Seminario Adecuación a la nueva Ley de Datos en Chile

bueno se sigue conectando gente
vamos a esperar un poco
Perfecto
Bueno vamos a partir primero que todo
Muy buenos días a todos y bienvenidos a
este el primer webinar organizado por
ley de datos sobre proceso de adecuación
a la nueva normativa de protección de
datos y su implementación al interior de
las empresas
saludamos a todos Quienes se encuentran
conectados el día de hoy y nos acompañan
en este evento el cual hemos organizado
para todos los profesionales interesados
en la protección de datos personales me
presento mi nombre es Ignacio Gallardo
soy abogado máster en derecho digital y
uno de los socios fundadores de la ley
de datos en primer lugar para quienes
recién nos están conociendo quisiera
comentarles que ley de datos es una
empresa
que desarrolla soluciones tecnológicas
relacionadas con el tratamiento de los
datos personales nuestro principal
objetivo es facilitar a todas las
empresas la implementación de lo que es
la nueva normativa de protección de
datos personales
que como muchos de Ustedes sabrán se
encuentra actualmente en discusión en el
congreso un proyecto de ley que busca
reformar la actual normativa y
ordenamiento jurídico chileno el cual
Data de los años 90 para efectos de
llevarlo a estándares internacionales
como los que realizaremos más adelante
por lo mismo nuestro principal objetivo
es facilitar a todas las empresas la
implementación de esta nueva normativa y
Contamos con herramientas tales como por
ejemplo el mapeo de datos el registro de
actividades de tratamiento
el Las evaluaciones de impacto los
inventarios de activos entre otras
herramientas Así mismo dentro de nuestro
propósito como empresa se encuentra
precisamente
el acercar a todos ustedes los
diferentes conceptos que envuelven el
ecosistema de la protección de datos
personales a fin de que se puedan
familiarizando y profundizando en estos
conceptos para efectos de que ustedes
también a su vez puedan implementarlos
en sus respectivas organizaciones
dicho esto estamos muy contentos primero
porque tenemos una gran convocatoria el
día de hoy Y en segundo lugar porque
Contamos con la presentación de dos
grandes exponentes
ya poco cortinavis y Cristina faraón
quienes ya se encuentran conectado y
aprovecha también de saludarlos
también comentarles que con Contamos con
un link que se encuentra en el chat de
de la plataforma en el cual Ustedes
pueden ir ingresando sus preguntas las
cuales contestaremos también Al final de
la exposiciones
también pueden enviar sus preguntas por
el chat de zoom las cuales las
revisaremos y se la daremos también a
los expositores
Pues bien en honor al tiempo dejo con
ustedes a nuestro primer expositor él es
abogado especialista en protección de
datos gestión de riesgos y con playas
actualmente es gerente de exits y
también es docente en distintas
universidades e instituciones de España
además es miembro del comité técnico
uner sobre el sistema de gestión de
cumpleaños y del comité técnico hizo
sobre gobernanza de la organización
dejo con ustedes entonces a yacopo quien
ha venido especialmente el día de hoy a
exponer a todos ustedes
perfecto muchas gracias Ignacio por la
presentación y la verdad que
es un placer compartir con vosotros y
con todos los asistentes
Bueno este gran cambio normativo que
va a conllevar la entrada de vigor de la
de la nueva normativa chilena en materia
de protección de datos básicamente mi
intervención se va a centrar en cuatro
puntos un primer
una primera introducción sobre los
puntos de contacto entre
el reglamento europeo en materia de
protección de datos y normativa
el proyecto de normativa chilena materia
de protección de datos después un
análisis del proceso de adecuación a
reglamento
europeo en materia de protección de
datos es decir todas las actividades que
han tenido que llevar a cabo las
empresas europeas para adaptarse a este
nuevo marco normativo Espero que este
punto sea de interés Porque
en mi opinión muchas de las dudas que
se están generando a fecha de hoy en
Chile sobre el proceso de adecuación
quizás a través de la revisión de
de este punto ya se podrán solucionar o
simplemente
básicamente compartir la experiencia
europea puede ser un buen Punto de
partida el tercer punto
analizaremos muy brevemente
los programas de cumplimiento en materia
de protección de datos que es uno de los
grandes cambios que también en este caso
plantea
Aunque en forma indirecta el reglamento
europeo de protección de datos Y por
último
considero importante también indicar
las principales acciones que han en
Europa
vinculadas al incumplimiento de
reglamento europeo Bueno antes de
empezar a revisar los puntos de contacto
y después el proceso de adecuación que
en mi opinión es la fase más interesante
de esta presentación es importante tener
presente un poco la normativa Europea de
referencia en este caso nos estamos
refiriendo a reglamento europeo en
materia de protección de datos que ha
sido aprobada en el 2016 y ha entrado en
vigor en el 2018 y como veremos más
adelante lo que ha hecho el legislador
europeo ha sido dejar a las empresas
europeas
un margen de tiempo para adecuarse un
poco las etapas que
las empresas europeas han dado para
adecuarse a la a la a la normativa
europea un aspecto importante que hay
que tener presente para entender un poco
el contexto normativo es que
el reglamento europeo es un instrumento
jurídico europeo es bastante eficaz
porque son normas que son directamente
aplicables en todos los
estados europeos a diferencias de las
directivas que necesitan una
transposición al nivel local
a nivel europeo También es importante
tener presente que además de
reglamento europeo en materia de
protección de datos los diferentes
países que componen la Unión Europea
también han aprobado normativas locales
que
cuyo objetivo es un poco integrar el
texto europeo estamos hablando de una
norma europea bastante importante
son un total de 90 artículos y más de
170 considerandos Entonces estamos
hablando de una normativa que introduce
bueno ha introducido en su día
nuevas obligaciones para
y cómo se estaba comentando además a
nivel local español
contamos también con la normativa local
que es la Ley Orgánica de protección de
datos y garantía de derechos digitales
que es la Norma que junto con el
reglamento europeo regula el tratamiento
de dos personales aquí en cuanto a la
Norma española por vuestro por vuestra
información tener en cuenta que la
normativa llega a regular también los
derechos digitales de la de las personas
y en particular
también los derechos digitales de los
trabajadores para que veáis un poco
indicó esto para que veáis un poco la
diferencia entre el reglamento y después
normativas locales y todo esto bueno
básicamente tras una breve revisión del
proyecto de ley en este caso
se han Bueno he podido detectar
diferentes puntos de contacto en este
caso me refiero por ejemplo aquí lo que
he hecho ha sido indicar un poco los
puntos de contacto los principios en
materia de protección de datos son los
mismos la comparativa es siempre con el
reglamento europeo el principio del
instituto transparencia limitación de la
finalidad minimización plazo de
conservación que esto ya para entrar un
poco en el contenido el principio
vinculado a la limitación del proceso de
conservación es decir que los datos
personales
se tienen que tratar solo el plazo de
tiempo necesario para conseguir la
finalidad por el cual se tratan y
después hay que borrarlos es uno de los
principios de las obligaciones que
incluso a las empresas europeas está
costando más implementar
bueno las obligaciones vinculadas a las
variedades y tú Aquí indicar que
tanto la normativa chilena como la
oportunidad normativa europea introduce
la nueva base del instituto que es de
interés legítimo y para que
podáis tener un poco constancia de la
situación en Europa el uso de la base
legítima está generando bastante dudas
de hecho ha sido objeto de sanción por
parte diferente es
autoridades de control en cuanto es un
uso apropiado las condiciones para el
consentimiento son las mismas de verte
informar los derechos de los interesados
hay diría una total coincidencia entre
normativa Europea y
y proyecto de ley chileno Y en este caso
sí que un aspecto bastante importante
que
también indicado iñaz en su presentación
que en este caso sí que la normativa
europea prevé la obligación de tener un
registro de actividades de que no es
otra cosa que un inventario de los
tratamientos llevados a cabo por parte
de la de responsable de carrera de
tratamiento y por otro lado la la
normativa el proyecto de ley chilena ya
veremos más adelante que en realidad a
pesar de no ser un documento obligatorio
en base al proyecto de ley chileno y
Incluso en base a reglamento europeo la
obligación de tener un registro de
actividades de tratamiento
solo para las empresas con más de 250
empleados a pesar de esto ya veremos
como
los inventarios tanto de activos de
soporte como
del tratamiento de datos se representan
la piedra angular diría de cualquier
sistema de cumplimiento programa de
cumplimiento en materia de protección de
datos y sin duda alguna es una actividad
que hay que llevar a cabo Sí o sí de
hecho es la primera actividad que hay
que llevar a cabo para normativa y
también indicar que otros puntos de
contacto muy relevantes que representan
también una de las principales novedades
de reglamento europeo
que han sido introducidas en su día en
el 2018
son las cuestiones vinculadas a la
evaluaciones de impacto y
responsabilidad proactiva en gestión de
riesgos entonces para concluir y sin
entrar demasiado en detalle
la por el momento el proyecto de ley
chileno
introduce básicamente casi las mismas
obligaciones prevista por reglamento
europeo aquí indicar que
es un fenómeno bastante difundido el
hecho de que el reglamento europeo tras
su entrada en vigor en Europa en el 2018
se ha transformado como un marco de
referencia para otros ordenamientos
jurídicos por ejemplo también
para que veáis un poco la fuerza que
tiene esta territorial también el
reglamento europeo en Costa Rica se está
debatiendo sobre la modificación de la
normativa local y también en este caso
se ha escogido como modelo como marco de
referencia reglamento europeo el
reglamento europeo además es muy
importante para todas aquellas empresas
extranjeras establecidas fuera de
de del espacio económico europeo que
pero este prestando servicio interesados
ubicados en espacio económico propio
Aquí es importante tener en cuenta que
en base artículo 3 de reglamento europeo
y el reglamento europeo resulta
aplicable no solo a las empresas
ubicadas en Europa sino también a
aquellas empresas ubicadas fuera del
espacio económico europeo pero que esté
prestando servicios interesados ubicados
en el espacio
económico europeo y de aquí también la
obligación para estas empresas
extranjeras que prestan servicios para
interesados ubicados en la Unión Europea
la obligación de nombrar un
representante local
bueno dicho lo siguiente
ahora lo que me parece interesante
plantear es un poco Cómo llevar a cabo
el proceso de adecuación eso Porque es
importante porque como os comentaba el
reglamento europeo
y había dejado a las empresas europeo un
plazo de dos años para adecuarse y aquí
la verdad que para que compartir con
todos los asistentes un poco el proceso
de acción europeo indicar que el proceso
de adecuación en Europa ha costado
bastante las empresas de hecho a pesar
de tener estos dos años de margen para
adaptarse la nueva normativa la mayoría
de empresas
han empezado los proyectos de adecuación
Durante los últimos meses
del 2017 y los primeros meses del 2020 y
indicar que
tanto los años 2019 2020
[Música]
la mayoría de empresas
de alguna forma ya expresaban un poco su
preocupación a la adecuación a la
normativa Europea y en las dificultades
que esta devoción estaba planteando
en cuanto al proceso de adecuación
indicaros que
y que hablamos un poco del reglamento
europeo
claro es un proceso de adecuación
bastante complejo porque como podemos
ver en esta en estas conlleva la
necesidad de llevar a cabo muchas
actividades elaborar muchos documentos
implementar diferentes medidas
organizativas y técnicas para cumplir
con la normativa Entonces esto el
proceso de adecuación dependiendo
claramente del tamaño de la empresa va a
ser un proceso bastante largo las
empresas deberán aquí os pongo un poco
listado no exhaustivo de las actividades
y documentos que deberán
elaborarse elaborar un rastro encargado
y responsable elaborar políticas de
protección de datos una política de
conservación de los datos medidas
técnicas para borrar los datos de forma
segura
protocolos internos para la gestión de
brechas de seguridad la gestión de
derechos se encargado la gestión de los
encargados del tratamiento
una cheque lista para verificar la
prioridad de interés legítimo protocolos
y políticas de privacidad por diseño por
defecto que es una de la
grandes cambios introducido por el
reglamento europeo y también que figura
en el proyecto de ley chileno la figura
del delegado de protección de datos que
a diferencia del proyecto de ley chileno
en Europa es obligatorio esta figura en
determinados Opuestos la definición de
programas de auditorías de cierto el
proceso de adecuación a la reglamento
ha conllevado muchos esfuerzos a las
empresas debido a que dichas empresas
han tenido que implementar un conjunto
de medidas organizativas y técnicas para
cumplir con los principios en materia de
protección de datos y toda la parte de
seguridad de los datos que también en
este caso el proyecto de ley chileno
recoge su texto entonces la primera
pregunta que nos podríamos plantear por
dónde empiezo aquí indicar que
básicamente para
adecuarse correctamente a la normativa
es muy importante llevar a cabo una
actividad previa de planificación tanto
que tanto para las empresas más
estructuradas y más maduras quizás en
materia de protección de datos como las
empresas más pequeñas
en cuanto a la planificación me refiero
a sobre todos los profesionales que
[Música]
se dedican a protección de datos dentro
de las empresas la necesidad de informar
a los órganos directivos de básicamente
la futura entrada en vigor de esta
normativa y también la necesidad de
planificar un poco las actividades de
adecuación que
ahora os indicaré aquí el tema muy
importante que para un poco compartir
también la experiencia europea la un
cambio normativo tan relevante
representa tanto riesgo es decir que
básicamente se introducen nuevas
obligaciones que la empresa tiene que
cumplir materia de protección de datos
probar es presentar también a gran
oportunidad para todos aquellos
profesionales que se dedican protección
de datos Y es un poco bueno la
experiencia europea que a partir de la
entrada en vigor de reglamento europeo
también
las empresas han apostado bastante para
el cumplimiento protección de datos y
han empezado a aparecer figuras como la
del delegado de protección de datos que
antes de la entrada en vigor de
reglamento europeo no existían entonces
para explicar muy brevemente los pasos
que hay que dar para adecuarse a la
normativa materia de protección de datos
que sea tanto europea como en este caso
chilena el primer paso que hay que dar
ahora veremos un poco la importancia es
elaborar los registros de actividad de
tratamiento vuelvo a decir a pesar de
que quizás el proyecto de ley chileno en
este momento no prevea la figura Ok este
documento Pero así como veremos más
adelante es un documento básico y
imprescindible para garantizar el
cumplimiento
dentro de la organización de la
normativa materia de protección de datos
por registros se entiende básicamente un
inventario de las actividades de
tratamiento llevadas a cabo y también de
los activos de soporte que se utilizan
para a los datos personales los activos
de soporte es muy importante
identificarlos puesto que
la seguridad del dato depende de las
medidas de seguridad
implementadas de los activos de soporte
que se utilizan para tratar los datos
Okay entonces después de esta primera
fase de inventario de activos y de
actividades de tratamiento
el siguiente paso sería la en este caso
para para en base al proyecto de ley
chileno que es verdad no previene la
figura del delegado de protección de
datos pero lo que deberían hacer los
organizaciones es la valorar la
posibilidad de encomendar un poco la
gestión del cumplimiento en materia de
protección de datos a una figura interna
o a un departamento incluso Ok después
después a ver elaborado los registros
definido quién se va bueno como os
comentaba en Europa la figura que se va
a encargar un poco de la gestión del
cumplimiento en materia de protección de
datos es el delegado Data protección
oficial delegado de protección de datos
Pero esto no quita el hecho de que
aunque el proyecto de ley chileno no
haga referencia esta figura la necesidad
para garantizar el cumplimiento
normativo dentro de la Organización de
identificar un área una función
específica
competente en materia de protección de
datos el siguiente paso después sería
verificar la necesidad de realizar una
evaluación de impacto Y en este caso sí
que
hay una completa coincidencia entre
proyecto de ley chileno y el reglamento
europeo que hay es decir hay que hacer
una valoración previa a efectos de
valorar si él los tratamientos que está
llevando a cabo la organización son
tratamientos de alto riesgo y de esto
llevar a cabo una evaluación de impacto
una gestión de riesgo ordinaria
implementar todas las medidas
organizativas y técnicas que hemos
brevemente revisado antes y después otro
factor muy importante la actividad de
auditoría y revisión esto porque porque
la única forma para garantizar un
cumplimiento constante de la de la
normativa es llevar a cabo una actividad
de revisión que
básicamente los instrumentos principales
de la actividad de revisión son
auditorías internas eso es importante
indicar que
básicamente lo que hay que hacer No es
solo averiguar sino adecuar mantener
revisar y
básicamente garantizar y mejorar el
sistema de cumplimiento en materia de
protección de datos
bueno entrando un poco más en detalle
analizaremos solo brevemente la figura
de los registros y su importancia dentro
de lo que es el cumplimiento de materia
de protección de datos y de Las
evaluaciones de impacto Porque es
importante
elaborar los inventarios o que hay
inventarios o también llamado registro
de actividades de tratamiento porque el
hecho de no identificar una actividad de
tratamiento que se está llevando a cabo
dentro de la organización conlleva la
imposibilidad de llevar a cabo
correctamente el proceso de adecuación y
cumplir con la normativa aquí para que
tengas un poco una referencia
la reglamento europeo sí que defiende un
poco los elementos básicos que tienen
que figurar en el rap y en este caso el
artículo 30 del reglamento europeo hace
referencia por ejemplo a una breve
descripción el tratamiento la finalidad
la base de licitud
los destinatarios sean tanto otro
responsable de tratamiento en
tratamiento
la la si en el tratamiento se llevan a
cabo transferencias internacionales eso
es importante bueno decir y es básico y
diría que como has comentado antes un
poco la piedra angular de todo el
sistema de cumplimiento y del
cumplimiento en materia de protección de
datos en general los registros de
actividad de tratamiento que consiste
básicamente saber aquí os he puesto una
imagen que sirva un poco para expresar
este concepto y la importancia de rat
saber lo que tiene una casa okay sí no
hago correctamente un inventario
registro de actividades de tratamiento
no podré llegar a gestionar
correctamente los riesgos que afectan a
las actividades de tratamiento que estoy
llevando a cabo y otro tema muy
importante
siempre volviendo un poco a la
experiencia europea es muy importante
llevar a cabo esta actividad
de forma
detallada y también con mucha atención a
la calidad de la información recogida
esto es un consejo que os doy porque
viendo un poco la experiencia europea
muchas empresas y estoy hablando también
de empresas de
Gran tamaño han tenido después de la
entrada en vigor del reglamento europeo
y estoy hablando del
2019-2020 volver a elaborar los
registros de actividades de tratamiento
puesto que en su día cuando Se
realizaron el 2017 principios del 2018
no se habían laborado con la suficiente
calidad aquí un tema muy importante que
como os comentaba antes en el registro
de actividades de tratamiento o como
documento separado hay que identificar
también los activos de soporte eso es
importante porque la seguridad del dato
depende de los activos de soporte que
intervienen en el tratamiento y vuelvo a
decir errata
que en Europa la normativa requiere
elaborar un redacto de responsabilidad
de tratamiento una vez encargado es un
elemento imprescindible para cumplir con
la normativa y también gestionar los
riesgos para la seguridad de los datos
Entonces cómo se elaboran los gastos el
objetivo es claramente identificar todas
las actividades de tratamiento llevado a
cabo por la organización mi consejo es
partir del organigrama de la sociedad
identificar los tratamientos por proceso
es decir al entrar en el área del
recurso humano y identificar los
tratamientos por proceso
Selección del personal contratación
elaboración de nóminas
hay efectos de identificar aquellos
procesos internos que tratan datos
personales eso es bastante útil y eficaz
el hecho de identificar los tratamientos
en base a los procesos internos de la
organización Cómo se identifican los
tratamientos a través de reuniones
internas con el personal o simplemente
también a través de check lista para
compartir un poco la experiencia europea
que se envían a las diferentes áreas y
permiten
mapear los tratamientos y aquí una
elemento muy importante
el hecho de utilizar herramientas
informáticas que permitan elaborar y
mantener actualizador
como os comentaba antes
una de las áreas de cumplimiento que ha
generado más problemas para las
organizaciones ha sido la elaboración de
los relatos y un poco en base a mi
experiencia las empresas quizás de un
determinado tamaño incluso que desde el
principio han implementado herramientas
informáticas para
elaborar los han tenido ventajas
bastante relevantes en lugar de decir
elaborar ficheros ofimáticos Word o
Excel bueno pasando un poco al siguiente
tema que
considero importante plantear
ahora hablaremos brevemente la
evaluaciones de impacto y gestión de
riesgos esto por qué Porque en base al
proyecto de ley chileno y también Así ha
sido para el reglamento europeo se trata
de una de los cambios más relevantes
en materia de protección de datos
básicamente
porque suenen tan importantes esas
actividades porque la normativa en
materia de protección de datos la uropia
y incluso ahora el proyecto de ley
chileno vas a Estas actividades como
imprescindibles para
cumplir con la normativa entonces para
que vea ese rápidamente un poco la
actividad de
de que hay que llevar a cabo vinculación
de impacto es cuando de nuevo
tratamiento hay que valorar si estamos
en una situación de alto riesgo y si
estamos en una situación de alto riesgo
de impacto Esto es lo que llamamos bueno
en Europa es un poco la evaluación
objetiva En qué consiste una evaluación
de impacto aquí la verdad es que el
reglamento europeo es bastante claro
sobre este punto consiste en llevar a
cabo una descripción detalla del
tratamiento valorar la necesidad de
proporcionalidad evaluar evaluar los
riesgos que afectan al tratamiento aquí
indicar que la agencia española por
ejemplo ha indicado que existen
diferentes riesgos
que afectan los tratamientos riesgo para
asegurar los datos de incumplimiento y
para los derechos y libertades aquí
también os he puesto alguna referencia
de guía tanto de la autoridad de control
española como del comité europeo de
protección de datos que facilitan
directrices para llevar a cabo la
evaluación de impacto y también una
norma ISO la 29.139 que que básicamente
Define directrices para llevar a cabo
evaluaciones de impacto bueno aquí
concluyo sobre los programas de
cumplimiento en materia de protección de
datos básicamente aquí
estamos hablando de un nuevo concepto
Bueno en realidad tampoco muy nuevo pero
sí bastante nuevo si se aplica a la
normativa materia de protección de datos
aquí indicar que sobre todo el
reglamento europeo obliga de facto a
todas siempre responsables en claro el
tratamiento ha implementar un programa
de cumplimiento esto porque el artículo
5 de 24 del reglamento europeo obliga a
la responsabilidad encargado del
tratamiento cumplir con la normativa
el por gran problema que tenemos es que
tanto la ropa como en el proyecto de ley
chileno que no se facilitan directrices
para
implementar un sistema de un programa de
cumplimiento y por este motivo lo que os
propongo en estas light son algunos
estándares de referencia que se pueden
utilizar para
implementar un programa de cumplimiento
aquí Me refiero a un estándar inglés que
el bce 2012 a la más conocida ISO 26701
y también a la ISO 37.301 que es una
norma de que permite implementar
programas de cumplimiento sistema de
cumplimiento que pueden ser aplicados
también a protección de datos aquí
termino pido disculpas que me he
alargado un poco indicando que
tras la entrada en vigor del reglamento
europeo en Europa han habido sanciones
muy relevantes Para que veas un poco el
impacto que va a tener que ha tenido y
que tendrá el futuro también la
normativa chilena pero a las empresas en
Europa
se ha Interpuesto una sanción hace unos
meses a meta al grupo Facebook para
llamarlo así de 1200 millones de euros
Ok y en España por ejemplo el sector más
al sector bancario y en los últimos años
se han Interpuesto sanciones bastante
relevantes y incluso por no haber
elaborado correctamente una evaluación
de impacto Okay Es verdad que la mayoría
de sanciones están vinculadas en
cumplimientos del deber de deber de
informar pero también
han habido últimamente también sanciones
por el hecho de o no haber elaborado una
evaluación de impacto o no no haberla
elaborado correctamente y incluso por
incumplimiento de el principio principal
de
aquí en la ppt que pasaré a Ignacio Pues
también algunos links de interés al
comité europeo de protección de datos o
la autoridad francesa española
las normas ISO y bueno con esto
básicamente termino
indicando un poco eso la importancia o
decir de en el proceso de adecuación por
un lado de planificar correctamente esta
actividad y por otro lado de como primer
paso
imprescindible elaborar los registros de
actividades de tratamiento y Bueno
aquí termino Ignacio y os dejo la
palabra Muchas gracias Jacobo muy
completa tu presentación vemos Que
resulta una tarea titánica al parecer la
implementación de de todo lo que es la
normativa de protección de datos al
interior de la empresa Pero no ha
ordenado bastante la idea y no ha podido
orientar un poco de cómo es este proceso
así que te agradecemos
bueno siguiendo con las presentaciones
viene ahora la exposición de Cristina
farah ella es ingeniero comercial
economista y máster en derecho a los
negocios diploma planes y gobierno
corporativo
ejecutiva sen ior una destacada con una
destacada trayectoria de más de 25 años
la industria financiera y en consultoría
es especialista en temas de cumplimiento
con efa sin protección de datos
personales una mirada transversal y
práctica a las organizaciones
actualmente está a cargo de Data
complains en una empresa una destacada
empresa chilena dejo con usted a
Cristina Muchas gracias Cristina
perfecto me pueden avisar si ven la
pantalla por favor
Sí se ven perfecto primero agradecer a
Sergio a Rodrigo y a Ignacio de la por
la invitación a participar y a estar hoy
día con ustedes y también agradecerle a
los asistentes que nos están acompañando
la idea de mi presentación hoy día es
bastante práctica Espero que les
que les resulte Útil para poder adecuar
o poner énfasis en algunos temas dentro
de la de la organización
alguna consideraciones iniciales que
quisiera compartir tiene que ver con Qué
es un dato pero pero no no en lo medular
del dado sino algunas características
del dato electrónico No no el físico
a mí me gusta mucho esta reflexión que
el dato dentro de la organización es un
activo cualquiera los dos en papel o
electrónico digamos pero el electrónico
tiene una característica Y es que puede
ser consumido por muchísimas personas a
la vez por lo tanto a diferencia de otro
tipo de activo que tiene la organización
si tienen alguna retroexcavadora solo la
puedo usar en una faena y no la puedo
estar usando sin simultáneamente en
distintas faenas a la vez y otra
característica que tiene es que incluso
me lo pueden robar y yo no darme cuenta
de ello no lo pierdo porque alguien me
lo está robando es un activo que no se
deprecia por por consumirlo sino que se
deprecia por ir quedando obsoleto y es
importante conocer el dato
en todo el ciclo de vida desde que yo
capturo el dato hasta que lo elimino
porque en la medida que conozco el dato
y mantengo la calidad del dato mantengo
el valor que va a generar en la
organización
y una consideración ética que tiene el
uso del dato es que no debemos dañar
nunca Al titular del dato nosotros
hacemos uso de la información personal
pero no debemos
dañar cierto Al titular del dato del
mismo
Vamos a repasar brevemente los
principios que tiene el el la ley y el
proyecto de ley chileno pero con énfasis
a Qué significa esto en la práctica el
principio del instituto en el proyecto
de ley dice que solo puedo hacer lo que
cierto lo que se regula a través de de
la ley
y aquí o sea puedo usar los datos según
lo que la ley me dice y aquí es
importante identificar hoy día qué datos
tengo en la organización y cómo los
obtuve también asociar los datos que
tengo a las legislaciones pertinentes
por ejemplo toda la información laboral
que tengo en mis colaboradores tienen
como base del instituto cierto lo que me
obliga el código del trabajo
es importante verificar el alcance de
los consentimientos que hemos solicitado
nuestros clientes porque eso es lo que
más allá de la de lo que establece una
ley en particular puedo hacer con los
datos
en el en la eventualidad que me doy
cuenta que mi consentimiento no es
suficiente para el tratamiento del dato
Necesito ir a ampliar o ir a volver a
obtener un consentimiento que abarque
este tipo de tratamiento que quiero
hacer
yo sé que estos dolorosos Para algunas
empresas pero hay que eliminar aquellas
bases de datos respecto a las cuales no
tengo Claridad si tengo o sea si tengo
un
un derecho legal de utilizar le tengo
una ley que me faculta para ello o bien
tengo el consentimiento y aquí
antiguamente se prestaba o se utilizaba
mucho el concepto de vender bases vender
y comprar bases de datos pero hoy día
Debería ser un registro de lo que tengo
y eliminan aquellas respecto a las
cuales no tengo el principio de licitud
activo digamos
y lo otro que es súper importante tener
un registro actualizado de las
revocación de consentimientos que hagan
los titulares de los datos
respecto del principio de finalidad el
proyecto ley dice que debe ser
recolectado con fines específicos
explícitos ilícitos cierto y esto es la
práctica significa que yo antes de ir a
capturar los datos antes de de ir a
escribir un consentimiento si es lo que
voy a requerir para poder tratarlo es
reflexionar dentro de la organización
qué datos requiero esto es con el ánimo
de no ir
reiteradamente a pedirle un
consentimiento adicional o un
consentimiento mayor al titular de datos
es súper importante desde el inicio del
proyecto desde que tengo una idea de un
proyecto de un servicio nuevo de un bien
nuevo que Quiero ofrecer a los
consumidores Respecto a los cuales de
alguna manera voy a estar capturando los
datos personales es involucrar al
delegado de protección de datos
emocionales o la persona que tenga el
rol de de Peón como por las siglas en
inglés digamos esto es con el ánimo de
no tener que corregir una vez que el
proyecto ya están dando o demorarlo a
veces Se involucra tardíamente a las
personas que tienen a su cargo la
protección de datos personales y el
proyecto que está contemplado para salir
en tres meses dos semanas antes de la
salida Le pedimos la opinión al al
encargado de protección de datos
personales nos hace algunos reparos o
nos dice que tenemos que adecuar esto y
lo otro y el proyecto ya está a punto de
salir y por lo tanto se produce un
retraso y habría sido evitado el evitado
si en el inicio del proyecto cierto lo
involucramos a él con las experiencias
que tienen la finalidad declarada tiene
que ser completa y aquí hay que evitar
generalizaciones imprecisiones o algo
que pudiera producir incertidumbre al al
titular del dato
lo otro es que hay que tener Claridad el
uso de cualquier uso voy a hacer con la
información personal y cotejar lo que lo
de declarado tiene relación con la
finalidad y también en el tiempo porque
a veces la Declaración inicial está
perfecta pero con el tiempo nos damos
cuenta que hemos usado el dato o
queremos usar el dato por algo distinto
Y no y no tiene que quedar estático
digamos hay que hacer una revisión
periódica
definir mecanismos de actualización de
consentimiento cuando necesitamos y aquí
es importante no hacerlo
quiero un dato pido el consentimiento
pido un dato amplio si no tener una
mirada bastante más de largo plazo
también para no agotar y no estar
cansando a nuestros clientes y lo otro
que esto es difícil pero es no
compartirlo dentro de la organización
para un inicio y distinto al declarado
si yo capturé el dato con e informe el
titular que lo voy a usar solo para esto
no porque viene otra área dentro de la
organización y me dice Oye Cristina Pero
tú tienes la base de datos yo la
necesito y el uso que va a hacer no
tiene relación con la que le informamos
Al titular
respecto
al principio de proporcionalidad esto es
que tengo que usar los datos cierto para
que sea necesario no no puedo estar
pidiendo
información y a mí me gusta mucho usar
esta expresión pero por si acaso pidamos
todo pidamos todos total después vemos
para que lo usamos la verdad es que yo
tengo que acostumbrarme dentro de las
organizaciones a pedir lo mínimo
necesario para llevar a cabo lo que
necesito esto nos ayuda a minimizar el
riesgo de privacidad digamos porque
Cuanto más datos tengo más riesgo tengo
y cuando tengo datos solo porque tal vez
mañana me van a servir estoy exponiendo
la organización un mayor nivel de riesgo
lo otro es que es súper importante
conocer Cuál es el plazo que de
retención legal específica que tienen
los datos los plazos de retención no son
comunes para todos los datos personales
y solo a modo de ejemplo la ficha
clínica tiene que estar guardada quince
años desde el último registro por lo
tanto si hay trabajo en una
en un hospital en una clínica tengo que
tener claro que ese es el plazo de
eliminación de la de la Data por lo
tanto ese va a ser el plazo y es súper
importante porque uno tiende a
generalizar es más barato Digamos si yo
digo Mira los cinco años destruyo todo
pero hay distintas normativas Perdón
leyes específicas que me obligan a tener
plazos de retenciones para los distintos
tipos de datos personales
lo otro es no pedir información
Solamente porque es bien visto O sea si
yo lo necesito conocer la identidad
sexual No necesito preguntar
no necesito preguntarlo aunque quiera
Mostrarme como una compañía como una
entidad que que adopta políticas de
diversidad e inclusión si no es un dato
necesario
recolectarlo me expone a un mayor nivel
de riesgo
lo otro que es súper importante es no
confundir la anonimización con la
encriptación la anonimización no es
reversible una vez que yo no ni mizo el
dato No hay forma de Volver atrás e
identificar Al titular del dato cuando
yo encripto es una información significa
que quien tiene la llave de
desencriptación va a poder saber con
exactitud Quién es el el titular de
datos Y este es un error que se comete
bastante por eso se lo se los menciono
al igual que los otros principios es
involucrar al delegado protección
crear políticas de conservación y
políticas de destrucción de la
información y dentro de esta política es
súper importante levantar actos de
destrucción de datos cuando yo concluye
el periodo por el cual requiero la
información y la voy a destruir poder
hacer un catálogo de lo que fue
destruido quién lo autorizó es súper
importante
y lo otro es incorporar cláusulas a
nuestros proveedores que accedan a la
información personal cierto a devolverla
o a destruirla Y también si la destruyen
que nos entreguen un acta de destrucción
de los datos
en relación a los principios de calidad
del proyecto de ley nos señala que tiene
que ser exactos completos y actuales
cierto y ahí
es importante que la calidad del dato se
se mantenga a través de todo el ciclo de
vida del dato y no hacer el énfasis
solamente en el momento de captura y
tener presente que cuando el dato es de
mala calidad pierde valor la empresa
digamos y lo otro es implementar
mecanismos tecnológicos y físicos que
eviten la adulteración del dato y
también esto está ligado cierto con la
falsificación informática que uno de los
delitos informáticos
el principio de responsabilidad del
proyecto de ley lo que nos dice es que
serán Perdón legalmente responsables del
cumplimiento de los principios
contenidos en este artículo o sea
tenemos que cumplir la ley que es
bastante básico digamos y acá lo puse en
negritas que es hacer diagnóstico de
cómo estamos hoy frente al proyecto de
ley porque esto Toma bastante más tiempo
de lo que uno piensa es bastante más
extenso en términos de tiempo de
recursos
involucra a toda la organización Esto no
es una tarea que se le pueda dar
solamente al encargado de la protección
de los datos esa persona va a liderar el
proyecto va a liderar el proceso se va a
tener que juntar con todas las áreas va
a tener que entender todos los procesos
de la organización y por lo tanto es un
tema que Toma bastante tiempo bueno y lo
que es bastante obvio subsanar cierto lo
que nos expone un incumplimiento
y lo otro es hacer esto Esta evaluación
este diagnóstico con la la mirada de
gestión de riesgo es súper importante
bueno capacitar capacitar y capacitar lo
puse tres veces no por por fanática sino
porque realmente es el énfasis hay que
capacitar a toda la organización Hay que
crear una cultura de protección de datos
Y eso también toma Toma bastante tiempo
y lo otro que me parece súper importante
cuando tratamos datos personales es
siempre invitar o sea Perdón siempre
explicar a nuestros colaboradores Cuál
es el riesgo personal que ellos asumen
cuando tratan datos personales y solo a
modo de ejemplo le estoy citando a la
Ley General de banco en que pone
respecto al secreto cierto al secreto
bancario ya las penas personales para
quien divulguen la información
los principios de seguridad bueno
tenemos que garantizar que que los datos
que tenemos los estamos protegiendo
adecuadamente y aquí es súper importante
poder clasificar los datos los datos
dentro de la organización tienen
distintos niveles de sensibilidad
respecto a la a la confidencialidad de
los mismos si yo defino que todos los
datos que tengo son datos sensibles
me encarece mucho porque los niveles de
protección tienen que estar segmentados
por el tipo de dato un dato si lo tengo
catalogado como uso público o uso
interno deberían tener medios de
protección distintas más laxa que
aquellos que tengan clasificados como
confidenciales por lo tanto cuando no
tengo la clasificación nos va a mandar
aquel dato que tiene el mayor nivel de
confidencialidad y todos los atributos
de seguridad que le tengo que poner a
este dato lo voy a tener que poner sobre
el universo por lo tanto me va a ser más
barato las medidas de seguridad la
medida que las podemos segmentar los
tipos de datos lo otro que es súper
importante es tener Claridad Por qué
canales nosotros transmitimos los datos
desde el que los capturamos hasta que se
eliminan porque las medidas de seguridad
tienen que estar puestas en todos los
sistemas que voy a usar todas las
conexiones que tengo
lo otro que es súper importante el
encargado de protección de datos a mí
siempre me gusta decir que es primo
hermano del encargado de seguridad de la
información tienen que trabajar súper
coordinadamente con seguridad la
información con tecnología no no pueden
estar en mundos paralelos ni trabajar
con Silos tiene que haber una
coordinación el encargado de protección
de datos entiende respecto de la
legislación
que tiene relación con el dato mismo y
las medidas de seguridad que tienen que
tener pero no es quien las pone y por lo
tanto es el encargado de seguridad de la
información es el encargado de
tecnología detrás de la organización
quien lleva la práctica las
recomendaciones que puede dar el
encargado de protección de datos
lo otro es importante dentro de la
organización enseñar que hay una
diferencia
o o instaurar este concepto de necesidad
de saber y derecho a conocer no todas
las personas aun cuando compartan en la
misma área dentro de una organización
tienen derecho a ver lo mismo se tiene
que segmentar la información por los
roles que tienen y los derechos de
acceso que pueden tener y lo otro
es importante también identificar Qué
tipo de información tiene leyes
específicas respecto a la seguridad la
información que tiene que tener ese dato
y a modo de ejemplo les puse que si la
ficha clínica contiene genoma humano el
la información tiene que estar
encriptada en tanto en el almacenamiento
como en la transmisión y esa es una
regulación específica cierto respecto a
un dato personal
el principio de transparencia
en la práctica hay que tener facilidad
así como uno Tiene ciertas aplicaciones
que son súper intuitivas son súper
fáciles respecto de cómo se usan cuando
uno va a buscar la política de
privacidad o los términos de uso son
contraintuitivos cuesta mucho llegar a
ellos y ahí y la recomendación es que
haya una consistencia entre la finalidad
de contratación la finalidad de uso con
la facilidad de ejercer los derechos
arco con encontrar las políticas
encontrar la información que el titular
necesita y lo otro es que es usar un
lenguaje bajo el principio en chile no y
en sencillo Esto no es con el ánimo de
de ofender a nuestros titulares sino de
hablarle en un lenguaje que se entienda
y no ponernos en términos súper técnicos
que que no se logra transmitir el
mensaje la persona que lo lee no es
capaz de entender
No porque no tenga las competencias para
entender sino porque fue redactado a
propósito de una manera bastante difícil
bueno el principio de confidencialidad
nuevamente aquí hay que capacitar
capacitar y capacitar debemos tener
cláusulas de confidencialidad tanto en
los contratos de nuestros colaboradores
como en los finiquitos la recomendación
de ponerlos en el finiquito es para
recordarle Cuáles son las obligaciones
de confidencialidad porque normalmente
subsisten Más allá de que yo haya
terminado
haya terminado la relación laboral
cierto
lo otro es hacen evaluación a
proveedores
también evaluar los términos de
evaluación a los términos de
contratación que tengo a las políticas
de privacidad de seguridad de
transferencia de datos con con
proveedores a veces utilizamos algunos
Software que que nos facilitan la vida
no leemos la política privacidad no
leemos los términos y condiciones y se
hacen de la información que nosotros
podemos cargar en sus plataformas
también tener cláusulas de
confidencialidad con aquellos
proveedores nuestros que traten datos
personales
definir a priori cómo vamos a reaccionar
cuando tengamos una violación de
confidencialidad y aquí es cómo se llama
administrar realidad van a haber
problemas van a haber filtraciones
eso ocurre por mucho que tengamos un Un
diseño maravilloso tenemos que saber que
en algún minuto se puede producir una
filtración puede ser interna puede ser
externa digamos puede ser un error
humano y por lo tanto estar listos y
saber cómo voy a reaccionar a ello y no
cuando me encuentro en la situación
recién ahí ponerme a pensar bueno y
ahora ahora qué hago establecer también
política y procedimientos internos uno
de los ejemplos de la política del
escritorio limpio en la cual yo no puedo
tener ningún papel con información de
titulares o sea de datos personales
arriba del escritorio e irme a almorzar
y haberlo dejado ahí a vista y paciencia
del que del que pase
quisimos hablar un poco de de niños
niñas y adolescentes también darle
algunos unas bajadas prácticas
ya terminamos con los principios uno es
súper importante entender los productos
o servicios en los que capturamos datos
de menores de edad a veces nuestros
productos están dirigidos a adultos y
sin embargo en en la contratación o en
la extensión del producto a otros
integrantes de la familia podemos estar
capturando datos de menores de edad y
ahí es súper importante
poder tener una identificación dentro de
los datos y saber estos datos van a ser
de menores de edad
minimizar la recolección
de datos eso es súper importante pedir
lo justo y necesario no extenderme no
Buscar
pedir más allá de lo de lo necesario
disponibilizarlo a los padres Para que
vean y revisen Y pueden incluso pedir el
borrado un mayor estándar de seguridad
en estos datos es súper importante y
eliminarlos cuando ya no se requieren
También es importante una recomendación
en las políticas de privacidad que
nosotros tenemos dentro de nuestras
organizaciones si es que tratábamos
datos de menores de edad
declararlo expresamente si el servicio
se presta menores de edad la
recomendaciones hacer una política de
privacidad adoc suena disparatado lo que
les estoy diciendo pero pero no lo es
tanto digamos Les recomiendo muchísimo y
les dejé el link la política de
privacidad del ego es un lujo es un
video de un minuto 30 segundos donde le
explican en un lenguaje para niños
digamos
Qué hacen los datos y cuáles son las
cosas importantes una política
privacidad específicamente para ellos
Les recomiendo muchísimo verla tener
claro que el el uso de los datos de los
niños implica un mayor riesgo y aquí hay
un estándar ético que tenemos que tener
claro que es el el interés superior del
niño
otras cosas súper importantes no olvidar
que dentro de la organización captamos
los datos de los menores de edad de
nuestros colaboradores y tenerlo
presente ahí les dejé algunas ideas y
algunos consejos prácticos uno es No
recibir información que no requiero a
veces nuestros clientes nos entregan
información de titulares de datos que no
necesitamos para la prestación del
servicio
devolvámosle esa información porque
mantenerla nos implica mayor riesgo
es importante conocer los datos que
tratamos tanto de los clientes como los
prospectos de los clientes que no se nos
olvide que quien viene a hacer una
evaluación quien está
vidriendo digamos también podemos captar
sus datos y ahí les dejo algunos otros
consejos también para que los puedan
revisar porque sé que el tiempo es breve
Gracias Ignacio
Muchas gracias Cristina muy completa la
presentación también poder aterrizar
todos estos principios que pueden de
repente ser un poco etéreos para las
personas aterrizarlo en consejos
prácticos estamos muy agradecidos por
eso vamos a pasar a la parte de las
preguntas ya estamos en el tiempo así
que vamos a hacer una pregunta por cada
expositor tenemos varias preguntas así
que he seleccionado la más relevante
esta pregunta para Cristina en el
proyecto de ley chileno Cuáles son las
obligaciones de protección de mis
proveedores externos con los que
comparto datos personales
si nos puede dar alguna breve
explicación Cuáles son Perdón Cuáles son
las obligaciones de protección de mis
proveedores externos con los que
comparto a tus personales en el fondo
qué obligaciones tengo con mis
proveedores externos si yo comparto
datos que yo como responsable tengo le
comparto datos a un proveedor externo a
ver la responsabilidad no se delega la
responsabilidad las voy a tener cierto
con el titular y si yo le entregué
información de los titulares de datos a
un proveedor porque es parte del
servicio digamos uno lo tengo que
declarar Al titular de datos dos tengo
que hacer una evaluación del proveedor
yo cuando contrato un proveedor tengo
que tener claro de que es capaz de
cumplir los estándares de seguridad de
calidad que he puesto y dentro de de las
recomendaciones sería que el contrato
le traspasar a las obligaciones que yo
tengo con el titular de datos y que
hiciéramos una evaluación correcta del
del proveedor
perfecto muchas gracias
dejamos una pregunta para ti también
Cada cuánto recomiendas actualizar los
registros de actividades de tratamiento
Existe algún tiempo
Bueno a indicar que por ejemplo la
normativa europea no define un plazo de
cada cuando hay que actualizarlo en
realidad lo hay que actualizarlo cada
vez que hay una nueva actividad de
tratamiento es decir que en base al
principio de
hay que valorar de forma previa nuevos
tratamientos de datos y de hecho la
última fase del proceso para ver si
es la inclusión de la actividad de
tratamiento una vez evaluada
implementada las medidas organizativas y
técnicas
narrate Entonces es una actividad
acostarte otra cosa es la revisión
ordinaria de rap es decir que
comentaba durante la presentación
responsable que no no no estaría mal
sobre todo para las empresas
de un determinado tamaño de llevar a
cabo una revisión de Rasta anual pero
escolar diferente de la actualización
constante que hay que llevar a cabo
sobre todo cada vez que el nuevo
tratamiento O cada vez que se elimina un
tratamiento existente entonces son dos
actividades diferentes el mantenimiento
de rat que eso tiene que ser constante
cada vez que hay una negatividad de
tratamiento hay que incluirla y por otro
lado la actividad más bien de revisión
auditoría que no sé para empresas de un
determinado tamaño cada año deberían
revisar los tratamientos identificados a
efectos de verificar si Si siguen si se
siguen llevando a cabo o ha cambiado
algo en el tratamiento como por ejemplo
interviene un otro proveedor entonces
tendré que actualizar
el rap indicando que entre los
encargados de tratamiento
ya figura esta empresa o interviene otro
activo de soporte
Muchas gracias
bueno
concluimos con esto nuestro primer
webinar agradecemos a todos a quienes se
han mantenido conectados el día de hoy
comentarles que vamos a enviar el
material que han compartido Los
expositores con nosotros
también vamos a compartir con ustedes el
video y los invitamos también a conocer
nuestra página y las distintas
herramientas que hemos desarrollado para
todas las empresas en este tema que es
la protección de datos y su
implementación al interior de cada una
de ustedes Muchas gracias Hasta luego
que estén muy bien
nos vemos Dios Muchas gracias