Delegado de Protección de Datos y la Agencia

como ley de datos para todos ustedes mi
nombre es Ignacio Gallardo soy abogado
máster en derecho digital y uno de los
socios fundadores de ley de datos el día
de hoy abordaremos dos figuras
esenciales dentro de lo que es el
ecosistema de la protección de datos
personales y que contempla precisamente
el proyecto de ley que se encuentra
actualmente en discusión en nuestro
congreso por un lado abordaremos lo que
es la agencia de protección de datos
como ente regulador y fiscalizador del
cumplimiento de la normativa de
protección de datos y por otro lado el
delegado protección de datos como
aquella persona clave y estratégica al
interior de la organización para efecto
de lograr el cumplimiento normativo
para quienes se conectan por primera vez
a alguno de nuestros webinar comentarles
que este se suma a otros webinars que
hemos preparado para todos ustedes que
abordamos esta materia de la protección
de datos y que se encuentra disponible
en nuestro sitio web y nuestras
distintas plataformas Por lo cual invito
a todos ustedes a visitarlo y
complementar lo que realizaremos en este
webinar con el webinar anterior quiero
comentarles también que el día de hoy
presentaremos a todos ustedes parte de
lo que es el Software que como ley de
datos hemos preparado para todos ustedes
para asegurar el cumplimiento normativo
de la normativa al interior de la
organización dicha presentación estará a
cargo de Rodrigo gigante socio fundador
también de ley de datos
como empresa nuestro principal foco es
por un lado educar respecto a una
materia que en nuestro país parece Más o
menos incipiente pero que en el mundo ha
obtenido un gran desarrollo y por el
otro lado proveer a la organización que
ustedes representan herramientas y
soluciones tecnológicas efectivas y
seguras que permitan alcanzar los
actuales estándares de cumplimiento
normativo en protección de datos
personales
también comentarles que tendremos
disponible en el chat del de este
webinar un link en el cual ustedes
podrán depositar sus preguntas las
cuales nosotros revisaremos y haremos al
final de la presentación a los
expositores Pues bien en honor al tiempo
dejo con ustedes a primera expositor al
cual bueno conocerán la gente que está
más al día en esta materia lo habrán
visto y conocerán directamente él es
abogado de la Universidad Católica y
máster en administración pública de la
escuela de gobierno de Jalpa experto en
políticas públicas con alta experiencia
en transparencia y protección de datos
fue presidente también del Consejo para
la transparencia de chile y forma parte
del equipo de expertos que apoyó en la
discusión del proyecto de ley de
protección de datos en la comisión de
Constitución de la cámara de diputados
dejo con usted entonces a Marcelo quien
se encuentra conectado y aprovecha
también de saludar
Muchas gracias Ignacio bueno Buenos días
Saludos a todos Macarena Gatica también
que que va a hablar después
tengo una presentación
esto una materia que creo que bueno por
la convocatoria se ve que es de que es
de interés y debiera ser de principal
interés para los para todos los que
ejercemos el derecho y sobre todo los
que están relacionados en las áreas de
compliance porque va a ser una materia
un un una vertiente nueva un ámbito
nuevo de cumplimiento que hay que
desarrollar
prácticamente desde cero por la poca
experiencia que tiene el país en esta
materia
la poca práctica que hay y la poca masa
crítica de gente que conoce este de esta
de estos temas y
y bueno y la larga experiencia
internacional que hay que rápidamente
deberá ser incorpora me pidieron
conversar sobre la autoridad de control
quizás uno de los temas más relevantes
de la ley a pesar de que la ley se
transforma sustantivamente y hay una
serie de instituciones nuevas
Esto es lo que permite que todo el resto
funcione digamos la autoridad de control
es la piedra angular en materia de que
de que esta ley tenga diente tenga eh la
posibilidad efectiva de desarrollar su
cumplimiento porque no olvidemos que
tenemos una ley actual tenemos una ley
vigente tenemos una bebidas Data en en
un recurrible a un juez civil y tenemos
en teoría un sistema Pero cómo esa ley
no tiene una autoridad controla
administrativo detrás que tenga
facultades para fiscalizar y para
sancionar la ley Sencillamente
inaplicable Y es de y prácticamente
Sencillamente no hay recursos que se
hayan presentado en ese ámbito eso
cambia radicalmente y nos incorporamos a
una tradición internacional muy profusa
de autoridades de protección de datos en
en en países europeos en países
asiáticos países en América en en
Oceanía en fin aquí tenemos las
autoridades alemanas la autoridad es
Suiza bueno
Serbia
de Canadá de Australia en fin digamos
esa otra de Suiza y quizás Las dos
últimas el information comisioner Office
de Inglaterra del Reino Unido de acá y
la agencia española probablemente se
transforme en lo referente más
relevantes para nosotros el comisionado
la oficina del comisionado de la
información
en inglés lo conocimos por el caso
Cambridge analítica que fue uno de los
casos que sea más relevantes en materia
de protección de datos a nivel global
porque vinculó las nuevas tecnologías la
plataforma de de redes sociales la
política y no no era un tema
Sencillamente comercial era como la el
abuso en materia de protección de datos
puede impactar a las democracias y y
bueno y él enfrentó el comisionado de la
información
británico bueno ojo que se va
comisionado la información y no
autoridad protección de datos Porque
este Esta es la autoridad de
transparencia británica que el símil al
consejo de transparencia chileno y de
hecho es prácticamente igual digamos Y
qué tiene además la facultad en materia
de protección de datos bueno y la
agencia española de protección de datos
que también se ha transformado en
referente yo sé antes de de estar
involucrados en estos temas pensaba que
era un referente principalmente porque
la jurisprudencia estaba en español y
era más accesible pero la verdad que es
mucho más que eso digamos la agencia
española es la más la más prolífica de
Europa en materia de de sanciones y de
jurisprudencia por no son las sanciones
más altas de Europa pero son el mayor
número de sanciones por lo tanto están
resolviendo casos permanentemente y y
nosotros vamos a recoger Esa esa
experiencia es jurisprudencial de
inmediato digamos entonces es algo a lo
que hay que poner mucha atención
Cuál va a ser la autoridad protección de
datos chilenas se llama agencia de
protección de datos personales un
anglicismo que a mí nunca me gustó pero
para que este estar esto ya estoy
refiriendo el rol que tuvimos en la
comisión de Constitución y otra etapa de
la tramitación de la ley pero ya entran
esos detalles cuando habían temas más
grandes
la verdad que no importaba es una
corporación Autónoma Autónoma o sea es
independiente del gobierno de turno de
derecho público de carácter técnico
descentralizado o sea tiene patrimonio
jurídica propia y solo se relaciona con
el gobierno a través del Ministerio de
economía
y la ley señala que su objetivo es velar
por la efectiva protección o sea
efectiva no es no solo la protección
sino que la real protección de los
derechos que garantiza la vida Privada
de la persona y su y sus datos
personales de conformidad lo establecido
en la y fiscalizar el cumplimiento de
sus funciones entonces básicamente esta
agencia una puede después vamos a hablar
de más temas digamos en términos de sus
facultades pero son tres grandes cosas
de gas primero fiscaliza el complemento
de la ley directamente con facultades de
fiscalización con posibilidades de
requerir información y que se tornan
obligatorias con posibilidades de pedir
declaraciones de personas de solicitar
documentación y con consecuencia de
infracción infraccionales si no se
cumplen con esa solicitud a diferencia
del
y facultades de sancionatorias directas
con sanciones muy altas digamos y que
puede cursar directamente como como
gracia en parte Muchas gracias
obviamente su facultad fiscalizador Eso
fue ya su posibilidades de inspección
sanciona el cumplimiento directo de la
ley de oficio o en base a denuncia o
requerimiento o por incumplimiento de
las tutelas de los odeos Data que que el
tercer gran rol de la agencia digamos ya
no son ningún tribunal y la odias Data o
las tutelas en materia de protección de
de datos personales son las tutelas de
los derechos de
materia de protección de datos
personales son verdaderos recursos de
protección eh llevado adelante por un
por esta agencia de digamos son
horribles hablar de recursos de
protección para un recurso
administrativo Yo sé que aquí varios
están pensando
en matarme sobre todo los que están más
vinculados el derecho público pero de
gente ahí histórica de la contraloría
entre los asistentes pero pero la
práctica es lo que hoy día se se se hace
efectivo recurriendo de protección
a través de la agencia va a ser un
procedimiento totalmente de formalizado
muy sencillo
en un sitio web que cualquiera de
nosotros va a poder llenar para reclamar
por el incumplimiento de alguno de los
Derechos barcos porque no se me
respondió entre el plazo porque no se me
entregó todo información el derecho de
acceso porque no se canceló no se
certificó que se había cancelado la
información o o bloqueado el tratamiento
y todo el conjunto o nos haya admitido
el el la transferencia
de mi información en el derecho de la
portabilidad en fin eso la agencia
directamente lo va a poder cubrir y
también la facultad sancionatoria va a
estar detrás de el cumplimiento de lo
que se resuelvan esas tutelas
cómo está dirigida esta agencia por un
consejo directivo
la verdad es que cuando uno toma el
consejo directivo es básicamente el
mismo consejo directivo del Consejo para
transparencia pero con un consejero
menos y con dedicación exclusiva qué es
lo que yo creo que debería tener el
consejo de transparencia hoy día pero
eso es otra arena de otro costal digamos
este consejo directivo ejerce las
atribuciones de la agencia esos tres
grandes ámbitos que ya hablamos y que
vamos un poquito más detalles después y
son designados estos tres consejeros a
propuesta del presidente tienen que ser
ratificada por dos tercios en el senado
de medicación exclusiva durante seis
años hay un vicepresidente y
vicepresidente electo por sus propios
miembros esto se modificó durante la
tramitación de la ley antes era
designado por el presidente de la
república entre los consejeros Quién era
y para enfatizar la autonomía eso se
corrigió en en el segundo trámite en la
cámara de diputado entonces son sus
propios miembros los que eligen al
presidente vicepresidente y es por la
mitad del pedido entonces en la
posibilidad de hacer turnos acá
y solo son removidos por El poder del
estado que no participó la asignación o
sea por la Corte Suprema a requerimiento
de la cámara de diputados o del propio
presidente y cuáles son las las
principales
funciones y atribuciones de de la
agencia
tiene dificultades normativas de dicta
normas e instrucciones obligatorias de
carácter general
Esto bueno también son símiles de del
Consejo de transparencia también son
similares de la comisión del mercado
financiero y tiene una facultad
normativa es muy poderosa que va a ir
afinando el la implementación de la ley
la interpretación de la ley y dando los
mecanismos de cumplimiento para todos
los organizaciones aplica e interpreta
administrativamente la ley y los
reglamentos a través también de estas
mismas normas instrucciones generales y
o en Casos específicos cuando en su
jurisprudencia en las tutelas de derecho
o en los procesos sancionatorios
fiscaliza fiscaliza el cumplimiento
de la ley por un lado de los reglamentos
que se que la propia agencia dicta y de
las instrucciones que la propia agencia
adulta entonces tiene facultades
directas de de cumplimiento para ello
puede requerir la entrega de cualquier
documento libro O antecedente de
cualquier organización estamos hablando
de que la competencia de la de la
agencia global digamos es en el sector
público todo el estado sin distinción
antes en este en el primer trámite se
había dejado separado al órgano autónomo
constitucional y el parlamento etcétera
todo eso se eliminó esta agencia tiene
facultades globales
y puede requerir a organizaciones sin
fines de lucro a instituciones
educacionales o organizaciones
empresariales directamente eh la
información en su proceso de
fiscalización
Determine fracciones en cumplimiento
frente a principios y obligaciones y
Esto fue parte del debate porque era muy
claro cuando yo no se cumplía un derecho
a una persona puede haber una infracción
porque no sé hay una obligación de
cumplimiento esos derechos y también la
ley establece una serie de obligaciones
bien determinadas digamos de
cumplimiento en general pero los
principios de la protección de datos que
ustedes saben son parte son piedras
angulares digamos Son son Pilares de de
de de de de de la ley de protección de
datos como el principio de finalidad
como el de proporcionalidad etcétera
estaban en la ley y para los
parlamentarios y para muchos otros
abogados era difícil y interpretar Estos
principios no como algo de complemento
obligatorio
o directo como debe ser en materia de
protección de datos sino como algo que
ayudaba a interpretar el resto de los
elementos de la ley y En definitiva ir
saltando las bases respecto de de de
otros aspectos en derecho administrativo
son muy comunes que los principios
sirven para interpretar ese derecho aquí
no no nos sirve no no están pensados
Estos principios para interpretar el
derecho a la protección de datos sino
que son son formas de de dar
cumplimiento la ley bien específica y
que se van Además especificando más en
el tiempo que son moldeables digamos
porque esto evolucionando pero que son
de cumplimiento directo entonces la
agencia dejó Claro que la agencia puede
determinar infracciones en
incumplimiento de principio bueno puedes
citar a declarar administrador asesores
parte de esto de esta facultad
fiscalizadora y de cumplimiento y de
impulso de procesos sancionatorio
ejerce la Bueno te está sancionatoria
frente a las personas naturales uno
siempre piensa que son personas
jurídicas buenas personas naturales de
cualquier ámbito digamos público privado
o jurídicas que traten datos con
extracción en la ley o a los reglamentos
o la instrucciones o las normas
generales que la propia agencia dictó
y bueno y Resuelve la solicitud de
reclamo y que que la denuncias digamos
que se presenten los titulares cuando se
traten eh sus datos personales con
infracción a la ley desarrolla programas
de difusión propone normas legales y
reglamentarias de forma directa esto
Esto es más o menos nuevo y aquí se van
a poder proponer director parlamento o
al ejecutivo reforma a las leyes y los
reglamentos para ir aplicando mejor la
ley y creo que esto va a servir mucho en
el futuro
con la bueno tiene ámbito de
colaboración
certifican los modelos de prevención de
infracciones y los programas de
cumplimiento estos bien relevante eh
Para todos los
de cumplimiento y de cumpleaños que
tienen que llevar adelante muchas
instituciones si quieren tener un
tratamiento más beneficioso en los
procesos sancionatorio en el futuro y
resuelve estos recursos de tutela de
protección de derecho de datos
personales que es lo que hablábamos al
comienzo que son pequeños recursos de
protección de carácter administrativo
muy fáciles de impulsar donde muy
desformalizado muy sencillo donde
cualquier persona en cualquier punto del
país puede ser un reclamo porque no se
cumplió con sus derechos de acceso de
después del procedimiento que ha llevado
ante el responsable los datos y bueno y
aquí la agencia va a tener facultades
directas y para resolver esos casos y
aquí van a haber mucha jurisprudencia
también
lo que no tiene son las facultades
inspectivas más inclusivas que si tienen
otras agencias Este es el área de de
la de la autoridad británica Y esto es
justamente cuando estaban
estaban allanando las oficinas de
Cambridge analítica en este caso sobre
sobre el el sobre los datos de Facebook
que se habían
utilizado para interferir en las
elecciones en el brexit en en Inglaterra
y en las elecciones de presidente de
Estados Unidos cuando sale Electro Trump
esa facultad no quedaron de poder
allanar directamente intervenir
directamente los servidores y y espero
que en el futuro y por una cuestión
presupuestaria Esa fue la el argumento
del gobierno en este punto yo creo que
se puede más adelante solucionar
bueno lleva adelante los procedimientos
ya hablamos de tutela de derecho es un
procedimiento muy sencillo miren es un
es muy similar es una adaptación casi
con muy pocos cambios de el
procedimiento de Amparo de de acceso a
la información que tiene el coste con la
transparencia porque todo esto se hizo
en base a eso digamos
en materia procedimental y y esta los
procedimientos administrativos por
infracción de ley que son los
procedimientos sancionatorios
la aplicación de las sanciones
no el caso entrar en largo detalle de
esto pero son razones muy altas de la
más alta que va a tener el sistema Por
qué Porque es muy fácil no cumplir con
la ley violarla sistemáticamente muy
sencillo son procedimientos
que que que bueno si no se descubre
alguna forma pueden pasar por años y y
requiere de sanciones muy fuertes para
que el efecto inhibidor de esto el
efecto preventivo sea realmente poderoso
digamos entonces estamos hablando de de
multa de hasta 20.000 UTM y
multiplicables en caso de de
reincidencia y además la suspensión de
operaciones temporalmente esto Incluso
como medida precautoria
la suspensión de operaciones y
actividades de tratamiento de datos eso
significa que para muchas entidades
Sencillamente tienen que detener su su
actividad digamos entonces
bueno son facultades muy poderosas que
va a tener la agencia aquí tenemos algún
ejemplo de ámbitos de infracciones la
infracciones leves graves gravísima por
ejemplo miren dentro de las gravísimas
está el tratar datos personales
sensibles en contravención en la ley los
datos personales sensibles requieren
o sentimientos presos la mayoría de los
casos Aunque hay varios muchos otros
casos que no se requiere digamos sino
que hay otras fuentes de legitimidad
en la propia ley pero por pero una
infección a eso por No aquí no tiene que
haber ni siquiera
dudo puede llevar a un dato de un niño
que se haya tratado de forma incorrecta
O la información sobre una deuda
de servicio básico porque me cortaron la
luz porque no le he apagado y se deja el
corte de luz puede ser un indicativo de
la situación socioeconómica y las
personas es un dato sensible puede
acarrear una infracción gravísimo
entonces son cuestiones que que la
agencia obviamente va a ir afinando y
Ajustando pero habla de de las
facultades que va a tener que son muy
elevadas
y aquí está lo que le decía al comienzo
digamos la agencia española va a ser a
nuestro juicio un referente muy
importante en esta materia
la agencia española hoy día es la
agencia que más sanciona en Europa
después viene Italia Noruega etcétera Y
con estas fueron la infracciones cursada
en solo el año 2021 ciento ochenta por
la agencia española en Europa fueron
casi quinientas sesenta en ese momento
Estos son infracciones no son
resoluciones de tutela de derechos tan
solo infracciones y y bueno y la agencia
española es la principal Entonces vamos
a tener un un foco en la jurisprudencia
española va a haber que seguir esa
jurisprudencia para ver cómo qué pasa en
chile y también la Italiana Por cierto
que que diferencia la española tiene
muchos jurisprudencia relacionada con
temas de libertad de expresión por
ejemplo que aquí no lo tenemos
considerado
Y dónde están las sanciones europeas
siguiendo este tema que que veíamos de
la agencia española no están en las en
las brecha de seguridad o en el
cumplimiento Principio
o sino que están en la base jurídica
están en la en la fuente de judicidad de
los tratamientos este es como la la
piedra angular definitiva que que mueve
la protección de datos yo no si no tengo
una base legítima de tratamiento no
puedo tratar datos Entonces el resto de
los principios de finalidad de
proporcionalidad de de temporalidad
no no importa porque no porque no tengo
la base legítima de tratamiento
esto es la la típica frase de alquímica
digamos Denme una palanca y un punto
apoyo moveré al mundo que es bueno deme
una base
legal una base legítima de tratamiento y
puedo tratar datos digamos y esa es la
principal falla y la principal fuente de
infracciones que hay en Europa no se
capturó
propiamente el consentimiento de las
personas se trató datos sin
consentimiento y sin otro otra base
legitimidad la base legitimidad que se
invocó estaba mal aplicada en fin Esa es
la primera fuente de tratamiento y
debiera ser nuestra principal fuente de
preocupación en el futuro
eso es lo que les tenía preparado para
esta para esta mañana incumpliendo
exactamente con los veinte minutos que
me pidieron
y y bueno después en su momento y feliz
de contestar las preguntas los
comentarios que quieran hacer
Buenos días primero que todo agradecerle
a Marcelo por su presentación muy
esclarecedora yo creo que nos va dando
luces de los desafíos que vamos a tener
y de la del rol de la agencia de datos
en el futuro y bueno me quería presentar
yo soy Rodrigo gigante soy ingenioso
Industrial con magíster En estadística
cofundador también de ley de datos y
queríamos mostrarles de manera breve la
función principal de nuestro Software
que está en la nube No me Perdón
entonces yo ahora les voy a compartir
pantalla
Y ustedes lo que van a ver en su
pantalla es el registro actividades de
tratamiento que es el corazón de nuestro
sistema y es el corazón también de lo
que tenemos que ver como delegados de
protección de datos de nuestras
compañías entonces en esta primera
pantalla pueden ver acá un resumen de
todas las actividades de tratamiento con
sus distintos Campos que ustedes también
podrían personalizar en su plataforma
y donde por ejemplo podemos Buscar una
actividad de tratamiento como por
ejemplo ats se hace el filtro o si
también quisiéramos filtrarlo podríamos
hacer por área o por estado de la
actividad nosotros muy rápidamente acá
Podemos agregar una actividad y si
después queremos editarla Simplemente
nos vamos a esta actividad
y vamos a ver todos los campos que son
importantes para entender los riesgos
que tiene esta actividad de Cara a los
datos que estamos tratando sí Entonces
es importante también extender que toda
actividad inherente tiene un riesgo
inherente y nosotros vamos a tener que
por ejemplo hacer una evaluación de
impacto que la vamos a poder hacer acá y
respondiendo una prevaluación de impacto
con un par de preguntas bien sencillas
vamos a entender Si esta actividad
requiere una evaluación de impacto
formal o no cumple los requerimientos de
esta evaluación de impacto la gracia es
que esto a pesar de tener preguntas
definidas que nosotros entendemos que
son las mejores preguntas también cada
empresa lo puede personalizar
de la mejor manera para poder responder
a sus necesidades dentro de su propia
empresa entonces dicho eso y sin más
preámbulo voy a dejarlos con Macarena
Gatica ella es abogaron Y decía Gabriela
Mistral socia de Alexandra abogados
directora de vicepresidente del Consejo
de autorregulación de la amdd profesora
de la pontificia Universidad Católica de
chile y la Universidad del desarrollo en
diplomados de protección de datos Y con
playas entonces en su presentación
Macarena abordará el papel del dpo la
gestión de riesgo y la promoción de la
cultura basada en evidencia
cómo están Qué bueno Qué buena esta
instancia fíjense que
escuchaba Marcelo
de los temas respecto de la agencia y
luego a Rodrigo de qué cómo nos puede
ayudar la aplicación que que ellos
tienen y le va a hacer todo sentido con
con la presentación que que les voy a
hacer ahora me puede alguien confirmar
si ven bien la pantalla
Gracias Marcelo
vamos a hablar un poquitito de este
delegado protección de datos o que
generalmente le llamamos depio cierto
digamos porque vienen estas siglas en
inglés Data protección oficial problemas
que es aquella persona que está en que
debe velar por el cumplimiento la ley
Marcelo decía que la agencia española
era un gran referente Y la verdad es que
sí yo busco mucho tienen una cantidad de
contenido disponible que yo los invito a
a la página web de ellos tienen tienen
mucho de autorregulación
visítenla y buscando definiciones
quisieran sentido yo dije Bueno vamos a
ir a la madre Patria y voy a sacar la
definición que tiene la agencia Española
y dice que es el garante del
cumplimiento de la normativa ya y miren
lo que dice sin sustituir las funciones
que desarrolla la agencia en la
autoridad de control cierto que es la
agencia española de protección de datos
la labor primordial que tiene Entonces
es garantizar este cumplimiento el tema
es cómo va a garantizar este
cumplimiento ya muy asociado al riesgo
algunos aspectos relevantes del delegado
que estos Son normas que están en estas
descripciones que le estoy que están en
pantalla Están en el proyecto de ley y
también están en el reglamento europeo
eso sí que no es nuestro proyecto de ley
al referirse al delegado protección de
datos no habla mucho de su función o la
deja bien bien limitadas ya pero quiero
que desarrollamos en cuanto a la A cómo
va a llevar este control Cómo puede
garantizar una persona cierto que puede
tener un equipo pero la responsabilidad
radica una persona cómo va a bailar Cómo
lleva a garantizar que la organización
que puede ser administración cierto
jueces público privada con fines de
lucro sin Cómo va a garantizar el
cumplimiento de la ley en primer lugar
tener un delegado de protección de datos
en Chile con nuestra con el proyecto ley
es facultativo Ya ahora si yo tengo un
modelo de prevención de infracciones
necesariamente tengo que tener el
delegado de protección de datos la
designa la máxima autoridad de la
organización según directorio sea una
junta cierto de administración Pero
tiene que ser delegado Perdón tiene que
ser designado por el la máxima autoridad
si tuviéramos un organigrama
de la Organización de una empresa o de
una de una organización en términos
generales Una institución tendríamos al
directorio y a este o el delegado de
protección de datos al lado ya porque es
autónomo es muy independiente
es muy importante señalar lo que es
autónomo y tiene independencia de qué se
refiere esto que no depende de la
administración de la empresa puede
desempeñar otras funciones que hasta una
pregunta recurrente que nos hacen
nuestros clientes en alessandri sí puede
siempre que las otras funciones que
tenga no signifiquen un conflicto de
interés porque debe mantener su
independencia por ejemplo no podemos
tener un sisto un encargado de
ciberseguridad o seguridad la
información de la empresa o de la
organización a cargo de protección de
datos tampoco el de gobierno de dato ya
son que podríamos decir que el delegado
va a ayudarlos a cumplir con sus
funciones a tener una mirada de
protección de datos pero no puede porque
de alguna manera es el gato cuidando la
carnicería ya
haciéndolo en palabras bien simples
Cuando tenemos un grupo empresarial
podemos compartir podemos tener un
delegado para todo el grupo siempre que
la naturaleza el dato el estándar que
hayan adoptado pueda ser en digamos
puede hacer compartido entre todas las
empresas ya tiene que tener este dipio o
delegado de protección de datos
requisitos de idoneidad capacidad
conocimientos específicos Y estos estos
tremendamente importantes ya fíjense que
revisando la agencia de protección de
datos española algunos
en algunas instituciones exigían
personas con siete años de experiencia
nosotros en Chile es difícil encontrar
personas con siete años de experiencia
por lo que decía Marcelo somos un país
que no tenemos cultura y protección de
datos Sí con Marcelo y otro grupo más
cierto que hemos participado en la
discusión parlamentaria tenemos
experiencia pero aquí tenemos un un
déficit ya de de profesionales miren lo
lo que publica la agencia española
a enero del 2023 porque en España se
requiere que lo lo delegados se
registren en la agencia Ya llevan cien
mil delegados registrados ya donde
noventa y un mil y fracción corresponden
al sector público y perdón al sector
privado y nueve mil al sector público ya
para que se den cuenta la necesidad o la
importancia que puede llegar a tener un
delegado de protección de datos en
cuanto a en los casos en que se exige un
delegado de protección de datos en el
reglamento europeo varía en relación a
lo nuestro lo quiero entrar mucho en
detalles porque quiero ir al análisis de
riesgo ya porque en estricto rigor de
acuerdo a la naturaleza los datos que
podemos tratar o la cuantía es
obligatorio tener un un delegado de
protección de datos en en de acuerdo al
reglamento europeo el proyecto de ley
que dice de las funciones de este
delegado están en rojas aquellas que
quiero Resaltar ya porque quiero llegar
al punto de cómo se relaciona tener un
delegado de protección de datos con la
agencia ya va a informar cierto va a
asesorar el responsable a la empresa
organización en la cual forma parte va a
supervisar el cumplimiento de la ley ojo
que aquí el supervisar uno dice es una
organización hablemos de de
instituciones que son grandes que tienen
distintas áreas y divisiones modelos
distintos tratamientos de datos pensemos
por ejemplo en una empresa común y
Silvestre si uno Viera las grandes bases
de datos que hay uno diría
trabajadores proveedores clientes
accionistas directorio y por lo tanto
cada una de estas grandes bases de datos
tiene finalidades
Y eso implica que el tratamiento de
datos o supervisar el cumplimiento de la
ley puede transformarse en algo
sumamente complejo Si no identificamos
los riesgos y Cómo podemos adoptar
medidas para resguardar los derechos y
aminorar los riesgos ya todas las
actividades tienen riesgo esto no
significa que digamos No no vamos a
tratar datos sino sí Pero cuál es el
marco y cómo vamos a garantizar que
estamos cumpliendo la ley gestionando
los riesgos también el el encargado el
delegado Perdón está encargado de
capacitar a las personas y esto es
fundamental porque si no capacitamos
jamás vamos a ser capaces que se
detecten los riesgos
porque el que nada teme básicamente
cierto Entonces les tenemos que dar
herramientas al negocio a toda la
organización porque el delegado asistan
identificar los riesgos si tenemos
distintas líneas de de control cierto el
negocio es la primera
el delegado no está en la primera línea
si lo va a asistir pero no está en la
primera línea de control debe adoptar
entonces acciones destinadas a prevenir
infecciones eso está expresamente
señalado en la ley estos dos que están
en rojo va a tener un plan anual cierto
que generalmente va puede llevar a un
modelo de prevención atender las
consultas de los titulares y es el
contacto directo que vamos a Designar en
la agencia de protección de datos
la ley lo tiene como un principio el
proyecto es ley Perdón lo tiene como un
principio y también como un deber aquí
Esto es lo que señalaba Marcelo de que
en los principios no solamente nos
ayudan a interpretar la ley si no crean
obligaciones en el tratamiento de datos
como es este caso y Qué significa El
Deber de protección por diseño y por
defecto el private and by the fold que
esto es básico y a mí me encanta porque
vamos a ver que que crea cultura que
ayuda a que podamos ir creando una
conciencia
en la wernes adentro de una determinada
institución entonces estoy Qué significa
es aplicar medias técnicas y
organizativas adecuadas desde el diseño
con anterioridad y durante el
tratamiento de datos personales ya y ya
vamos a ir viendo les quiero explicar
cómo hacemos esto qué es lo que estaba
mostrando Rodrigo ya efectivamente Y
esto es una actividad preventiva y
continua por eso va de la mano con
compliance ya con una estructura de
cumplimiento y necesitamos también crear
esto conlleva una cultura de evidencia
Por qué Porque lo que hizo lo que dijo
Marcelo que lo anoté
dijo el requerimiento cierto que la la
agencia nos puede requerir entregar
cualquier libro O antecedente cómo vamos
a acreditar que estamos cumpliendo la
ley se acuerdan la obligación que les
decía antes que tengo la obligación de
velar por el cumplimiento de la ley Si
yo fuera un delegado protección de datos
Bueno tengo que tener la evidencia de la
debida diligencia en la gestión del
riesgo en esta protección desde el
diseño y por defecto Entonces
el proyecto de ley señala que tal como
lo decía Marcelo que es obligatoria
hacer una evaluación de impacto en
protección de datos cuando existe un
alto riesgo para los derechos de los
titulares ya cuando hay decisiones
automatizadas cuando hay un monitoreo
sistemático de zonas acceso público
cuando hay tratamiento de datos sensible
y especialmente cuando se trata de
excepciones al consentimiento Esto es lo
que se refería Marcelo de Respecto a los
datos de salud que son datos sensibles
si bien Se requiere por regla general un
consentimiento Expreso
hay excepciones donde la basecito es la
ley ya sin embargo Eso no significa que
yo no deba cumplir con el resto de la
ley de protección de datos y dado que es
un dato sensible yo tengo que tener un
mayor cuidado Si esa es la gran
diferencia que hay entre un dato
personal y un dato sensible el dato
sensible el tratamiento estos datos
requiere de un mayor cuidado las
consecuencias de si yo no cumplo la ley
o si se me filtran datos de salud son
mayores a un dato puramente personal Ya
ahora mi recomendación es hacer
evaluaciones de impacto en todo momento
por qué porque yo tengo que identificar
lo que dije antes voy a volver
el diseño en la privacidad por diseño y
por defecto
cómo logro establecer o crear una
estructura donde yo inserto en la en la
organización en los procesos que el
negocio considere la evaluación del
impacto es decir cuál es el impacto la
protección de datos Cuál es el riesgo y
fíjense que
a mí me gusta mucho esto los mis
clientes si hay alguno aquí hoy día los
clientes de Alexandra en temas de
protección de datos en la medida que
vamos avanzando en la concientización
porque esto no podemos ponerlo de un
momento porque la gente no tiene las
herramientas para poder identificar lo
que vamos a señalar ahora ya pero esto
significa que esto es una evaluación de
impacto en el tratamiento de datos
Y qué es lo que hacemos primero es una
descripción de la iniciativa Necesitamos
saber de qué se trata ya por ejemplo
vamos a tener yo en clase siempre pongo
un ejemplo que es crear una aplicación
que es de Baby ya donde unimos la oferta
y la demanda es decir los que tenemos
niños cierto y necesitamos una nanny
porque tenemos un una fiesta Bueno vamos
a esta aplicación que podríamos decir
que es un Uber pero de de visiten bueno
Qué datos vamos a tratar Cuál es la
iniciativa y Cuál es el propósito Ah el
propósito Es lograr unir la necesidad de
una Nani con
con el requerimiento que tienen los
padres Ya Entonces qué datos vamos a
tratar hay datos sensibles hay datos de
menores de edad Claro que sí cierto y
tenemos datos quizás de geolocalización
dónde están ubicadas las familias cierto
que requieren estás Nani por ejemplo Y
por qué pongo estos datos Porque si hay
datos biométricos de geolocalización de
menores de edad sensibles que la ley
requiere mayores requisitos mayores
exigencia aumenta el riesgo ya Cuál es
el origen de los datos Y aquí apuntamos
a un tema que mencionó Marcelo que
también la noté el 31% de las
infracciones corresponden a falta de
base de licitud Entonces si el origen de
los datos es no sé de dónde vienen Ah o
compré la base de datos Y no es una
fuente de acceso al público por ejemplo
Bueno aquí ya estamos poniendo más
puntajes al riesgo se fijan esto nos va
a permitir determinar Cuál es la base
del instituto si intervienen terceros es
decir proveedores Cuál es el estándar
que tiene ese proveedor para el
tratamiento de datos Y para la seguridad
la información Cuáles son los riesgos
que advertimos por ejemplo un volumen
importante de datos que no estamos
considerando la proporcionalidad
que que quizás es difícil obtener un
consentimiento de un padre madre tutor
tratándose de datos de menores de
menores de edad o bien que son datos
biométricos y que tenemos un proveedor
de por medio en fin Ahí vamos viendo los
riesgos que son inherentes y los
residuales y luego también como entro
este análisis vamos a decir cuáles son
las medidas para aminorar los riesgos
este documento este análisis lleva a una
conclusión que va a ir muy ligado al
apetito de riesgo que la compañía tiene
es decir vamos a establecer que si el
riesgo es alto
quizás no hacemos la iniciativa que
queremos si el riesgo bajo Quizás sí o
si es medio o alto requiere la
supervisión del delegado protección de
datos se va creando una estructura ya el
tema está que estos estas evaluaciones
como dije tenemos que establecer las en
los procesos
de los negocios de manera que no nos
salten Porque si saltan Esto va a llegar
y nos vamos a encontrar con que el
proyecto ya se hizo y vamos a tener que
hacer una evaluación cuando ya el costo
es un poco Un día cierto ya hubo
inversión de por medio también Cuáles
son los beneficios de la evaluación de
riesgo
uno vamos a estar gestionando el riesgo
pensemos incluso que esto puede llevar a
un modelo de prevención cierto que es
una atenuante en el caso de infracciones
pero es un trabajo que hay que ir
construyendo no es llegar y establecer
una estructura para que la empresa
rápidamente logre gestionar porque
tenemos que lograr el cambio cultural ya
Recuerden que los módulos de
cumplimiento los modelos de prevención
tienen que ser vivos tienen yo tengo que
generar evidencias ya de manera de decir
Bueno yo estoy gestionando el riesgo hay
veces que me he equivocado con un
control pero enmiendo levanto evidencia
ya también nos permite ir haciendo el
registro de tratamientos de datos que es
el rap que es parte cierto yo en la
medida que voy creando
este árbol de procesos donde voy
Estableciendo identificando dónde están
todos los tratamientos de datos que hace
una determina organización y esto ligado
también a la gestión de riesgos se fijan
que es harto trabajo y la ayuda de
herramientas como la que nos estaba
presentando Rodrigo son muy útiles ya
para que lo tengan lo tomen ahí como
como una recomendación
las evidencias ya se los dije antes lo
vemos en todos los planes de
cumplimiento fíjense que me voy a salir
de protección de datos me voy a ir a
libre competencia pero es la experiencia
que tenemos en planes de cumplimiento
cierto y en el caso de lo de los
supermercados La colusión de los pollos
se le dijo a
a dos de los supermercados que los tres
tenían modelos de cumplimiento cierto se
les dijo a dos de ellos Sí pero no son
no están vivos no son creíbles por lo
tanto la evidencia nos permite ir
demostrar que este que nosotros
gestionamos el riesgo que hay una
diligencia lo que el proyecto de ley
Busca es que exista ovulación que que no
esperemos que llegue la autoridad
fiscalizarnos para decir Uy sí nunca me
di cuenta o nunca valgo el riesgo ya y
esto implica un trabajo de identificar
bases de datos de identificar los
procesos de tratamiento de datos de
registrarlo y de ir gestionando el
riesgo también nos permite
concientización y ir creando Entonces
esta cultura preventiva está apareciendo
Ignacio Así que se me acabó el tiempo
Eso es lo que les quería presentar hoy
día tiene todavía cinco minutos me está
adelantando Ah mira me adelanté mucho
pero no importa porque yo prefiero darle
espacio a las preguntas justo ahí
terminé
así que bueno porque tenemos varias
preguntas y muchas gracias Macarena muy
clarificadora tu presentación y muy
práctica también qué es lo que yo creo
que nos complementamos bien
en los temas van de la mano cierto
tenemos un órgano de control pero no
tenemos que esperar que nos venga a
controlar ya Y si nos viene a fiscalizar
tener ya el trabajo hecho que nos cuesta
muchas veces actuar en forma preventiva
en temas de protección de datos como no
tenemos cultura
la gente Espera que pase algo Ah a mí me
ha tocado llegar a directorios donde me
dicen Oye pero si nunca ha pasado nada
bueno pero qué hacemos Esperamos que no
llegue la multa del dos o el cuatro por
ciento con este tope de las veinte mil
unidades tributarias mensuales
o actuamos en forma preventiva y ojo que
es una oportunidad para las
organizaciones de diferenciarse de su
competidor de yo sí me preocupo de sus
datos de ser éticos en el tratamiento de
datos que eso nos da para hablar un mes
Así que Y como me gusta hablar mejor me
quedo para allá bueno es un punto muy
importante porque el preocuparse los
datos personales es un valor agregado
para las empresas no tienen que ver esto
también como un costo tiene que verlo
como una proyección a largo plazo y eso
es también un punto súper importante y
lo que señalaba y era también un
propósito de este webinar Cómo vincular
la agencia con el delegado de protección
de datos que si uno lo ve en el papel a
primera vista Parecen dos entidades
totalmente distintas pero que conversan
y que finalmente su finalidad es la
misma el cumplimiento normativo de la de
la normativa de protección de datos
entonces creo que hemos logrado este
objetivo creo que hemos logrado vincular
ambas
y bueno ahora en honor al tiempo también
pasaremos a las preguntas tenemos varias
preguntas así que voy a ir
señalando para quién van dirigidas ya
que le podemos distinguirlas por el tema
de la agencia o delegado partiremos con
Marcelo primero
Marcelo Mira hay varias preguntas
interesantes tengo acá desde que se
apruebe la ley cuánto tiempo se tiene
para implementar la agencia durante ese
tiempo quién estará encargado de
fiscalizar
[Música]
a ver de qué se aprueba la ley van a
haber dos años de vacancia esto se
discutió 20 veces porque dos años suena
mucho tiempo pero en realidad en Europa
por los dos años y a última hora estaban
todos colapsando digamos al final el
acuerdo fue dejar el mismo plazo de lo
europeo se quería adelantar en ciertos
ámbitos Pero al final era un enredo no
se dejó limpio y claro dos años la
agencia se instala antes de eso se
instala creo que son seis meses antes y
tienen que empezar a emitir los
reglamentos de funcionamiento interno
etcétera pero hasta que no se cumplan
los años la ley no entra en vigencia y
no hay un ámbito de fiscalización
directo de acá y la agencia la agencia
no tiene la facultad y seguir el mismo
sistema actual a través de lo de los
tribunales civiles y lo que los recursos
de protección y todo lo que lo que
sabemos que hay que es bien poco y bien
poco efectivo pero pero bueno entonces
hay que esperar dos años para eso
Mira vinculado contar algo Ignacio
es importante no se olviden de la
modificación de la ley Pro consumidor
que le dio facultades fiscalizadoras al
sennac en temas de protección de datos
ya Esto fue en diciembre del 2021 ya
llevamos un año Ya bajo este régimen se
agrega en el segundo trámite
constitucional del proyecto de ley de
protección de datos se agregó un un
artículo que expresamente
elimina estas facultades
a
una vez que entra en vigencia la ley por
lo tanto tenemos vamos a seguir con el
snack hasta hasta digamos hasta que
entre la agencia por lo tanto igual Hoy
día hay una fiscalización que es lo que
dijo Marcelo una de las grandes
falencias que tiene la ley vigentes que
nadie fiscalizaba y había que ir a los
tribunales de Justicia por lo tanto cada
vez que hay un organismo que facilita
cierto la el reclamo o solicitar cierto
la defensa del derecho la exposición al
riesgo cambia en forma considerable ya
para que lo tengamos presente claro y
con los con Los tiempos y Los costos que
involucra ir hoy en día tribunales de
Justicia obviamente la agencia va a
poder suplir eso Mira esto la otra
pregunta era precisamente eso si
era respecto de que hoy en día existe el
consejo para la transparencia y segnar
con facultades de fiscalizar cuando se
instale la agencia Cómo se va a
coordinar esta facultad ya no
adelantaste un poco esta esta pregunta
pero no sé si Marcelo quieres
complementar con algo más el consejo
para transparencia hoy día tiene
facultades para el
velar dice literalmente la ley por el
cumplimiento
del actual ley de protección de datos de
protección de vida privada dentro del
órganos del Estado Entonces es limitado
eso eso se elimina también
Esa esa va a haber un conflicto de todas
formas a ver la ley establece un sistema
de coordinación regulatoria así lo
denomina digamos donde se intercambian
los series de oficio a la hora de emitir
normas de cumplimiento general de esta
agencia protección de intercambio de
oficios con el consejo de transparencia
Y eso le llama coordinación regulatoria
yo no sé se pueden enviar los oficio
pero si se le responde de forma negativa
la ley no dice nada digamos Pero además
solo para estas normas de carácter
general que son importantes pero son
puntuales el día a día de de la
atracción de datos van a ser esta
tutelas de derecho y los procesos de
fiscalización y sanciones Entonces
cuando se topen en eso qué va a pasar en
la tutela de derecho se va a topar todo
el tiempo y eso no está resuelto Yo creo
que esa es una mala fue una mala
solución pero ya fue la que se dio
digamos en términos de separar las
funciones
pero pero la parte queda queda este esta
de coordinación regulatoria
inconducente a mi juicio la verdad Pero
esa es la fórmula que se encontró Yo
creo que el tiempo va a ir asentando
esto porque también hay facultades en
materia de protección de datos con la
ley del del fintec digamos a la comisión
del mercado financiero está lo de sernac
yo creo que eso las cosas van a ir
tomando su lugar en la medida que vaya
pasando el tiempo que haya
jurisprudencia que se vaya conversando
los ámbitos se van a ir Ajustando y no
creo que hay un conflicto abierto
digamos en el día a día en el sector
público la información privado pública
Ahí va en un conflicto permanente entre
la entre la agencia y el consejo de
transparencia que ahí se verá como se
resuelve pero pero en el resto de las
cosas Yo creo que va a ir asentando
Fíjate que una preocupación que que lo
comentamos durante la discusión con con
Marcelo y los demás asesores de que
participamos era el nombre por esto
mismo Ah porque va a estar por ejemplo
la cmf tiene estas facultades cierto que
si Uno ve las infracciones gravísimas
que se mencionan la ley fintech son muy
parecidas a las gravísimas del proyecto
ley de datos personales y que dice
cierto eso no está artículo permanente
transitorio permanentes digo yo porque
mientras no se apruebe el proyecto ley
de datos van a ser permanente Dice que
hasta que no existe una agencia es como
muy parecido lo del entonces hoy día nos
pasa que
como no tenemos una buena ley de datos
que nos dé el marco vemos que salen
proyectos de ley de distintas materias y
van incluyendo
regulación de protección de datos
dándole facultades a otro
por ejemplo la ley Uber por ejemplo que
eso es una cosa que hay están todos los
datos de todos nosotros pasajeros y
además de los que son los los
conductores
recientemente salió a me acuerdo esta
semana se publicó una ley que modifica
el código aeronáutico que pone a
disposición las líneas aéreas que
transportan pasajeros tienen que tener a
disposición de la pdi del Ministerio
Público de las policías en general el
estado de los pasajeros de los últimos
cinco años
y así tú me sigue Ah deuda consolidada
el deuda consolidada
neuroderecho en fin Entonces sí
Inteligencia artificial también
sino claramente es todo un gran
engranaje que vamos a tener que ver cómo
se va se va implementando Finalmente y
es costoso Ah en temas de implementación
para las organizaciones porque el foco
de la mirada es distinta la de
protección de datos que la de consumo o
la que puede tener la agencia de
ciberseguridad o
la superintendencia de
un detalle en esto de la implementación
porque
en el último mes en el último par de
meses han estado muy preocupado muchas
empresas digamos muchas compañías en en
la implementación de las medidas de
cumplimiento y de prevención de
infracciones de la ley de delito
económico que claro que una mega ley
digamos es un código nuevo diría la
práctica
que que tiene estricto pero pero de
todas formas a pesar de que hay un par
de figuras que no son no son tan así
pero la gran generalidad es de la ley
del delito económico tú tienes que
activamente cometer un delito tiene que
haber un cierto dolor digamos hay un par
de figuras que algunos dicen que no pero
pero bueno pero lo grueso de por medio
de un cierto dolor es decir seguridad tú
tienes bueno tienes que haber al frente
a alguien que quiera dañarte digamos
acá y se combina la falta de práctica de
cultura con una ley muy estricta con
altas sanciones de
y es muy fácil caer una infracción es
muy fácil que una infracción y uno mira
la jurisprudencia Europea y por ejemplo
infracción a una empresa que de
paquetería de Delivery digamos que
entregaba porque que dejó el paquete ahí
con el nombre de la persona y y su
dirección digamos y eso era una
la cual vecino la mejor vecino eso es un
Data Bridge dejamos eso eso era Era una
una fuga de dato eh En nuestro ámbito
vamos a tener esta Norma sobre
sobre condición socioeconómica o
situación socioeconómica Bueno una
cuenta de de Luz o de agua o de gas de
corte en trámite puede ser datos
sensible si se deja ahí encima o cae en
las manos inadecuada va a ser la misma
fuga de datos pero en este caso de datos
sensibles de entonces
las cámaras de seguridad en la en las en
los casinos de almuerzo digamos de la
empresa hay un sinfín de cuestiones los
certificados antecedentes penales que se
piden todos los tiempos para las
postulaciones y los certificados
antecedentes penales de gente que no fue
contratada y bueno Dónde quedaron esos
certificados digamos y esos son datos
sensibles entonces Y más que sencillo de
categoría especial que solo puede ser
tratados por órganos públicos entonces
todo eso es bastante más fácil de que
hay una infracción que que yo creo que
muchos de los de delito económico y en
otros ámbitos el libre competencia
etcétera
Marcelo es lo que tú dijiste recién en
el ámbito laboral no se olviden que el
19 número cuatro da lugar a tutela
laboral Entonces cuando tenían dos cosas
y han habido casos por ejemplo de
de
uso de datos biométricos para control
horario que han ido por los dos lados
digamos y han terminado indemnización y
todo etcétera
Fíjate que voy a poner un ejemplo en el
otro día me llamó el apoderado de un
colegio y me dice Macarena mira lo que
está pasando en el colegio su hijo
habían enrolado a todos los niños a
todos incluso los que no almorzaban en
el en el comedor del colegio sino que
llevan su propia comida con
reconocimiento facial
reconocimiento facial para para tener el
control de quienes habían pagado las
Nueces cierto en mi época era una
tarjetita que le hacían Hoy era bastante
menos tecnológica pero enrolaron a todos
los niños y me dice y mis hijos no
almuerzan ahí Entonces mi pregunta fue
pero te mandaron un algo cierto una
autorización no no me enviaron nada
entonces claro uno piensa yo me pongo en
un lugar del colegio dijo Ah vamos a
hacer un sistema probablemente cuando
llamó licitación apareció este proveedor
que era súper tecnológico que tenía un
mejor control de la evasión o de los que
almorzaban sin haber pagado pero nadie
analizó el riesgo del reconocimiento
facial de los niños con sentimiento el
proveedor a donde guardaba esos datos yo
siempre les digo el dato biométrico para
mí es como del terror se llega a filtrar
a que tal como dijo la corte en illino y
dijo hay que sentarse a esperar que el
daño se produzca porque el daño se va a
producir usted no puede ir a ninguna
parte a cambiarse los puntos la cara o
una huella dactilar como cuando se le
clonan la tarjeta y vas al banco y es
otra el biométrico ya se hizo público
Entonces se fijan que si el colegio
hubiese analizado el riesgo quizás
hubiese quedado con la tarjetita en mi
época de los años 80 haciendo hoyito
es súper interesante que nombre a los
colegios que también tiene que cumplir
con esta normativa en el caso del dato
biométrico obviamente no hay un análisis
tienen normas expresa
a los establecimientos que tratan menor
datos de menores de edad tienen una
norma expresa
es como es como un titular como un
consumidor yo siempre lo comparo con lo
que hizo el sennac cuando Trata a los
consumidores hiper vulnerables aquí pasa
lo mismo los menores de edad si tú las
pones una hamburguesa todos entregan sus
datos Oye Pon tus datos Y te vas a
participar por una hamburguesa una
bicicleta lo que sea porque no advierten
si no tienen dice que tiene que ser de
acuerdo a la progresión del del
desarrollo cognitivo del niño esto viene
de los derechos de la niñez o sea
totalmente distinto entonces claro como
no tenemos cultura vamos capturando
datos de menores de edad para distintos
fines ojo yo no creo que haya doble
yo no creo que haya dolor es
desconocimiento
Y eso lo hace más complicado porque
porque yo creo que de buena fe muchas
están haciendo muchas cosas en distintos
puntos que son infracciones gravísimas
de todo eso que hablamos entre
reconocimiento facial niños menores todo
cae en la infracción gravísima entonces
esto es hay un ámbito de cumplimiento
que hay que ir trabajando y desarrolla
una cultura al respecto que hoy día no
tenés
Pero bueno pero tampoco podemos se puede
poner una ley para un nivel más bajo
digamos tampoco tenía sentido a partir
de atrás había que llegar rápidamente el
mejor nivel y ahí trabajando en el
camino y claro claramente que acá
nosotros no estamos subiendo a un buque
que ya partió o sea esto ya a nivel
internacional ya existe ya hace hartos
años nosotros vamos venimos de atrás
Fíjate que un minuto que que la gente
decía bueno Pero quizás para el país Ah
para generar trabajo las empresas quizás
nos conviene seguir con el estándar que
tenemos y no es así es al revés Acá hay
una pregunta porque déjame terminar con
esto porque perdemos la posibilidad de
exportar servicios
bueno todo lo que es la la
comercialización con la Unión Europea
esto también nos va a dar abrir un
refuerzo con lo que es la unión
exactamente
quiero dejar pasar porque yo creo que
mucha gente se la hace la han repetido
varias veces qué pasa con el Rut es un
dato sensible
no es es información relacionada a una
persona natural identificado
identificable sí
futura Pero ha habido alguna
jurisprudencia en algún par de lugares
que la agencia española dijo algo al
respecto Sí sí pero bueno ahora yo no
conozco el uso del del del del nuevo
identificador en España pero acá están
recontra masivo acá es masivo y yo creo
que va a ayudar mucho la agencia nueva
en términos se sabe que ya usted no
puede pisar un retail cualquiera o sea
porque ni siquiera
y para pedir el número de la fila tiene
que ver el rubro eso todo eso se va a
acabar digamos lo rutificadores se van a
acabar todos esos sitios web para buscar
todo eso se va a acabar afortunadamente
y todo se hubiera asentando un poco más
pero en el futuro quizá llegar a ese
punto pues yo no descartaría de que sea
un dato sensible por alguna
interpretación Y eso significa un cambio
cultural gigante porque nosotros estamos
muy acostumbrados a nuestro grupo
Fíjate que el otro día con el senador
estábamos participando en un seminario
en la universidad del desarrollo y él
comentó algo que yo no tenía la menor
idea Ah dijo que la preocupación por qué
estaba el derecho a la privacidad en la
Constitución de 1980 era la preocupación
que había tenido Jaime Guzmán de los
datos que uno entregaba la entrada de un
edificio
han pasado 50 años y tenemos la misma
preocupación
y nuestros padres no le dan el ruta a
nadie A no ser que fuera estrictamente
necesario tenía miedo de ser suplantado
etcétera hoy día uno pies uno uno piensa
una tienda de conveniencia comprar un
chicle y
para obtener algún beneficio un
descuento porque viene amarrado con ese
descuento
último privacidad detrás ya tiene algún
sentido porque por último hay un
descuento pero para el hecho de comprar
el chicle no O sea
no y el rutificador porque teniendo tu
Rut ya se te abre un mundo
claro el punto intersección
es el dato que te ayuda a identificar
porque Macarena Gatica yo conozco dos
más
Pero ya cuando sabes mi error ya
empiezan a a hacer todo el árbol
genealógico completo O sea mis papás
todo entran al registro civil después se
van al registro comercio después se van
al poder judicial
Entonces ese es otro tema que es muy
importante que lo tengan presente Cómo
cambia La regulación respecto a las
fuentes de acceso público no para hoy
día pero para que lo tengan presente
esto lo discutimos con Marcelo en la
comisión de Constitución cambia
totalmente
de alguna manera con esta mirada más de
de la protección de los derechos de los
titulares de datos
Mira Una última pregunta ya estamos
pasadito en el tiempo pero respecto al
delegado protección de datos
que es bastante interesante Cuál es el
perfil profesional de un delegado de
protección de datos Y dónde debe estar
ubicado en la estructura organizativa de
la empresa
la estructura yo les dije es
independiente autónomo y reporta
directamente al directorio ya eso es
bien importante tiene como una figura
muy parecida a un oficial de
cumplimiento hoy día en cuanto al perfil
fíjense que cuando se dictó el
reglamento europeo un cliente aquí en
Chile me dijo Macarena por favor hasta
un análisis de las características eh
las funciones del delegado Ya pues nos
fuimos a levantar información europea o
sea donde más digamos hay y fíjense que
la mayoría eran abogados y hoy día no
son abogados
De hecho acá en chile hay un hay un
cliente de la industria financiera que
el delegado es una ingeniera comercial
donde tiene estudios de protección de
datos
que van más asociadas a la capacidad de
gestión y de proceso ya lo importante es
que este delegado sí tiene que tener
conocimientos de protección de datos
algo ya y asesorarse puede tener
abogados y también es importante conocer
aspectos tecnológicos de lo contrario si
no tenemos una mente más o menos de
entender cómo funcionan los sistemas
detrás es difícil se puede lograr
yo yo antes no sabía nada de dato y en
la medida que me fui metiendo más en
temas de tecnología y donde me ha tocado
trabajar uno va entendiendo los dos
mundos y y también es importante que
este dipio para que sea exitoso que
tenga una mirada de negocio
porque
la empresa tiene que seguir funcionando
la empresa tiene que seguir vendiendo la
fundación tiene que seguir
de alguna manera manteniendo sus
funciones el gobierno también ya
entonces si no hacemos esta mirada de
gestión de riesgo con el negocio y la
protección de datos nos va a ir muy mal
y nos van a empezar a saltar los
procesos el el delegado protección de
datos Y nosotros con marcelos que somos
asesores en protección de datos somos un
Aliado y así nos tenemos que presentar
Porque cuando uno llega les empieza a
decir tienes que borrar los datos caduco
tienes que Borrar esto que no tiene más
solicitud y esto y esto te miran y lo
único que eran estirarte tomate Entonces
es importante de ir gestionando y
decirle Mira voy a hacer lo posible
porque podamos seguir haciendo esto
de Pero lo importante es decirle pero
pagamos un pie Hagamos una evaluación de
riesgo Ah ya bueno y ahí empezamos a
hacer la evaluación de riesgo y ellos
aprenden también y esto al final va a
ser un es un proceso en cadena en la
medida que yo le exija a mis proveedores
ese proveedor le va a exigir a los tuyos
Y así sucesivamente Así vamos a ir
creando cultura
mira en relación al pie hay una pregunta
bastante bastante interesante dice desde
una perspectiva organizacional conviene
que el esquema del Pía y del listado de
datos que se tratan sean creados
internamente o externalizados a la
creación de esos modelos
Mira no es lo mismo
hoy día Muchas empresas organizaciones
Incluso el gobierno cierto más que
gobierno estado acusamos la palabra
correcta estado no no hay personas que
que sepan cómo hacerlo
hay que ayudarlos para que tengan la
estructura y luego lo van a hacer solos
Ese es mi fin yo no los quiero llevar la
mano permanentemente sino empezar con
capacitaciones Y empezamos con lo básico
que es un dato personal que es un dato
sensible cierto
distinguiendo en áreas que que tienen
más mayores exposición al riesgo al área
comercial recursos humanos cierto y pero
perfectamente acuérdense que el delegado
de protección de datos puede ser externo
puede ser nos podría contratar a Marcelo
a mí nosotros les prestamos el servicio
y los vamos a ayudar también es
importante la relación con el gobierno
de dato gobierno era de datos es un es
una mirada bien técnica de de negocio
cierto decir que el dato sea de calidad
disponible íntegro para para el negocio
Pero si no viene con una mirada de
protección de datos
es un mono con gillette porque es un
riesgo enorme que va a poner a
disposición de la compañía datos que le
pueden de alguna manera van con un
germen cierto de un riesgo inherente
porque no ha cumplido con la ley
claro al final son dos caras de una
misma moneda por un tema por un lado el
tema del gobierno por otro lado la
protección de datos y todo esto también
con lo que es el cumpleaños general que
tiene que tener la empresa mira un
agregado en eso Yo diría que en
organizaciones pequeñas tiene harto
sentido externalizar esa función digamos
Porque tampoco es algo que
organizaciones pequeñas sea una demanda
diaria en organizaciones más grandes no
pero necesita un apoyo sobre todo en
este proceso inicial de aprendizaje
y algunos dicen que es bueno y yo creo
que es bueno para Chile que parta por
los oficiales de cumplimiento hoy día
que ellos sean los y aprendan pero
también hay alguna experiencia europea
dicen que hay un conflicto entre hay y
que no es el modelo óptimo digamos yo
creo que para la curva de aprendizaje
deben hacerlo los jefes de de
cumplimiento y después ir abriendo la
figura a otra digamos pero siempre
cumpliendo con los requisitos que señala
La Macarena de independencia de reporte
directo al directorio sería digamos
entonces la instancia mayor con la
bañera al lado estaría en la en la en la
en el organigrama Pero tenemos una curva
de aprendizaje ahí todavía que varias
etapas que quemar hasta que logremos
establecer esa figura de manera sólida y
yo creo que lo mejor en organizaciones
grandes es que es que el oficial de
cumplimiento cumple esta otra función se
Aprenda y después se entregue a otra
instancia pero pero así se empapa del
resto del cumplimiento de la
organización
claro el tamaño de la empresa es súper
importante no no podemos exigir lo mismo
una empresa grande una empresa pequeña
pero también es importante lo que es la
mejora continua la empresa pequeña puede
partir con el oficial Pero va a tener
que ir después paulatinamente
abriendo sus departamentos y abriendo
sus varias de y se especializando
también y dejando estos temas a gente
más especializada recordemos también que
la ley respecto de responsabilidad penal
de la empresa antes de la última reforma
dejaba a las pymes que el representante
legal fuera El oficial de cumplimiento
hoy en día eso cambia un poco
así que bueno es un tema de mejora
continua y y aprendizaje también de las
empresas
no sé si quieren agregar algo más ya
estamos muy pasado en el tiempo pero
bueno queremos cerrar entonces
invitarlos también vamos a estar
organizando próximos eventos agradecerle
también a ti Macarena y Marcelo por su
disposición y por sus muy buenas
presentaciones
voy a dejar nuevamente nuestro contacto
de ley de dato el contacto directo de
Rodrigo la parte comercial a quienes
estén interesados a conocer nuestro
software y agendar algún alguna reunión
y dejamos este webinar acá abierto para
próximos webinar y próximas discusiones
porque estamos recién en una etapa y lo
conversamos antes con Macarena y Marcelo
que todavía no sabemos Cuándo va a salir
la ley pero la ley se viene así que hay
que estar preparados para ese día
Muchas gracias Ignacio un gusto Marcelo
Macarena El gusto es todo mío como
siempre Ignacio gracias gracias a todos
por escucharnos esta mañana
muchas gracias a ustedes hasta luego