Si no, sigo rellenando, pero
es para ver si ya estás ahí en la sala
con nosotros.
No, no se está desmuteando. Sí, ahí sí
está desmuteado. Escuchan, escuchamos.
Perfecto.
Hola, hola, Rodrigo. Hola, Jimena.
Marcelo, muchas gracias por aceptar la
invitación.
E bueno, me imagino que Rodrigo ya hizo
la
introducción de lo que vamos a hablar el
día de hoy. Y bueno, como les dije,
agradecerle la la por aceptar la
invitación y vamos a pasar a las
preguntas que las estamos la estamos
cargando. Estamos con estaba con un
pequeño problema
técnico. Bueno, eh voy a dirigir unas
preguntas a cada uno. Eh, la idea es que
respondan brevemente los distintos
conceptos y vayamos haciendo una
conversación respecto a estos temas. E
quisiera partir contigo,
Jimena, eh preguntarte respecto del
modelo prevención infracciones y el rol
del delegado protección de datos, que
seguramente hablaron anteriormente. ¿Qué
criterios debe se deben considerar para
una empresa al decidir si implementar o
no un modelo de prevención? y también
qué tienen que tener presente las
empresas en atención a su estructura, a
su contexto, a los distintos rubros que
pertenecen y sobre todo enfocándonos un
poquito en las pymes que quizás son las
las que les golpea quizás más
fuertemente toda esta carga regulatoria.
Bueno, hola, ¿cómo están todos? Muy
buenos días. Yo en lo personal pienso
que en el contexto que que estamos en
Chile tenemos desafíos relevantes y lo
primero que debería preguntarse una
organización, ya sea pública o privada
para definir si tener un modelo de
prevención, aún cuando veremos más
adelante que de alguna manera el nuevo
marco normativo nos empuja a tener eh un
modelo de prevención, no obstante
establezca que eh No, no exista la
obligación expresa, digamos, sea
voluntario. E yo, creo que una
organización lo primero que tiene que
preguntarse es qué industria está, cuál
es la regulación específica que se
aplica a esa industria, sobre todo los
sectores regulados eh en que las normas
sectoriales van a tocar de manera
relevante el tratamiento de los datos
personales. hablo de Telco, energía,
servicios
sanitarios. Eh, la banca eh la ley finte
ad más tiene un apartado especial sobre
tratamiento de datos personales, que
hace varias diferencias en relación a la
ley de protección de datos personales. Y
luego debería preguntarme, bueno, ¿cuál
es el tipo y volumen de datos que trato
para el desarrollo de mi negocio? Cuando
me refiero a tipo de datos, lo primero
que tengo que preguntarme, bueno, ¿en
verdad de estas categorías de datos
estoy en las categorías generales o
estoy tratando algunos datos
especialmente protegidos o datos
sensibles? Y en ese sentido trato datos
de salud, biometría, trato antecedentes
financieros, porque ahí cuando trato
datos que tienen categorías de
protección especial, eh se hace un poco
más necesario, creo yo, eh avanzar hacia
un modelo de prevención para poder eh
estar en una situación más limpia frente
a la autoridad de control.
Eh, y segundo es, bueno, habiendo
entendido el tipo de datos que trato,
cuáles son las medidas de seguridad que
puedo implementar. Y en ese sentido, eh,
recuerden que los principios tanto de
confidencialidad como seguridad o por lo
menos a mi juicio es así de la Ley de
Protección de Datos Personales, se
vinculan estrechamente con el
cumplimiento de la Ley Marco de
Ciberseguridad, que es la 21663, ¿no es
cierto?, que tiene por objeto recordar
la confidencialidad y disponibilidad de
la información, que se alojan los
sistemas de informatos informáticos y
por otra parte la resiliencia en los
sistemas. Y luego que hago esto, yo
tendría a pensar, bueno, ¿cuáles serían
las obligaciones que puedo implementar
al interior de la organización para los
efectos de cumplir con los estándares de
seguridad necesarios para el tipo de
datos que trato? y segundo, cómo
deberían ser, digamos, los eh análisis
de brecha que pueda tener para poder
adecuar eh eh los sistemas que tengo
implementados y poder gestionar
adecuadamente los riesgos. En segundo
lugar o en tercer lugar, yo miraría cuál
es el nivel de riesgo y exposición legal
de la organización, porque como les
decía, si trato datos especialmente
protegidos o estoy en sectores altamente
regulados que tienen eh eh
mayoritariamente están en el B2C, ¿no es
cierto?
eh
salud, telco, energía, servicios
sanitarios, que por lo tanto está
mayoritariamente en el B2C y eh
eventualmente puedan manejar datos
sensibles. Las telco manejan datos de
geolocalización porque está en el Cail
Records, que son los registros de eh
detalle de tráfico, voy a tener que
pensar en que efectivamente tengo un
nivel mayor de riesgo que manejar. Y lo
último que me haría preguntar es, bueno,
¿cómo está mi organización? ¿Cuáles son
los recursos que impongo? ¿Cuál es el
grado madurez de la organización? Y en
eso voy a tener que impriorizar. Y ya
entrando al mundo de las pymes, para las
pymes esto es casi imposible, ¿no es
cierto? porque las pymes probablemente
eh no van a tener muchos recursos para
contratar eh personal altamente
especializado. Y entonces aquí lo que yo
he pensado, pero esto es una opinión muy
personal, eh que hay una gran tarea por
parte tanto de la nueva autoridad de
control, que es la Agencia Nacional de
Protección de Datos Personales, de eh
educación, así como lo hace la Agencia
de Protección de Datos Personales
Española a través de la Duación de Guías
y por otra parte las asociaciones
gremiales van a tener, yo creo, un rol
importante que cumplir en apoyar a sus
asociados, en obtener un grado de
cumplimiento.
No sé, Marcelo.
Bueno, Jimena, comparto totalmente lo
que planteó. Eh eh quizá sobre eso
mismo, digamos, desarrollar algunas
cosas adicionales que pueden ser
interesantes.
Efectivamente, lo primero que tiene que
eh cuestionarse, digamos, preguntarse la
organización es si está sujeta a riesgo
los datos que trata. Pero siempre de
alguna forma las
organizaciones piensan en su giro
principal cuando piensan en los DAC.
me tocado conversar, no sé, con una
empresa eh generadora de energía gigante
y bueno, ellos no no tratan no no tratan
datos como parte su giro, digamos, su
giro puramente industrial, todo es eh
B2B, todo eh está muy lejos, digamos, de
eh impactarle eh eh ellos creen una ley
de protección de datos personales. Sin
embargo, piensan ustedes que una gran
empresa de energía está desplegando un
territorio con comunidades las cuales se
tiene que relacionar, con las cuales
tiene que interactuar. Eh, y en otras
latitudes eh se ha utilizado la ley de
datos personales como una forma de
presionar a organizaciones, a empresas,
digamos, en ver a mí me contaban en
Bruselas en una reunión que muchas
muchas ocasiones ellos veían que eh
Ciudadanos usaban la ley de protección
de datos en vez de usar la ley del
consumidor porque veían la ley de datos
mucho más poderosa, mucho más diente,
mucho más influyente y la del consumidor
siempre quedaba en algún camino perdido.
Entonces, creo que no hay que solo mirar
el giro principal, más bien hay que
mirar el riesgo y que puede estar
escondido por ahí, puede estar en
actividades con con escolares, digamos,
que realicen corrientemente, pueden
estar en en los en el despliegue de de
responsabilidades social empresarial,
puede estar en otros aspectos muy lejos
de su gero principal, pero que e después
les puede impactar.
Otro agregado sobre lo que plantea
Jimena como para seguir desarrollando
esos mismos conceptos. Eh, creo que a
las pymes les van a empezar a exigir las
grandes empresas, sobre todo las pyes
que prestan servicios de y de alguna
forma ya está pasando. Lo han planteado.
Miren, nos preguntan, cumplimos con ley
de protección de datos, vamos a cumplir
y ellos están en la disyuntiva de eh de
tratar de minimizar los costos de esto o
de tomarlo como un activo, como tomarlo
como una eh una como parte de su oferta
de servicio, decir, "Mira, nosotros
cumplimos plenamente con la hipotección
de datos. Y usted puede transmitir eso a
su a sus clientes finales, digamos. Pero
nosotros como servicio tecnológico, como
servicio de proveedor de algún tipo, eh
cumplimos con esto. Digamos, tenemos una
certificación, no hemos preocupado, tono
nuestros trabajadores capacitados,
nosotros tenemos un modelo de
cumplimiento, tenemos asignado un
delegado de protección de datos,
cumplimos con con eh con lo que se nos
pide y queremos mostrar eso como parte
de nuestra oferta de servicio. Y eso eso
entonces también es otra vuelta de
tuerca, digamos. creo que de alguna
forma contribuye a a la reputación, al
valor, a lo a lo que las propias
personas, digamos, hoy día están poco a
poco eh construyendo como cultura, como
algo demandable, como algo deseable,
aunque falta mucho para eso. Vengo de de
de Canal 13 conversando sobre el tema de
la ley Uber, este aspecto de uno de los
registros y y y uno se da cuenta
conversando con periodistas que en
realidad no logran captar eh la
importancia que tiene proteger los datos
personales, digamos, siempre la
respuesta es, pero eso ya está, si ya lo
tienen esto está disponible de alguna
forma como que no tuviera un valor
respecto de cada uno de nosotros,
proteger nuestros datos personales. Y
ahí creo que estos dos años o este
tiempo antes de que entre en vigencia la
ley y después con la agencia vamos a
tener una curva muy larga como país para
desarrollar esta cultura eh en todos los
niveles. Pero pero para las
organizaciones creo que es parte del
desafío es es justamente analizar qué
aspectos, porque para eso igual hay que
partir con algo y hay que hacer un
diagnóstico, cada uno se lo tiene que
hacer o tiene que pedir asesoría para
hacerlo y detectar la área más riesgosa
en materia de tratamiento y si ahí
aparecen aspectos que pueden que estén
muy lejos del giro principal, pero hay
un riesgo para la compañía, el riesgo va
a estar ahí, entonces hay que asumirlo
igual. E eso, eso por mientras, eso por
mientras
para no no adelantarnos.
E bueno, tomando un poco lo que dicen
Marcelo Dan esclavo también con el
cambio cultural que hay que generar para
poder tomarse la ley en serio. Y Jimena
también dio un aporte super importante
respecto de que la empresa tiene que
evaluar eh qué tanto le afecta la ley, o
sea, en qué puntos va chocando con datos
que pueden ser sensibles o en ciertos
rubros que tienen mayores exigencias o
que la ciudadanía espera espera más
respecto del tratamiento de los datos
personales que ellos hacen. Pero aquí la
pregunta que quiero hacerles a ambos,
cada uno responderá según lo que ustedes
crean. Pero a mismo
entender, eh esta finalidad de la ley
que es eh esta obligación general de
prevenir infracciones, hay cierta
contradicción con que el modelo de
prevención de infracciones, que es la
herramienta que la ley provee a a las
organizaciones para cumplir con la misma
ley, es voluntario. Entonces, e cómo
ustedes ven esta esta aparente
contradicción entre que por un lado
tenemos que cumplir la ley, pero por
otro lado el adoptar el modelo es
meramente voluntario y sumarle aquí
también. Bueno, entonces, ¿cuál es el
valor para la empresa de tomar un modelo
de prevención de infracciones conforme
lo dice la ley, certificarlo ante la
agencia? Este modelo, tal cual como la
la agencia lo va a señalar el día de
mañana, que que con las características
que tiene que cumplir, cuál es el
incentivo para la empresa tomar ese
modelo y no decir, bueno, yo cumplo con
la ley, pero a mi forma, a mi manera,
pero cumplo con la ley. Eh, Jimena, no
sé si qué puedes aportar. que tengo que
decir es que mis opiniones son meramente
personales, eh invitadas en mi calidad
más bien de académica y no de y no a la
empresa de la que soy parte, eh, o formo
parte de un gran equipo de
profesionales, pero mi estoy invitada
aquí en mi en mi calidad de directora de
los programas de la Universidad de
Cuportales. Yo creo que esta
contradicción aparente no es tan
aparente. Eh, por y ¿por qué creo? eh
que no es tan aparente, porque
finalmente para poder cumplir los
principios que establece la Ley de
Protección de Datos Personales, eh
varios de ellos transparencia,
proporcionalidad, seguridad,
confidencialidad, yo tengo que tener
trazados las maneras y las formas en que
doy cumplimiento con estos principios. Y
al tener que hacer esta trazabilidad
necesariamente de alguna manera, a lo
mejor no voy a tener todos los elementos
que establece eh la ley, digamos, para
tener un modelo de prevención, ¿no es
cierto? Los artículos 48 y 49. Pero si
esta si esto si esta necesidad de tener
que trazar cómo voy a cumplir con los
principios que establece la ley, me
acerca eh bastante a eh tener algún
modelo. Y en ese sentido, e creo yo que
esta
voluntariedad eh
finalmente sí se transforma en una
presión legal y a acercarse a tener un
modelo y y va a haber también una
presión, una presión que no es legal. Lo
dejó eh ver eh Marcelo Drago en su
intervención anterior.
E al ser cadenas de suministro van a ser
las propias empresas las que te van a
exigir, ya sea las licitaciones
privadas, eventualmente las licitaciones
públicas, contar con un modelo de
prevención y que este modelo de
prevención haya sido certificado.
Entonces, aquí hay por una parte una
presión un
poco legal desde el punto de vista que
para poder cumplir los principios que
establece la ley y poder contar con las
trazabilidades necesarias que me hagan
cumplir, tengo que tener un modelo que
me que dé cuenta, digamos, de cuáles son
todos los pasos que he ido
desarrollando, los sistemas con los que
cuento para dar cumplimiento a cada uno
de dichos principios. Y segundo, eh, va
a estar esta presión un poco de mercado,
¿no es cierto? de que para poder ejercer
la actividad económica, ya sea principal
o como cadena de
suministro, voy a tener que contar con
el un modelo de prevención y este modelo
idealmente, ¿no es cierto?, deba estar
eh certificado por la agencia. E siento
que además eh bueno, hay que ver cómo
cómo evoluciona la agencia, pero se
espera, ¿no es cierto?, que en el camino
vayan aumentando su facultad o el
ejercicio de la facultad fiscalizadora,
¿no es cierto? Inicialmente en una
agencia que se va a estar instalando,
probablemente el ejercicio de la
facultad fiscalizadora no va a ser tan
fuerte, no no van a tener tanto músculo
desarrollado en dicho ejercicio, ¿no es
cierto? todo lo que significa eh los
procesos de formulación de cargo, los
procesos de eh llevada de los
expedientes y tramitación de los
expedientes de cargo, digamos, los
procesos de eh recepción de la prueba,
rendición de la prueba, ¿no es cierto?
los procesos asociados, digamos, dentro
del yo que trabajé en un fiscalizador,
les cuento, digamos, nosotros cuando
implementamos el reglamento de reclamos
tuvimos que hacer toda una capacitación
al interior para ver cómo se
desarrollaban los procedimientos y
entonces, claro, ahí hay un músculo que
eh la autoridad sectorial va a ir eh o
la autoridad de control va a ir
desarrollando y por lo tanto la facultad
fiscalizadora se va a ir reforzando en
el tiempo y eso nos va a ir obligando eh
como empresa, ¿no es cierto?, a ir
adaptándonos cada vez o o a ir
acercándonos a contar con algo más
parecido a un modelo de prevención,
independientemente que sea voluntario.
Mira, muy de acuerdo con con Jimena.
E a ver, la ley de protección de atom, a
diferencia de otras eh regulaciones
donde también se establecen modelos de
prevención de
infracciones, eh la ley de protección de
datos es una ley que eh no se cumple de
forma pasiva, no es si yo no se cumple
solamente evitando una serie de
conductas prohibidas donde si yo me
alejo de esas conductas prohibidas estoy
cumpliendo perfecto con una ley, ¿no? La
ley de protección de datos se cumple de
forma proactiva las obligaciones del
responsable del tratamiento. Una una
parte muy sustancial de esa eh son son
obligaciones proactivas de
transparencia, de comunicación, de
información, son de tomar medidas de
seguridad, de tomar medidas
organizativas eh en eh de de definir,
digamos, de resolver los tiempos de
conservación, lo eh bueno, y responder a
los derechos arco. Eso, por ejemplo,
nada de eso está en la ley de delito
económico y en los modelos de
cumplimiento que se están topando porque
muchas organizaciones están recién
terminando eso de elito económico o lo
estaban terminando cuando empezaron a
hablar de protección de entonces hay una
especie como de compliance cities
digamos o de modelo de cumplimiento
cities. Estaban con ellos ya agobiados
con tanto modelo de cumplimiento y están
un poquito diciendo, "Oiga, pero no
podemos hacer uno solo para todo,
digamos." De hecho, esa es una pregunta
bien permanente, ah, bien, curiosamente
en organizaciones
grandes. Entonces, por muy eh por muy
voluntario que sea, si yo no tengo un
cumplimiento funcionando, no tengo claro
si estoy cumpliendo con la ley, si estoy
cumpliendo con este largo catálogo de
obligaciones proactivas y la forma de
cumplir la ley, la forma más eh
internamente clara de hacerlo es
justamente desarrollo modelo
cumplimiento. Entonces, con eso yo
aseguro a la organización de que de
estar cumpliendo con la ley, de
responder a
eventualidades a procesos
sancionatorios, a denuncias, eh de
responder a los derechos de las personas
cuando ejerzan sobre sus datos
personales, de responder y comunicar a
la autoridad las brechas de de seguridad
que se hayan producido en torno a datos
personales con o sin ley marco de
ciberseguridad, en fin. Eh, entonces eh
por muy voluntario que sea, en realidad
si yo no tengo modelo cumplimiento, no
sé si estoy cumpliendo, sobre todo una
organización mediano grande. Y lo otro,
el sector público. El tenemos sector
público que eh en la ley eh básicamente
tiene un complemento alternativo,
digamos, pero obligatorio de tomar uno
de los dos caminos.
puede tomar el camino obligatoriamente
de desarrollar el modelo de cumplimiento
que está en la ley o puede eh eh
alternativamente implementar las medidas
que le haya comunicado la agencia eh la
la autoridad de protección de datos
personales en el desarrollo de este
justamente este ámbito cumplimiento para
el sector público, pero no puede dejar
de hacer algo de G. Entonces tienes todo
el estado ehón central, la municipal,
regional, en todos los niveles tienes la
gran mayoría de las empresas públicas
que son consideradas por el efecto de la
protección de como parte de la
administración del Estado. ¿Quién es el
artículo 20 de la ley que le da una
fuente deitud específica a
la al Estado, digamos?
Pero pero tengo que cumplir con todo el
resto, digamos, con todos los
principios, con todas las obligaciones
responsables, tengo que cumplir con
todo. Entonces, también ahí es una carga
que van a tener que empezar a
desarrollar. Yo creo que están un
poquitito en el sector público
esperando, digamos, o dejando esto para
después. va a haber una transición de
gobierno ahí que va a quedar un poquito
el desorden, yo creo, pero es parte de
la vida. E pero en definitiva, por mucho
que parezca un cumplimiento eh una que
el modelo de cumplimiento sea
voluntario, en realidad yo organización
si no no está no lo desarrollo, no tengo
idea si estoy cumpliendo o no. O sea,
ese el problema final. Si no hago un
RAT, no tengo idea de la fuente de
licitud que tengo, son los datos que
estoy tratando. O sea, tengo que tener
un un registro de actividad de
tratamiento, tengo que tener a un
encargado del tema que me responda y que
me diga, "Oiga, tenemos que informar
esto de agencia o llegó una solicitud de
derecho arco o esta cuestión no la
podemos hacer, tengo que tener un DPO."
Eh, entonces eh el marco eh que está la
ley eh por muy voluntario y es
voluntario básicamente por por el debate
legislativo porque porque establecer
esta carga regulatoria Urbet Orbi eh era
realmente muy significativo y no era
mejor establecer una estructura de
incentivos para su desarrollo que una
obligación eh directa por ley. Entonces,
no, eso básicamente,
claro, queda voluntario, pero al final
del día quienes tienen que cumplir con
la ley saben que tienen que hacerlo y
tienen la herramienta ahí en la a la
mano de cómo hacerlo. Ahora, pasando un
poco, bueno, la organización decide
implementar el modelo de prevención de
infracciones. Nos embarcamos en esta
aventura.
Jimena, en en tu experiencia, en tu
conocimiento, tú tienes harto alta
trayectoria en este tema. Eh,
consultarte, bueno, vamos a implementar
el modelo, ¿por dónde empezamos? ¿Qué eh
cómo levanto las actividades de
tratamiento? ¿Cómo evalúo estos riesgos?
¿Cómo hago todas estas tareas que me imp
que me exige la ley para decir que tengo
un modelo de prevención de infracciones?
Bueno, yo primero lo que lo que haría eh
es lo que un poco planteaba al
principio, ¿no es cierto? Lo primero que
tengo que preguntarme en qué industria
estoy. Eh, y por qué esta pregunta que
parece quizá no tan relevante, porque
estoy hablando de protección de datos,
sí es
relevante porque las fuentes o bases de
licitud del tratamiento van a cambiar
según la regulación sectorial de la
industria en que voy a explicar un poco
más esto, un poco más adelante. Luego me
tengo que preguntar, bueno, ¿qué datos
trato? ¿Para qué los trato? ¿Por qué los
trato? ¿Qué procedimientos tengo?
Y ahí, bueno, viene el tan mencionado
registro de actividades de tratamiento
en que trato datos
personal,
eh, y voy a tener distintos procesos,
digamos, dentro de esos procesos voy a
tener procesos
eh que van a ser como estándares para
cualquier industria, por ejemplo,
recursos humanos. Todas las empresas
tratan datos personales para el pago y
el cumplimiento de las obligaciones
laborales, el pago de las remuneraciones
y el cumplimiento total de las
obligaciones
laborales. Aquí en estos procesos me voy
a preguntar, bueno, yo trato solo los
datos que necesito para el cumplimiento
de obligaciones laborales de mis
trabajadores o trato algunos datos
más y así, bueno, voy a tener que ir
identificando proceso a proceso, ¿no es
cierto?, los flujos de datos que tengo y
luego voy a tener que preguntarme
quiénes son los responsables al interior
de la organización de cada uno de esos
flujos. Voy a tener que partir con hacer
como primera cosa, yo creo, no sé qué
piensa Marcelo, nos va a decir después
un inventario de los datos que trato en
cada área de la organización, en
marketing, en recursos humanos, en
finanzas, en operaciones, etcétera,
etcétera. Después, bueno, y a quién voy
a poner más allá de si tengo modelo de
prevención o no, a quién voy a poner de
responsable en cada una de estas áreas,
quién va a ser el interlocutor de cada
esta una área con el delegado de
protección de datos personales o el
encargado que tenga o en caso que no lo
tenga, quién va a ser el encargado de
cada uno de estos procesos al interior
de cada una de las
áreas. Luego voy a tener que categorizar
los datos que tengo según su
sensibilidad. según su tipo de categoría
y según el nivel de riesgo que me
provoca la
organización. Luego que tengo hecho
esto, voy a tener que preguntarme,
bueno, y es ahí donde viene por qué y en
qué industria estoy cuál es la base o
fuente de licitud que me habilita el
tratamiento en muchos procesos que son
generales para todas las organizaciones
como el de recursos humanos, que es el
que más hablamos, ¿no es cierto? Bueno,
obviamente en los en los generales va la
fuente va a ser ilicitud va a ser el
cumplimiento de las leyes para cumplir
las obligaciones laborales y
previsionales. Pero van a haber casos en
que voy a tratar datos sensibles, por
ejemplo, datos biométricos en mis
trabajadores, por ejemplo, para eh eh
cuidar eh o evitar que estos sufran
riesgos al interior de la organización
en el ejercicio de sus funciones. Por
ejemplo, me imagino los eh funcionarios
que mando a una torre a instalar las
antenas, ¿no es cierto? Yo tengo que
preocuparme que usen los elementos de
seguridad, tengo que preocuparme que se
suban a la torre con una línea vida,
tengo que preocuparme de que eso lo
hagan. Entonces, probablemente voy a
poner cámara, ¿no es cierto?,
en eh dentro que la voy a tener a más
para cumplir infraestructura crítica,
digamos, pero estas cámaras también van
a captar datos biométricos para
verificar si mis Jaure están usando los
elementos de seguridad o no. Y entonces,
bueno, ahí va a ser el interés legítimo,
¿no es cierto?, esto que es la
protección de la de la vida o el cuidado
de la salud de mis trabajadores. Y
así van a ir habiendo, no sé, en Telco
también van a haber otras fuentes o base
licitud que son distintas al
cumplimiento de la ley, eh, o sea, al
cumplimiento del del contrato, de la
prestación de servicios de internet o la
prestación de servicio de telefonía que
me van a habilitar el tratamiento, por
ejemplo, el cumplimiento del 218 tero
procesal penal. Y entonces, bueno, en
fin, eh una vez que he hecho esta
categoría de datos, voy a tener que
definir, bueno, cuáles son las
finalidades eh para el tratamiento de
cada uno de los datos. Registrar el
ciclo de vida de los datos. Recuerden
que la el ciclo de vía de los datos
comienza, ¿no es cierto?, con la
recogida del dato y termina con la
finalización, que es cuando se termina
la fuente o baseitud que me habilite el
tratamiento, pero ese ciclo de vida se
puede volver a abrir eh por eh que
exista otra fuente o base ilicitud que
me habilite el tratamiento, por ejemplo,
en sectores regulados como
telecomunicaciones. Y luego, finalmente,
voy a tener que mapear si tengo
transferencia o no internacional de
datos personales. ¿Por dónde empezar?
Diría yo, bueno, por hacer el primer
mapeo inventario, luego priorizar,
enfocarme cuáles son los procesos, los
tratamientos más críticos que
tengo al interior de la organización y
designar responsables internos. No sé
qué piensas tú, Marcel. No, totalmente
de acuerdo con Jimena. un par de
reflexiones sobre esto del rato. A ver,
yo creo
que e esto es como cuando uno está
estudiando álgebra, digamos, y uno trata
de y no es especial, no está en esa
área. Entonces, a mí me tocó como
abogado estudiar álgebra y cálculo bien
avanzado mis 30 años en el posgrado que
hice en Estados Unidos y la verdad que
me volvía loco. Entonces decía, "Mira,
no inviertan más de una hora tratando de
resolver una un un una este problema
matemático porque si no va a perder el
tiempo." Pide ayuda, digamos, pide
ayuda. Yo creo que en el caso del RAT y
en general, digamos, de la
implementación de la hipotección de
datos, eh pidan ayuda. No es algo, creo,
que pueda resolverse sin asesoría
externa
especializada. Eh, asignar una fuente de
licitud no es banal. Muchas veces tiene,
qué sé yo, hay una una categoría grande
de tratamientos de datos que uno podría
ser ya estos momentos obvios, pero en el
margen no tiene nada de obio. Eh, no
tiene nada de obvio si efectivamente
aplico interés legítimo o no, porque
tengo que porque además tiene una serie
de efectos adicionales. tengo que que
formar eso en términos de de en mi en mi
política de privacidad, tengo que tener
resuelto eh claro el interés legítimo
que estoy eh protegiendo y y así digamos
si aplico la ley o o el consentimiento,
recopilar consentimientos masivamente,
que es como la
la la tendencia eh inicial de
prácticamente todo el mundo. Ya.
Entonces, voy a pedir los
consentimientos. En realidad un camino
pedregoso, complicado, largo, costoso y
riesgoso, digamos, porque la gente
además puede retirar el consentimiento,
digamos. Entonces, eh es mucho mejor, eh
y ahí está la asesoría experta buscar
una fuente de licitud basada en el
cumplimiento de una obligación legal o o
una obligación contractual o en un
contexto de preparación de contratos, en
fin, digamos, eh no, claro, pero ahí hay
que hacer las distinciones de datos
sensibles, datos biométricos que no van
a permitir, en fin. Entonces, pidan
ayuda. Esa yo creo que mi cómo partir un
un RAT pidiendo ayuda, diría. Pero
además pensar en dos cosas adicionales.
El rat es algo que se haga una vez y se
acabó. es un es un instrumento vivo,
digamos, que que va evolucionando, que
se va adaptando, que va eh que tiene que
ir actualizándose permanentemente porque
la organización se actualice y va
cambiando, tiene nuevos proyectos,
nuevos eh nuevos negocios, nuevos eh con
da pasos distintos, hacen las cosas
diferentes en un ámbito u otro y eso
tiene impacto en la actividad de
tratamiento de datos que realiza y y el
impacto no puede ser no no tiene por qué
ser negativo ni mucho menos, pero sí eh
eh eh tiene que tomarse este rap como
una cosa viva, digamos, de queda
mostrando un poco lo que va a
ser e y
dos el nivel de granulidad. Creo que
tenemos que de detalle que tiene que ir
en el RAT en términos del tipo de
actividad, creo que hay una cosa que hay
que ir afinando, eh, porque no puede ser
demasiado granular, digamos, porque
sencillamente no no da para unación
grande es termina con un RAT de 400
páginas que creo que no tiene que al
final pierde su sentido, digamos, o sea,
el el eh tú pierdes la panorámica,
pierdes todo. Hay que buscar categorías
de de de datos, categorías de
tratamiento y tratar de agrupar una
forma que no que la granalidad tenga la
medida justa, digamos, y el detalle es
la medida justa. Pero eso diría yo,
pidan ayuda, eh, eh, y tómenlo como un
instrumento vivo, permanente de en su
desarrollo.
Marcelo, tomando un poco lo lo último
que que
dijiste, eh, claro, obviamente unos una
empresa se puede asesorar externamente,
eh, va a recibir esa ayuda que es es
fundamental porque aquí nadie dentro de
la empresa es experto en datos
personales.
Pero esto también
requiere desde la empresa organizar un
montón de de áreas de personas de de de
individuos que al final del día su
preocupación principal no es cumplir con
la ley de protección de datos, tienen
otras eh otras misiones, otras tareas de
negocio. Entonces, esto también se
transforma una carga burocrática y
también para el asesor externo se
complica la tarea porque o interactúas
con distintas personas o necesitas un
director de orquesta dentro de la
empresa que te ayude y te apoye.
Entonces ahí, ¿cómo cómo tú nos puedes
indicar o qué estrategias utilizas
utilizarías tú para poder coordinar toda
esta tarea y que no se vea como una
carga burocrática al final del día para
la empresa?
Yo creo que hay el apoyo en instrumento
tecnológicos para para abordar esto, la
posibilidad. Yo creo que hay una cosa de
capacitación importante, digamos, porque
si bien hay una carga burocrática, esa
no es tal como se lo imaginan al
comienzo. Piensan que tienen que recobar
los consentimientos de de sus 15,000
clientes, digamos, y no es así. Eh, la
ley, de hecho, de alguna forma hasta
facilita el cumplimiento respecto de la
ley actual, digamos. O sea, hay más
fuentes de licitud. eh la evolución,
pero el complemento sí ahora va a ser
real porque en la ley
actualmente vigente eh eh las
posibilidades no hay una agencia, las
posibilidades de hacer cumplir la ley
son bastante mínimas. Eh pero creo que
el apoyo tecnológico, la capacitación y
un poquito bajar la la ansiedad en eso,
darse cuenta de lo de de de los alcances
reales que tiene esto, que si bien son
bien globales, e todo es solucionable y
todo tiene un abordaje, digamos. Si al
interior, si son datos de los
trabajadores, aquí hay altas preguntas o
salon algunas preguntas al respecto,
pero hay varias preguntas bien
interesantes, ¿no? Eh, van al final, van
al final. Yo yo le empecé a responder
ahí, pero me doy cuenta que no no está
haciendo ayudando con la pega. Yo no he
dicho.
Claro, exactamente. Pero eh pero
efectivamente el mundo de los
trabajadores tiene e el tratamiento
datos de los trabajadores al interior de
la organización tiene más o menos
resuelto, se se incorpora anexo
contrato, reglamento interno de higien y
seguridad y eso hay que hacerlo de e de
cara a los clientes, personas naturales,
las políticas de privacidad, los canales
de información, etcétera. Entonces, todo
ya tiene más o menos un avance y una
fórmula, claro, que tiene que adaptarse
a la organización específica, pero creo
que lo primero para que no se le venga
esto encima, no lo vean como una carga
burocrática, es es capacitarse y
entenderse lo entender lo que está
detrás de esto, digamos, no algo banal.
Es como cuando uno dice, "Tengo que
cumplir con las leyes laborales, pero en
realidad tiene un trasfondo bien
significativo la ley laboral. Eh, lo
mismo con un delito económico. Entonces,
bueno, pero es una carga. es una carga,
eh, si uno lo quiere poner es en ese
ámbito, es una es una carga adicional
que va a haber que que que asumir.
Yo quisiera
agregar para que esta carga burocrática
no sea tan compleja, que sirve eh bueno,
obviamente lo que ya ha señalado
bastante Marcelo, que es la capacitación
al interior de la organización, hacer
programas de capacitación por grupos y
tipos de trabajadores, porque no es lo
mis no entrego los contenidos de la
misma manera a los gerentes que a eh los
operarios o a los eh que tienen personal
a cargo y y entonces hacer estas
capacitaciones y luego nombrar en cada
una de las áreas, en finanzas, en
marketing, un punto focal. Y este punto
focal, que lo voy a capacitar
reiteradamente, va a ser quien va a ir
alimentando, digamos, al encargado al
interior de la empresa, ya sea o no
delegado de protección de datos
personales y quien eventualmente va a
ser quien además se va a desarrollar, se
va a relacionar con el eh si es que
contrata una asesoría eh que se hace
necesaria, yo creo, en este tipo de
materia, aún cuando tenga eh personas al
interior de la organización que sepa de
protección de datos personales es una
tarea bien titánica, por lo tanto que
requiere foco solo en eso. Entonces,
contratar asesoría experta, yo diría que
que es un poquito necesario. Por eso
cuando hablamos de las pymes les
planteaba como idea o alternativa que
las asociaciones gremiales tomen esto
como para que sean las asociaciones
gremiales las que tomen la asesoría y
puedan, digamos, ayudar a las pymes o a
sus asociados, ¿no es cierto?, subirse a
un nivel de
cumplimiento.
E eso
como si les sirve como de tips o datos.
Tomando un poco, rescatando lo lo último
que ustedes señalaron, quiero quedarme
con dos conceptos, con tres conceptos
que por un lado las capacitaciones, que
es es super importante que la gente al
interior de la
empresa sepa por qué está cumpliendo con
la ley, no solamente cumplir por
cumplir, sino entender cuáles son los
principios básicos que están detrás. Y
lo otro es que como la tarea es
titánica, el apoyo eh ya sea en en
grupos, organizaciones, en el caso las
pymes, que pueden eh pueden prestar
apoyo y a un nivel gremial directamente
a a la a la a las personas a las
empresas que tienen que cumplir con la
normativa. y además el apoyo en
herramientas tecnológicas que te ayuden
a
solucionar el día a día, las tareas que
tienes que gestionar día a día para
poder cumplir con la ley y hacer el
seguimiento y mantener actualizado tu
registro eh y tener monitoreado todo lo
que hemos hablado ahora eh ampliamente
tomando un poco eso, ¿no? Ignacio, y
perdona que te interrumpa, pero hay un
tema práctico, o sea, a mí me pasó que
uno capacita, pero hay unidades de las
organizaciones que tienen alta rotación.
Entonces, lo que lo recomendable o lo
que por lo menos a mí me más me ha
funcionado y se los doy como tip, es
grabar las capacitaciones, hacerlos eh
tomar las sesiones grabadas y rendir
prueba, porque en el fondo capacito un
grupo, pero ese grupo después deja de
ser mi trabajador, entonces y tengo uno
nuevo que no lo tengo capacitado,
entonces tengo que facilitar esto y por
lo menos lo que a mí me ha servido, más
me ha servido es tener capacitaciones
grabadas y que rindan exámenes con un
sistema en línea y entonces cada vez que
entr uno nuevo tiene que pasar por todo,
por reglamento interno, modelo de
prevención del delito y dentro de eso
protección de datos porque tengo también
ciberseguridad, seguridad de la
información, ¿no es cierto? Para la
27001 también va a tener que pasar por
la capacitación y entonces lo tengo en
un listado que en el proceso de
inducción va con ello, porque si no se
te hace imposible.
Bueno, y tomando ese punto, quiero dejar
a Rodrigo unos minutos porque tiene algo
que contarnos respecto a capacitaciones
y cómo poder apoyarnos con herramientas
para el cumplimiento de la ley. Así que
te doy pase, Rodrigo.
Muchas gracias, Ignacio. Muchas gracias,
Jimena y Marcelo, porque ha estado muy
entretenida la conversación. Eh, yo
quería ahora presentarles un segundito.
Acá está. Efectivamente, dos cosas que
van un poco alineadas con lo que han
estado conversando nuestros invitados,
que uno es la capacitación, es algo
fundamental en esto, entonces dejarlo
invitado a nuestro curso. Es un curso
online asincrónico, tenemos tanto la
venta personal como la venta
corporativa. Entonces, si alguien sea
como empresa, también lo puede contratar
como empresa. Y la gracia de esto es que
es un curso que, como muy bien decía
Jimena, está acá el video en la nube. Si
algún día hay un cambio personal, este,
puede tomar el curso a otra persona y
tiene test de los módulos, o sea, no es
simplemente auditar un curso, sino
responder un par de preguntas por cada
módulo. Hay seis módulos y varias
secciones. Y también tiene un caso
final, que es un caso práctico, que al
final es llenar un rat, que es mucho lo
que hemos conversado hoy día de lo que
hay que hacer como responsable, delegado
o el nombre que le queramos poner.
Tenemos que llenar este RAT para
entender qué estamos haciendo con los
datos personales. Y en segundo punto, eh
nuestra plataforma SAS, que es una
plataforma que permite hacer este
cumplimiento de manera más eh rápida,
más diligente y más ordenada, porque una
opción es llenarnos de Excel, que Dios
sepa quién puede entrar a este Excel y
quién no. Otra forma es llenarlo con
esta plataforma que tenemos nosotros,
que podemos darle permiso a ciertas
personas que está estructurada de una
forma que nosotros queremos. Entonces,
por ejemplo, acá tenemos el RAT, ¿sí?
que es el registro activad tratamiento.
Nosotros les hacemos una propuesta de
campos que tienen estándar
internacional, si los quieren cambiar,
los pueden cambiar. Y acá está
efectivamente todo lo que hemos
conversado del RAT, como por ejemplo la
base de licitud, que muchas veces la
gente habla del consentimiento, pero en
verdad tenemos muchas bases de licitud y
algunas son eh mucho más fáciles de
cumplir con la ley o ahí nosotros le
podemos pedir ayuda a un asesor experto
que nos ayuda a encontrar esa licitud
que sea mejor para el negocio. Y también
dentro de esto, bueno, tenemos las
evaluaciones que son la preevaluación de
impacto, la evaluación de impacto
propiamente tal, tenemos la
identificación de riesgos y controles
que tenemos la alternativa de agregar un
riesgo que se lo voy a mostrar a
continuación eh de manera manual o
también tenemos la alternativa de elegir
una lista de estándar. ¿Sí? Y finalmente
en este mismo RAT pueden ver una lista
con todos los riesgos, una matriz de
riesgo que resume los riesgos que
tenemos en esta actividad en particular.
Entonces, luego si queremos agregar un
riesgo, nos vamos acá a la evaluación de
impacto y podemos agregarlo de manera
manual. Entonces, por ejemplo, riesgo de
prueba, le ponemos poner una
probabilidad de ocurrencia improbable,
mucho impacto significativo, por
ejemplo, vamos guardar, pero nos va a
pasar mucho que en verdad nosotros vamos
a tener un catálogo de riesgo, no va a
ser simplemente eh que tengamos que ir
agregándolos uno a uno, entonces mejor
nos vamos al catálogo. Nosotros ya les
cargamos a esta plataforma eh estándar
estándares europeos con distintas
fuentes de riesgo para que ustedes
puedan ir y buscar. Entonces, por
ejemplo, si quieren agregar uno acá,
podríamos buscar algo con bases de datos
y, por ejemplo, acá acceso a datos de
referencia de crédito, podría ser uno.
Voy y lo
agrego. Y luego la pregunta es, he
identificado el riesgo que podemos
hacer. Entonces, al momento de
identificar el riesgo, podemos asociarle
un control. Entonces, también tenemos la
alternativa de empezar a a asociar
controles de manera manual, que es un
trabajo más tedioso. A cada uno de estos
controles le puedo ir a buscar un
control apropiado y efectivamente que
esté documentado y normado en alguna
normativa para que sea más fácil cumplir
con la ley y sea menos trabajo para
nosotros. Dicho eso, los dejo con la
última sección del módulo para que
podamos seguir aprendiendo mucho de
nuestros internos.
Muchas gracias, Rodrigo. E creo que por
honor al tiempo también de nuestros
expositores vamos a pasar al a las
preguntas del público
que e están bastante buenas, así que
vamos a ir. No sé si estaba Marcelo, se
me perdió la pantalla, Marcelo. Acá
estoy. Estoy aquí en cuerpo presente.
No, pero Marcelo ya no hizo la pega con
todo, que ya contestó casi todo. No, no
contesté una, después me cuenta que eran
demasiadas para contestar.
Chuta, no sé cuál respondiste.
Una sobre trabajadores, sobre si también
la ley alcanzaba los trabajadores
interior de la empresa y no solo eran
datos como externo. Esa es la Ah,
perfecto. Bueno, coméntanos respecto a
esa pregunta. Eh, ¿cómo no no no la ley
deción de datos es de es obligatoria de
manera global? Las únicas dos grandes
excepciones eh es la excepción
doméstica. Amos los datos que cada uno
utiliza en su ámbito de día
exclusivamente privado al interior de su
hogar o circunstancias muy personales.
Entonces no no no no no van a ejercer
alguien derecho arco sobre lo los mi
teléfono, digamos personal en mi vida eh
eh familiar o etcétera. Y la otra
excepción es la excepción de prensa, una
mega excepción que solo es para los
medios de comunicación formales,
digamos, que están reconocido en la ley
de prensa y la ley del Consejo Nacional
de Televisión, digamos, los canales de
televisión abierta. Eh, entonces,
trabajadores, eh, proveedores, eh,
clientes, representantes legales de de
empresas que interactúe cualquier
información sobre una persona natural o
determinado terminable que la
organización eh maneje, ocupe,
capture, trate, digamos, almacene, de
cualquier forma utilice, eh se le aplica
esta ley.
Yo quisiera agregar algo porque la tele
y la radio fue lo mío tanto tiempo, ¿no
es cierto? Con televisión digital y
radio digital. Eh, en el fondo esta
excepción es para el solo efecto cuando
los concesionarios de servicio de
radiofusión sonora y televisiva, que se
llama la televisión abierta, ¿no es
cierto? A la luz de lo que establece la
Ley General de Telecomunicaciones,
ejercen la facultad de emitir opinión y
de informar en base al 19 12 de la
Constitución. Pero si yo como canal de
televisión resulta que tengo un concurso
o tengo una actividad de marketing y
tengo que cumplir con la ley de
protección de datos personales, entonces
es solo en ese marco bien restrictivo
que nuestra querida tele y nuestra
querida radio quedan excluidos, pero lo
demás también tienen que cumplir.
También tienen que cumplir, ¿no?
respecto los propios trabajadores
también tienen que cumplir cuando tratan
datos de contratista y subcontratistas,
también tienen que cumplir si hacen
actividades de marketing y eso es super
importante que bueno el mundo de la tele
y la radio lo entiendan. No crean que
aquí ellos tienen un perdonazo especial.
No,
no. Sí. A m me toca asesorar a dos
canales de televisión en esto y ellos
tienen alta conciencia, pero pero hay
ámbitos que ellos mismos admiten que son
una crisis y que tienen que resolver,
como los matinales, porque los matinales
pasan de un tema de magazín a un tema
informativo en un salto cuántico en un
segundo. Entonces, eh hacer la
diferencia y eh no es tan nítido en
algunas ocasiones, digamos, o esa
información está en el límite de la
farándula y no de la información más
estricta. Eh, también digamos entonces
pero hay alta conciencia yo veo al
interior de esto de de de los canales
televisionalmente.
Eso, eso da para otro webinar, o sea, el
derecho a
información absoluto
y la radio es y la radio, perdonen que
lo interrumpa, es un tema porque una
casa son los concesionarios de Radio
Fusión Sonora eh pero eh eh hay muchas
radios, hay AM y FM, hay no sé 300
concesiones, no me acuerdo el número a
toda altura, digamos, pasado años, pero
también están los de mínima cobertura
que son en el fondo muy locales muy
chiquititos y que también se les va a
aplicar porque la excepción lo deja
limitado solamente a cuando ejercen el
derecho de emitir opiniones y de
informar. Entonces, todo lo demás
también es un mundo
gigantesco y el rol social que cumple la
radiofusión sonora es superrelevante a
nivel de país. Entonces ahí hay algo que
hacer. Ahí la agencia se va a tener que
preocupar. La radio de mínima cobertura
resuelve problemas a niveles locales
relevantes,
eh, incluso de conectividad, digamos,
ayuda con ellos. Entonces, ahí hay un
desafío importante, yo creo, para la
autoridad de control. Perdonen que igual
le tengo cariño a la radio.
Bueno, pero la excepción es eso, es una
excepción, ¿no? Ellos tienen que
justificar cuándo le aplica y cuándo no,
pero no por ser medio de de
comunicación, simplemente pueden decir
que no le aplica la ley. Ahí quizás
estaría el
error. Eh, pero bueno, volviendo un poco
con el con el tema del webinar, que son
los modelos de prevención de
infracciones y le recomendamos a los
medios de comunicación implementar uno.
Eh, quiero, bueno, tomando la tomando
los los las preguntas de acá, eh,
Jimena, acá la pregunta es, ¿por qué me
debería certificar? Básicamente, ¿por
qué una empresa debería
certificarse? Eh, ¿y qué rol quiero
sumarle aquí? ¿Qué rol juega la agencia
en todo esto?
O sea, yo creo que de lo que hemos
hablado un poco obvio, ¿no es cierto? O
sea, con una certificación voy a darle a
mi directorio un grado de certidumbre y
de seguridad respecto de los procesos o
cómo estoy manejando los datos al
interior de mi organización y los
riesgos que a los que estaba enfrentada
la organización. Eh, entonces claro, si
tengo la posibilidad, tiene valor y por
lo y por lo mismo, volviendo al tema de
las pymes, tiene mucho valor que las
asociaciones gremiales colaboren en
conjunto eventualmente con la Agencia de
Protección de Datos, que es la Autoridad
de Control, en que las pymes también
puedan certificarse en el camino.
Marcelo, no sé si se quiere agregar algo
a esa pregunta.
¿Cuál es el valor agregado a
certificarse?
Creo que ganan en reputación, ganan en
en confianza, en el cumplimiento, ganan
eh en la posibilidad de crear una oferta
de servicio adicional e en una oferta a
valor a su giro, digamos, diciendo,
"Mire, yo estoy certificado, tengo
protejo los datos personales eh a los
cuales tengo acceso y y creo que en sí
mismo tiene un valor, digamos, como va a
ser una ventaja competitiva para
cualquier organización tener esta
certificado e eh a la hora de enfrentar
competencia, porque eh es una señal eh
importante eh al
mercado. Eh, quiero vincular la
siguiente pregunta porque, bueno, tiene
un valor gigantesco, pero acá preguntan
también, bueno, ¿cuánto cuesta
certificarse? ¿Cuánto cuesta implementar
un modelo para una pyme? Y y aquí lo lo
vinculan, interesante, porque lo
vinculan por la cantidad de datos eh en
niveles de enteras de cuánto maneja una
organización, porque una pyme, no por
ser pyme, quiere decir que no maneje una
gran cantidad de datos y que esa
cantidad de datos puede ser tratamiento
a gran escala. No sé eh cuánto cuesta
Jimena. Marcelo, no sé si pueden dar un
valor aquí. O que nuestro querido
consultor está varía montones decirnos
cuánto cuesta varía varía mucho
dependiendo del tamaño de la
organización del de la actividad de
tratamiento de datos que realicen, del
número de personas con que interactúan,
sean clientes, proveedores, eh
trabajadores, eh eh en fin, digamos, eh
hay empresas que son pequeñas, pero su
giro principal es el el tratamiento de
datos, el corazón del negocio. Por lo
tanto, e es clave desarrollar estos
fondos, otras no tanto. Entonces, cada
esto no es un valor plano para todo el
mundo. Eh se tiene que evaluar eh caso a
caso. Y a ver, barato, barato no es
mejor eh eh tenerlo claro de entrada,
¿no? es una cosa que que porque
básicamente tiene un asociado una
expertiz técnica bien fina y cuando en
ciertas circunstancias si si se si falla
la asesoría se le dice, "No, mire, usted
tiene que pedir consentimiento, tiene
que borrar todos estos datos." le echa a
perder, le puede echar a perder el
negocio, un error en la asesoría en
protección de datos o o le recopil
consentimiento de estos 8,000 personas,
o sea, te vuelves loco el costo de eso,
la inseguridad de eso. Entonces, eh eh
eh errar en esto tiene también costo,
puede tener costo para la organización
bien significativo.
Jimena, ¿y desde tu punto de vista?
Bueno, yo ahí tengo unas cotizaciones,
pero no
puedo, pero claro, va depende mucho el
tipo de organización, del tipo de datos
que trate y con qué lo vincularía yo lo
vincularía con que por lo menos de mi
modo a mi modo de ver las cosas se habló
mucho de las sanciones, ¿no es cierto?
que las sanciones, o sea, siempre como
que es que las pecuniarias eran muy
altas y y yo siento que eh las sanciones
no pecuniarias que contempla esta ley
son mucho más brutales para una
organización que las pecuniarias,
digamos. El hecho de que pueda la
agencia
suspenderte el la el tratamiento de
datos por 30 días y el hecho de quedar
en el registro de infractores eh puede
hacer fallar tu negocio para siempre. O
sea, porque lo más probable es que, por
ejemplo, un Chile compra ahí, ojalá no
lo hagan, pero bueno, ya lo dije, un
chile compra, ponga la base de
licitación que no hay que estar en el
registro de infractores para pasar para
poder postular a la licitación. Probable
que las empresas grandes también lo
hagan las licitaciones privadas.
Entonces, eh contratar un buen
consultor, eh hacer el trabajo que es
largo y tedioso. Yo yo entiendo que
tiene su costo porque es largo y
tedioso.
Eh eh es importante.
Si los que están aquí, nuestra nuestra
gran preocupación, digamos, es bueno, ¿y
cómo lo va a hacer la pyme? En el
contexto normativo actual hay muchas
pymes que no que no podrían haberse
desarrollado porque no solo est no solo
protección de datos, digamos, también
tenemos ciberseguridad, también tenemos
delitos económicos. Chile ha ido
avanzando en una lógica sin hacer, pero
eso para otro webinar, digamos, sin
hacer evaluación de costo de
implementación normativa. Eh, y y eso va
a pegar en la pyme y hay que recordar
que en la pyme el 98% de la empresa en
Chile. Ignacio, mira, en eso un un
agregado. En las presentaciones no
mencionamos que yo junto a Pablo Contrer
y Pablo Violer somos autores del libro
Compaencia y Protección de Datos
Personales en Chile, que es el libro que
que explica la nueva ley y está deido en
dos partes justamente uno de la la ley
en detalle largo y detallado y la
segunda parte justamente sobre cómo se
eh las obligaciones de cumplimiento de
la nueva ley y cómo se desarrollan los
modelos de compliance. Así que yo se lo
recomiendo comprar. Bueno, lo van a
buscar ahora y no lo van a encontrar
porque está está agotado eh en toda la
librería, pero esperamos que esta semana
ya aparezca de nuevo. Así que si si
alguien lo quiere comprar, eh, espérese
un par de días, digamos, búsquenlo
mañana, pasado, está en toda la líder
está, eh, pero pero amigos, merecemos
que nos llegue de regalo un libro
autado. Sí, buen punto. Pueden
escribirle a Marcelo por interno y dejar
sus datos. No dejar sus datos.
No, después, pero sí, a los amigos yo
creo que hay que mandarle el libro.
Buena idea.
Bueno, que eh ya estamos en la hora, así
que quería agradecerles también por su
tiempo, eh por este breve espacio que
espero que hayan eh haya servido un poco
para dar luces de lo que es el modelo
prevención de infracciones y de lo que
va a ser la el cumplimiento de la ley en
diciembre 2026, cuando ya demos el punto
inicial. La idea es no llegar a ese día
recién a
preocuparnos, ¿eh? Así que bueno, no sé
si quieren agregar algo así, palabra al
cierre, alguna recomendación para para
las personas que nos están viendo.
Jimena Marcelo, yo por mi parte
agradecerle a ustedes la invitación y
bueno, en verdad una invitación
maravillosa tener el privilegio de estar
aquí con este gran expositor y gran
profesional en materia de protección de
ATOS y haber compartido esta esta hora
super entretenida para poder imponear
ideas y y visiones de cómo vemos el
futuro en este materia. Así es que
muchas gracias, les deseo un día
maravilloso a todos.
bien intenso, pero estoy feliz.
Nada, yo muchas gracias, gracias por por
compartir, por darnos esta oportunidad
de compartir con Jimena. Creo que ha
sido una conversa superinesante y creo
que espero que le haya servido a todo.
Eh, si alguna recomendación, último
mensaje que dejar es prepárense,
prepárense, prepárense porque esto suena
lejos el primero de diciembre de 2026,
pero no solo pasa volando, sino que la
experiencia europea es que se hizo
corto. Nosotros pusimos el mismo plazo
de 24 meses que aprobó entre la
aprobación del reglamento europeo y la
puesta en marcha. Decimos lo mismo que
en Chile y se les hizo corto el cuello
de botella que tuvieron los últimos 6
meses. Fue grande. Hubo una estafas
masivas, digamos, con los GDPR ready a
1,000 € que resultó en un fiasco.
Entonces, prepárense, prepárense,
prepárense y capacítense. Están los
cursos que tiene Jimena, que son super
buenos. está el diplomado que tenemos en
la Universidad Central que también
encuentro que harto bueno, así que ahí
lo pueden ver alternativa y está nuestro
curso de ley de datos, así que opciones
existen. Eh, bueno, agradecerle Jimena,
por tu tiempo, por tu por darnos este
espacio en tu apretada agenda y feliz de
tenerte por primera vez en en uno de
nuestros webinar. Y Marcelo, bueno, como
siempre, agradecido también por tu
tiempo, eh, considerando que aparte
venías de desde los estudios a
directamente acá a conectarte con
nosotros. Un famoso. Estamos con un
famoso. Sí. Así que también lo invito a
ver, si no lo han visto, ver a Marcelo
en su entrevista. ¿Dónde fue? En el
canal 13. Fue en el en el canal del la
señal de noticias del 13. El T13 en en
el T13. La señal de noticias. Bueno, y
dejarlos todos invitados a visitar
nuestra página web de
leydedatos.com, a agendar una demo a
quienes estén interesados en un en el
software que nosotros nuestra
herramienta tecnológica que ponemos a
disposición de todas las empresas,
consultores y delegados de protección de
datos para el apoyo en en la gestión de
la de la
normativa. Eh, y eso, nos veremos en un
próximo webinar. Felices y contentos de
poder haber estado con ustedes.
Est muy bien. Venga, muy buena tarde.
Chao. Hasta luego. Que estén muy
bien. ¿Dónde está