Transcripción
Una de las reformas regulatorias más
importantes para el mundo digital
chileno podría sufrir un inesperado
freno. El gobierno evalúa postergar la
entrada en vigencia de la nueva ley de
protección de datos personales que debía
comenzar a regir el primero de diciembre
de este año, argumentando problemas para
instalar la nueva agencia. ¿Es esta una
decisión jurídicamente razonable o un
precedente peligroso para la certeza
regulatoria en el país? Esto lo vamos a
conversar el día de hoy con Felipe
Arboe, ex senador, coautor de la nueva
ley, abogado socio de H&CO, estudio
especializado en regulación tecnológica
y protección de datos. También es
experto y docente en protección de datos
en el diplomado de datos personales en
la Pontificia Universidad Católica y de
la Facultad de Economía y Negocios de la
Universidad de Chile. Felipe,
bienvenido. Muchísimas gracias por estar
con nosotros el día de hoy.
Muchas gracias por la invitación.
¿Cómo recibes o cuál fue eh la primera
reacción al conocer que el gobierno
estaba evaluando postergar eh la entrada
en vigencia de la Ley de Protección de
Datos?
Bueno, hay algo de excepción porque esta
es una ley que se demoró 8 años de
tramitación en el Parlamento. Luego de
ello, la ley contempló un año de
vacancia para que las empresas se fueran
adecuando gradualmente.
Muchas de las empresas han hecho
esfuerzos muy importantes en adecuación,
diagnóstico y en adecuación en aprender
en crear gestión o cultura del cambio al
interior de las organizaciones. Y
resulta que el gobierno por un problema
distinto que no es de implementación de
la ley, sino que es la capacidad
política para poder lograr los acuerdos
para designar la Agencia de Protección
de Datos a los consejeros que vayan
tener la Agencia de Protección de Datos.
Finalmente eh termina planteando la
postergación de la entrada en vigencia.
Mi percepción es que ah no es una buena
noticia. No obstante, tampoco significa
un mensaje a las empresas como no se
preocupe, relájese, no, porque esto
sigue avanzando y lo que va a ocurrir
probablemente es que si se logra
eh llegar a acuerdo en los consejeros de
la agencia eh van a estar dictando en el
tiempo intermedio instrucciones eh
generales que vamos a tener que ir
cumpliendo para que la adecuación sea
reconocida por la ley y no caer en las
multas que son bastante onerosas.
Pero ahora esto, ¿cómo avanza una ley? o
cómo se fiscaliza si no tenemos
fiscalizador.
Claro, lo que ocurre es que esta ley
tiene dos partes aparentemente, según lo
que hemos visto en las noticias ayer,
digamos, hoy hoy, perdón, en la mañana,
es que primer lugar se posterga la la
aplicación de la ley por un año más
hasta el 2027, diciembre del 2027, pero
a su vez también el proyecto de ley
contemplaría la designación de los
consejeros, un proyecto aparte
probablemente o una ley que va a tener
dos partes.
Eh, y supuestamente la idea es que esa
agencia comience a funcionar ahora.
¿Para cuál es el problema? Es que en la
propuesta del gobierno, aparentemente,
según la información que hemos estado
conociendo, eh iría una fórmula para que
los consejeros no tuvieran dedicación
exclusiva,
lo cual es completamente irracional.
O sea, pensemos que primero la Unión
Europea ha exigido a Chile para ser
considerado un país adecuado que la
agencia tenga independencia y esta
independencia, autonomía no solo del
poder político, también del poder
económico. Y si usted tiene consejeros o
consejeras que trabajan o le dedican
mediodía a esto y el otro mediodía a
ganarse la vida por otro lado,
evidentemente se abre la puerta para la
extensi de conflictos de interés e
incluso de cuestionamientos de probidad.
Entonces es muy complejo. Nadie pensó
nunca en que los consejeros de la CMF
tenían que ser part, digamos, o que el
director del CERNAC o que un
superintendente.
Entonces, ¿por qué el de los de la
Agencia de Protección de Datos van a
tener que ser así? No parece que sea
correcto, porque esta no es una ley de
segunda categoría. De hecho, tanto las
multas como las sanciones accesorias son
extremadamente onerosas y suponen un
alto nivel de especialización.
Si al gobierno
le ha costado encontrar personas
disponibles por el nivel de
remuneración, lo que corresponde es que
las aumenten al nivel que tienen otras
instituciones fiscalizadoras en vez de
bajar los requisitos, porque con eso se
abre la puerta. Primero que pongan
operadores políticos o gente que no
tenga ningún tipo de experiencia
demostrable en esta materia, más allá de
legislar, digamos, lo digo con mucho
conocimiento de causa. Entonces, también
es importante que se le tome el peso a
lo que está ocurriendo acá. Esto es una
agencia que tiene que partir el primer
día con una robustez de conocimiento y
en alguna columna publicada en el
diálogo financiero, yo planteé incluso
que era como requisito indispensable que
tuviese a lo menos eh
un origen multidisciplinario.
Esto no es solo un tema de abogados.
Aquí se requieren abogados, se requieren
ingenieros que son los que ven la
ciencia de datos y se requiere gente
entendida en tecnología, que son los que
almacenan o los mecanismos que se
almacenan los datos. Nosotros llevamos
trabajando ya 5 años en en en programas
de diagnóstico, implementación. Nosotros
hemos incorporado en nuestra oficina eh
ingenieros, informáticos, auditores para
ver gobernanza y todo. En consecuencia
eh si el gobierno tiene la lógica de
designar solo eh abogados es porque no
está entendiendo la magnitud de este
fenómeno de la administración de datos y
se requiere, obviamente, una mirada un
poquito más de largo plazo
y se estaría quedando precisamente en
esto, en que sean abogados porque
estamos hablando de una ley.
Es que no lo sabemos. No lo sabemos
porque no sé, probablemente vamos a
conocer prontamente la propuesta de los
o las consejeras, pero aquí lo que hubo,
seamos superhestos, el rechazo que tuvo
la ATNA anterior fue porque el Partido
Socialista le dijo al gobierno que no
estaban los votos disponibles porque no
tenía un representante del Partido
Socialista. Eso fue lo que ocurrió. O
sea, todo lo lo pintan de una forma
distinta, lo lo lo yo diría lo adoban un
poco, pero eso es Partido Socialista
exigía que un exdiputado estuviera en la
en la terna y según tenemos entendido
ahora lo van a incorporar en la Terna.
Bueno, está bien, pero eso lo que quiero
decir es que no es un buen gobierno
el que cede ante una presión ideológica.
Aquí lo que necesitamos es evaluar
capacidades y no lealtades.
¿Y qué está quedando entonces eh
demostrado con lo que está ocurriendo?
Efectivamente, existe un un problema de
implementación, además de una ley
propuesta y y y impulsada o por el
gobierno o es un un problema de gestión
del ejecutivo
es un problema de gestión política. O
sea, el fracaso que tuvo tenido dos
ternas fracasadas. La primera no llegó
ni siquiera a la sala, la segunda la
retiraron. La segunda fue no reunió el
quórum y vamos a ver si esta reúne los
quórums. Pero vuelvo a insistir, un buen
gobierno es aquel que
no necesariamente cede para obtener los
votos necesarios, sino el que logra
convencer de los atributos técnicos y de
especialización de las personas que
tienen que ejercer una función tan
importante como en la Agencia de
Protección de Datos. No nos perdamos un
minuto, estamos hablando de multas que
pueden llegar al 4% de las ventas
anuales o la prohibición como sanción
accesoria de poder administrar bases de
datos, lo cual significa en la práctica
una afectación eh estructural del
negocio de una empresa. Entonces,
se requiere gente que sepa mucho y por
eso que ojalá en la nómina que mande el
gobierno esté recogida esta
multiplicidad de conocimientos que se
requiere eh y obviamente con una
experiencia adecuada.
En términos jurídicos se ha ido
avanzando, se ha ido diciendo que eh
entre las opciones está eh que no
necesariamente se postergue por completo
eh el tema de la ley, sino que eh se
haga como o se retrase toda la ley o
simplemente se retrase la entrada en
funciones de la agencia. Esto en
términos jurídicos tendría razón de ser,
se puede, no
retrasar una cosa y otra no.
O sea, podría ocurrir, o sea, lo que yo
creo que va a mandar el gobierno son dos
cosas distintas. Uno es la designación
de los consejeros para crear la Agencia
de Protección de Datos, que
probablemente van a pedir que parta lo
antes posible porque esto de partido en
julio ya y no ocurrió. Pero la entrada
en vigencia de las normas de la ley
21,719, que es la que modificó la Ley de
Protección de Datos, la estarían
definiendo completa hasta el primero de
diciembre del 2027. Es decir, habría un
año más para que las empresas se puedan
adecuar.
Eh, ahora respecto de ese punto, bueno,
va a haber más tiempo para adecuarse,
pero es muy importante que las empresas
eh tomen conciencia, sobre todo las
empresas medianas, de la necesidad de
iniciar procesos de diagnóstico, saber
qué datos tengo, por qué los tengo,
dónde los tengo y cómo los tengo. Esas
cuatro preguntas que implican un estudio
importante, un diagnóstico y luego que
se vayan adecuando a los nuevos
estándares. Al final del día, una
empresa que tiene bases de datos
adecuadas y que tiene adoptadas las
medidas correctas de seguridad es una
empresa que tiene un nuevo activo, una
valoriza un activo, eh una empresa con
una base de datos adecuada de acuerdo a
la nueva ley le puede poner valor a esa
base de datos al momento una eventual
venta del de la de la compañía.
Adicionalmente es una empresa que tiene
es más competitiva porque pensemos que
ya las empresas de capitales europeos no
están permitiendo proveedores que no
acrediten estar adecuados en la ley de
protección de datos. Entonces es una
oportunidad también de desarrollar
nuevas alternativas, nuevos negocios y
tener mayor competitividad respecto de
aquellos que no han tomado la decisión
de adecuar. Y ahora, justamente hablando
de las empresas, pudiera haber quizás
dos lecturas en esto. La empresa que
estaba trabajando para prepararse de
aquí a diciembre, decir, "Perdí mi
tiempo, tengo un año más para prepararme
bajo eh el enfoque o o los recursos que
estuve, porque esto requiere recursos
para prepararse para ello. E, ¿qué se le
dice a esas empresas? Pero, ¿qué qué se
le dice también a las empresas que
todavía no habían alcanzado ni siquiera
empezar a prepararse para esto?
Respecto a las primeras, hay que decir
que tienen una ventaja comparativa
importante e materia de competitividad.
van a ser más competitivas que aquellas
que no están adecuadas, porque hoy día a
nivel internacional, insisto, el factor
de la adecuación a las normas de
protección de datos y estándares
internacionales es un valor que está
tomándose al momento de adjudicar
licitaciones. De hecho, según un estudio
que prontamente se va a publicar, se
señala que la decisión de consumo entre
personas entre 18 y 45 años está
condicionada también por el nivel de
privacidad que el oferente del servicio
le da a los datos del del consumidor. Y
entonces yo le diría, "No ha perdido el
tiempo, al contrario, está en mejor
posicionamiento y lo que va a ocurrir es
que va a tener un año de marcha blanca
para ir corrigiendo cada uno de esos
puntos que son propios de un cambio
cultural al interior de la organización.
va a haber tiempo eventualmente para
capacitar, para hacer ensayos, para
mejorar el registro de actividad de
tratamiento, para revisar si el
ejercicio de derecho SARSOP está o no eh
correcto para efectos de cumplir con
toda la legislación, vamos a poder
resolver dudas. Hoy día hay problemas de
interpretación. A mí me encantaría, por
ejemplo, que en este proyecto de ley que
se va a mandar hubiese una norma de
coordinación porque hoy día no hay norma
de coordinación. Entonces, si se si
ocurre, por ejemplo, un cív incidente
donde se roban datos de una entidad
financiera en el marco de una relación
de consumo, vamos a tener al CERNAC
diciendo que es el competente porque es
una relación de consumo, a la CMF porque
es financiera, a la agenciia de
ciberseguridad diciendo porque es un
ataque de ciberseguridad y a la de datos
diciendo no porque el activo robado es
datos
y no hay norma de coordinación. Eso es
lo que debe resolver el el legislador.
Ahí hay un punto relevante, ¿no? Y a las
empresas que no son adecuados, el
mensaje es claro. Ya les dieron una
especie como aparentemente les van a dar
una prórroga para que puedan adecuarse,
no pierdan el tiempo porque un
diagnóstico y una adecuación no se hace
en un par de meses.
O sea, que he visto desde el punto de
vista de la empresa dentro de todo esto
termina siendo una buena noticia. O sea,
para algunas para algunas,
claro, el problema va a ser para los
ciudadanos, que vamos a tener que seguir
sufriendo como ciudadanos, que haya eh
administración de bases de datos,
probablemente sin los niveles de
protección que nos daría la nueva
legislación si hubiese entrado en
vigencia el primero de diciembre. Usted
hablaba hace unos minutitos del tema de
la regulación internacional, estas eh
buenas prácticas que uno ha estado
viendo específicamente en Europa, cómo
Chile ha intentado, está intentando con
esto ponerse un poco eh al día con esta
decisión, en caso de que se llevara a
cabo, de que se postergue eh esta
entrada en vigencia,
se estaría afectando la credibilidad y
el posicionamiento de Chile a nivel
internacional. Bueno, hoy en la mañana
tuve un diálogo bastante franco con
algunas autoridades europeas que me, a
propósito de esta noticia me llamaron,
estuvimos comentando, estaban muy
preocupados porque Chile ha tenido una
ofensiva en lo que se llama la política
de data centers, ¿no? Eh, bueno, eh, los
data centers chilenos que almacenen
información de empresas chilenas no van
a ser considerados adecuados mientras no
entren en vigencia la ley. Entonces, el
problema que se produce es que podría
ocurrir que empresas con capitales
europeos no usen los data centers
instalados en Chile, porque Chile no va
a reunir las condiciones que el GDPR le
exige y que la Comunidad Europea le puso
como condición a Chile al momento de
actualizar el Tratado de Libre Comercio.
Entonces, la situación no es fácil,
digamos, y por eso es que es muy
importante que aquí haya un equilibrio,
¿no? Si se decide postergar la la
entrada en vigencia, bueno, tiene que
asumirse ciertas consecuencias que
podrían ocurrir, digamos, en materia de
negocios a otras industrias que tienen
que tratar datos o hacer transferencias
transfronterizas o internacionales de
datos. y cómo eh atajar quizás o su
recomendación hacia el ejecutivo, cómo
atajar una eventual huida o o decisión
de un inversionista extranjero de no
invertir en Chile, de no ocupar los data
center chilenos, por ejemplo, eh
mientras esto se está llevando a cabo. O
sea, yo creo que lo que debiera ocurrir
es que la autoridad debiera dar certezas
suficientes de que esta ley se va a
implementar y ojalá no en un año más,
sino 6 meses, digamos,
eh que la agencia va a empezar a a a
operar lo antes posible en un par de
meses y adicionalmente que haya una
norma de coordinación que termine con la
incertidumbre de cuál es el regulador
que va a actuar en caso de algún tipo de
incidente, ¿no? Porque también la
industria requiere de certeza del mundo
público. Probablemente lo que está
pasando es que también el gobierno se da
cuenta de que el Estado está enormemente
atrasado en esto. El Estado
probablemente es la institución o las
instituciones más atrasadas en la
adecuación en materia de protección de
datos. Y eso es un tremendo problema
porque no tenemos un estado organizado
en esta materia. Y cuando yo converso
con diferentes autoridades, observo que
algunas empiezan a sacar dictámenes,
resoluciones, instrucciones, perdón, no
tiene ni siquiera facultad
constitucional para hacerlo, algunas de
ellas. Entonces creo que quizere también
formar gente más o capacitar gente en el
estado que tenga mayor competencia para
resolver estos temas. de un ejemplo
práctico, eh había hay todo un un un
regulación de los datos de salud para la
telemedicina, por ejemplo, ¿no?
Entonces, todo esto eh tiene que tener
algún tipo de eh reparación y el
gobierno tiene que asumir que la
postergación de la ley va a significar
que los estándares reforzados que traía
la nueva legislación no operan o que a
ciertas bases de datos van a poder
seguir operando, digamos, por un tiempo
mayor. Ahora, no nos olvidemos una cosa,
que acá hay un ecosistema jurídico en
materia de protección de datos. No es
solo la ley de datos. Usted podrá
postergar la entrada en vigencia a esa
ley, pero hay una ley que está vigente,
que es la ley de delitos informáticos y
que establece sanción de cárcel penal
privativa de libertad para la compra y
venta de base de datos sin fuente de
legitimidad, que además es un delito
económico. Entonces, yo llamaría también
a las empresas que tienen hoy día o que
están comprando bases de datos a asumir
que pueden tener una afectación muy
delicada porque hay una ley que está
vigente, que no se va a postergar porque
se ya está rigiendo y que constituye un
delito económico y como bien sabemos es
el terror, digamos, de muchas
instituciones, digamos, por por el nivel
de escalamiento de responsabilidad.
Entonces aquí hay que mirar el bosque y
no solo el árbol, ¿no? De la ley.
Sí. Y quizás no parte de lo que iba
hacia las primeras preguntas que le
hacía. Esto no es necesariamente una luz
amarilla para las empresas para
relajarse ante lo que está pasando, pero
tampoco para eh tienes el plazo tan
encima.
Esto dan tiempo para empezar a o o para
agilizar el el entendimiento y el
aprendizaje interno de cada empresa.
Mirado el punto de vista positivo.
Claro, esto va a permitir a ciertas
empresas que no han tenido los recursos
eh humanos, económicos para contratar
especialistas eh para la adecuación,
hacer sus procesos de adecuación y creo
que es bueno hacerlo lo antes posible.
Eh, a nosotros nos pasa porque en la
experiencia nuestra es que partimos
adecuando la a la ley, adecuación puros
abogados y el poco andar nos dimos
cuenta que nuestros clientes no decían,
"Sí, está bien, tú me de Cuba y me hace
una excelente política de privacidad,
términos y condiciones, cláusulas
contractuales, pero necesito además que
la gobernanza me la hagan." Entonces ahí
cuando uno incorpora auditores al
proceso para la gobernanza y finalmente
creamos un equipo especial de
capacitación porque aquí se requer
gestión del cambio y hoy día además hay
plataformas que automatizan estos
procesos para que no signifique una
fricción desde el punto de vista del
desarrollo del negocio, ni tampoco que
le dediquemos, no tengo idea, la mitad
del equipo legal a protección de datos,
porque obviamente una empresa cuyo cord
el el el tratamiento de datos, no puede
estar destinando tantos recursos,
digamos, a eso y por Eso que hay que
automatizar el proceso. Así que el
llamado es a no bajar las los brazos, a
perseverar en el proceso de adecuación y
aquellas que no han partido a hacerlo lo
antes posible.
Se abre un espacio para la
judicialización.
Eh, si el Congreso eventualmente
posterga o si desde el ejecutivo se
posterga esta aplicación de la ley.
O sea, creo que la judicialización, si
no hay norma de coordinación, se va a
producir igual. Ya,
porque alguien va a decir, "Mire, es
cierto, usted postergó la ley de
protección de datos, pero está la de
delitos informáticos, está la de
ciberseguridad, está la ley fintech.
Entonces, se va a producir una situación
en la cual diversos reguladores van a
intentar cooptar ciertas potestades que
hoy día no están bien definidas en la
ley. Entonces creo que el gobierno si va
a hacer esto, que aproveche la
oportunidad e instale una norma de
coordinación. Es decir, ocurrido
una situación a el competente es este y
por tanto si este se hace cargo, excluye
el resto y así se va haciendo una más
allá de la buena voluntad de las
organizaciones o las instituciones
públicas se requiere una ley porque al
final del día Chile es muy legalista y
sabemos que la autoridad no responde
necesariamente a convenios de
colaboración, sino más bien a obligación
legal,
¿no? que ahí se asignan también
responsabilidades por parte de de las
instituciones la que tiene que responder
dependiendo de cada caso, ¿no?
Así es.
Se nos está acabando el tiempo. Más allá
de este proyecto eh puntual, ¿qué
enseñanza está dejando eh este episodio
específicamente eh a nivel sí judicial,
pero también a nivel político? ¿Y cuál
sería el mensaje que usted le daría al
presidente Cast, a su gobierno y a los
legisladores?
A ver, dos cosas. Yo diría que el
gobierno anterior eh cometió, a mi
juicio un error en el sentido de
plantear que la designación de la o la o
la instalación de la agencia se iba a
hacer mucho tiempo después, ¿no? Eso fue
un error, creo que debieron haberla
designado hace ya más de un año. Luego
el gobierno actual, evidentemente con
errores políticos bastante
bastante evidentes, ¿no? una terna eh se
arrepiente antes de que la terna sea
conocida por por el Senado, e la retira,
luego manda otra terna y resulta que no
logra los apoyos necesarios. Eh,
entonces la pregunta es, bueno, ¿qué va
a ocurrir acá? Hay un problema de de
gestión política, ¿no?, que que debiera
resolverse. Y lo que no me gusta, y lo
he dicho siempre y siempre me pasó lo
mismo cuando cuando estaba incluso en el
parlamento, es que no me gusta que los
gobiernos resuelvan mal las cosas para
darle el gusto al Parlamento.
Chile, las instituciones no merecen que
se designen personas por lealtades, sino
más bien por competencia. Mm.
Entonces, necesitamos, si que Chile
quiere volver a tener ese respeto por la
institucionalidad, necesitamos
autoridades que conozcan los temas, que
que conozcan el entorno completo y que
tengan capacidad de entender que esto no
es solo andar persiguiendo empresas,
sino también formando, ¿no?, eh, y y
educando para crear una cultura de
protección de datos como parte de la
sociedad chilena y no necesariamente
como un límite al desarrollo de
negocios. Hoy día en la era digital no
hay negocio posible sin datos.
Así es. Y quizás esto se había perdido
eh en el transcurso de los años con
tantos frentes abiertos que han tenido
los distintos gobiernos que que abordar.
Eh,
sí y y yo creo que también lo que
ocurrió fue que en la última etapa de
tramitación del de este proyecto de ley
se incorporaron modificaciones que
fueron francamente desproporcionadas. O
sea, tener las multas que tenemos en
Chile, que son las mismas que están en
Europa con la diferencia que en Europa
partieron esto el año 1983 con la ley
del censo en bon en Alemania. Y en Chile
recién lo lo lo instalamos en en norma
constitucional el año 2018. Entonces uno
dice, "Oiga, tenemos 50 años de
diferencia." Usted le pone las mismas
las mismas sanciones. Claro. Eh, usted
dirá, ¿qué empresa puede pagar el 4% de
las ventas? Además, los legisladores no
se dieron cuenta que hablaban de venta,
no de utilidades. Entonces, imagínese lo
que significa. No hay pocas empresas que
puedan pagar eso, ¿no? Se fija.
Eh, entonces
el impacto a la empresa mediana, la
empresa más chica,
¿sí? o cometieron errores, por ejemplo,
incorporar los datos socioeconómicos
dentro de la categoría de datos
sensible. Eso puede significar, por
ejemplo, que todos los buró de
información eh tengan que cumplir algo
que hoy día no tienen cómo justificar,
porque ellos dicen, "No, yo mi fuente de
información fue es la fuente de acceso
público y como los diputados la
eliminaron, ya no se puede invocar." Eh,
y la pregunta es, bueno, ¿y qué van a
hacer? Entonces, hay toda una situación
muy compleja detrás de esto que tiene
consecuencia y que muchas veces cuando
el legislador no sabe eh
vota o o modifica en base a lo que cree
que es bueno, pero no necesariamente a
lo que la evidencia eh señala.
Bueno, nos falta muchísimo por aprender
y muchísimos seguimientos que hacerle a
este tema una vez además también se tome
la decisión si se posterga o no y para
cuándo.
Así es. Pues
Felipe, muchísimas gracias por haber
estado con nosotros el día de hoy,
¿no? Gracias por la invitación y que nos
vaya muy bien.
Claro que sí. Nosotros ponemos ya de
esta manera punto final esta entrevista
con Felipe Arboe, abogado, ex senador,
coautor de la nueva ley de Protección de
Datos. Muchísimas gracias por haber
estado con nosotros y a ustedes por
seguirnos.
[música]