Claves de la Ley Orgánica de Protección de Datos Personales de Chile

La Ley Orgánica de Protección de Datos Personales de Chile marca un antes y un después en la protección de la privacidad y el tratamiento de datos personales en el país. El pasado 26 de agosto de 2024, el Congreso aprobó el Proyecto de Ley sobre la Protección de Datos Personales, que ahora está en revisión por el Tribunal Constitucional antes de su promulgación por el Presidente de la República y su publicación en el Diario Oficial.

En la línea de otras normativas que están surgiendo en Latinoamérica, cabe destacar la influencia de la normativa europea en materia de protección de datos, en cuanto a que esta Ley, una vez aprobada, va a permitir ampliar la protección y el respeto a los derechos y libertades de las personas sobre las que se tratan datos personales, especialmente considerando que la normativa actual en Chile fue publicada hace ya 25 años, en el año 1999.

La Ley tiene por objeto regular la forma y condiciones en la cual se efectúa el tratamiento y protección de los datos personales de las personas naturales. En consecuencia, todo tratamiento de datos personales que realice una persona natural o jurídica, incluidos los órganos públicos, debe respetar los derechos y libertades de las personas y quedará sujeto a las disposiciones de esta ley.

El proyecto de Ley establece diferentes principios por los que debe regirse la protección de datos personales, como son:

• Principio de licitud y lealtad del tratamiento.Los datos personales sólo pueden tratarse de manera lícita y leal. El responsable deberá ser capaz de acreditar la licitud del tratamiento de datos personales que realiza.
• Principio de finalidad. Los datos personales deben ser recolectados con fines específicos, explícitos y lícitos. El tratamiento de los datos personales debe limitarse al cumplimiento de estos fines. En aplicación de este principio, no se pueden tratar los datos personales con fines distintos a los informados al momento de la recolección, salvo que el tratamiento sea para fines compatibles con los autorizados originalmente; que exista una relación contractual o pre contractual entre el titular y el responsable que justifique el tratamiento de los datos con una finalidad distinta siempre que se enmarque dentro de los fines del contrato o sea coherente con las tratativas o negociaciones previas a la celebración del mismo; el titular otorgue nuevamente su consentimiento, y cuando lo disponga la ley.
• Principio de proporcionalidad. Los datos personales que se traten deben limitarse a aquellos que resulten necesarios en relación con los fines del tratamiento. Los datos personales deben ser conservados sólo por el período de tiempo que sea necesario para cumplir con los fines del tratamiento, luego de lo cual deben ser cancelados o anonimizados. Un período de tiempo mayor requiere autorización legal o consentimiento del titular.
• Principio de calidad. Los datos personales deben ser exactos, completos, actuales y pertinentes en relación con su proveniencia y los fines del tratamiento.
• Principio de responsabilidad. Quienes realicen tratamiento de los datos personales serán legalmente responsables del cumplimiento de los principios, obligaciones y deberes de conformidad a esta ley.
• Principio de seguridad. En el tratamiento de los datos personales se deben garantizar niveles adecuados de seguridad, protegiéndolos contra el tratamiento no autorizado, pérdida, filtración, destrucción o daño accidental y aplicando medidas técnicas u organizativas apropiadas, para garantizar una adecuada protección y confidencialidad de los datos objeto de tratamiento.
• Principio de transparencia e información. El responsable debe entregar al titular toda la información que sea necesaria para el ejercicio de los derechos que establece esta ley, incluyendo las políticas y las prácticas sobre el tratamiento de los datos personales, las que además deberán encontrarse permanentemente accesibles y a disposición de cualquier interesado de manera precisa, clara, inequívoca y gratuita.
• Principio de confidencialidad: El responsable de datos personales y quienes tengan acceso a ellos deberán guardar secreto o confidencialidad acerca de los mismos.

Otro aspecto fundamental de la normativa es que dota a los titulares de los datos, de una serie de derechos que tienen la facultad de ejercitar, como son:

• Derecho de acceso del interesado: El titular de datos tiene derecho a solicitar y obtener del responsable confirmación acerca de si los datos personales que le conciernen están siendo tratados por él
• Derecho de rectificación: El titular de datos tiene derecho a solicitar y obtener del responsable la rectificación de los datos personales que le conciernen y que están siendo tratados por él, cuando sean inexactos, desactualizados o incompletos.
• Derecho de supresión: El titular de datos tiene derecho a solicitar y obtener del responsable la eliminación de los datos personales que le conciernen cuando éstos no resulten necesarios en relación con los fines del tratamiento; cuando haya retirado su consentimiento para el tratamiento y éste no tenga otro fundamento legal; cuando se trate de datos caducos; cuando los datos hayan sido obtenidos o tratados ilícitamente por el responsable o cuando la supresión deba realizarse para el cumplimiento de una obligación legal.
• Derecho de oposición: El titular de datos tiene derecho a oponerse ante el responsable a que se realice un tratamiento específico o determinado de los datos personales que le conciernan.
• Derecho de portabilidad: El titular de datos tiene derecho a solicitar y recibir del responsable una copia de los datos personales que le conciernen de manera estructurada, en un formato genérico y de uso común que permita ser operado por distintos sistemas, y a comunicarlos o transferirlos a otro responsable de datos.
• Decisiones individuales automatizadas: El titular de datos tiene derecho a oponerse y a no ser objeto de decisiones basadas en el tratamiento automatizado de sus datos personales, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente.
• Derecho de bloqueo del tratamiento: El titular de datos tiene derecho a solicitar la suspensión temporal de cualquier operación de tratamiento de sus datos personales cuando formule una solicitud de rectificación, supresión u oposición, mientras dicha solicitud no se resuelva.

Si bien resultaba significativo que en el proyecto de Ley inicial no se hiciera una referencia específica a análisis de riesgos o evaluación de impacto, si se establecía que se debían adoptar medidas necesarias de seguridad, técnicas u organizativas, considerando la naturaleza, alcance, contexto y fines del tratamiento, así como la probabilidad de los riesgos y la gravedad de sus efectos en relación con el tipo de datos tratados. En consecuencia, se podía inferir que se deberá realizar un proceso de análisis de riesgos y evaluación de impacto similar a lo establecido por la normativa europea.

No obstante, en el último proyecto de Ley, se ha incluido un artículo específico para regular la evaluación de impacto en protección de datos personales, dejando ya expresamente reflejada la necesidad de realización de dicha evaluación e incluyendo casuísticas concretas en las que será requerida:

• Evaluación sistemática y exhaustiva de aspectos personales de los titulares de datos, basadas en tratamiento o decisiones automatizadas, como la elaboración de perfiles, y que produzcan en ellos efectos jurídicos significativos.
• Tratamiento masivo de datos o gran escala.
• Tratamiento que implique observación o monitoreo sistemático de una zona de acceso público.
• Tratamiento de datos sensibles y especialmente protegidos, en las hipótesis de excepción del consentimiento.

Además y como se ha venido realizando en España, la Agencia de Protección de Datos establecerá y publicará una lista orientativa de los tipos de operaciones de tratamiento que requieran o no una evaluación de impacto relativa a la protección de datos personales.

Surge una nueva figura que se deberá nombrar en algunas organizaciones, como es el encargado de prevención o delegado de protección de datos personales, cuyo nombramiento servirá para la prevención de infracciones, así como para supervisar el cumplimiento de la normativa en las organizaciones. En este sentido, esta figura, deberá realizar, entre otras, las siguientes funciones:

• Informar y asesorar al responsable de datos, a los terceros encargados o mandatarios y a los dependientes del responsable, respecto de las disposiciones legales y reglamentarias relativas al derecho a la protección de los datos personales y a la regulación de su tratamiento.
• Promover y participar en la política que dicte el responsable de datos respecto de la protección y el tratamiento de los datos personales.
• Preocuparse de la formación permanente de las personas que participan en las operaciones de tratamiento de datos.
• Absolver las consultas y solicitudes de los titulares de datos.
• Cooperar y actuar como punto de contacto de la Agencia.

Para velar por la efectiva protección de los derechos que garantizan la vida privada de las personas y sus datos personales, se requiere contar con una autoridad de control dotada de facultades para regular, supervisar, fiscalizar y en última instancia, sancionar los incumplimientos. Esto es así ya que, sin una autoridad de control con potestades normativas y fiscalizadoras suficientes, la ley tendría escasa eficacia.

Por este motivo, se procede a crear la “Agencia de Protección de Datos Personales”, encargada de velar y fiscalizar el cumplimiento de la Ley.

De una forma similar a lo que sucede con otras normativas sobre protección de datos, se prevé la responsabilidad por infracciones de la Ley, definiéndose casuísticas para tres niveles de infracciones: leves, graves y gravísimas, que se graduarán en función de la gravedad de la infracción, pudiendo llegar a suponer sanciones económicas significativas para las organizaciones en caso de incumplimiento.

En el contexto de la nueva Ley Orgánica de Protección de Datos Personales de Chile, desde GlobalSuite Solutions podemos ayudarte con el cumplimento de esta ley ofreciendo el software GlobalSuite® Data Protection. Este software se distingue por:

• Automatizar procesos para una gestión eficiente de la protección de datos, resultando en un ahorro significativo de tiempo y recursos.
• Facilitar el cumplimiento normativo, adaptándose a los cambios legislativos para evitar sanciones.
• Mejorar la gestión de riesgos, identificando vulnerabilidades y fortaleciendo la seguridad de los datos.

GlobalSuite Solutions se posiciona como una herramienta indispensable para asegurar el cumplimiento de la legislación vigente y optimizar las operaciones relacionadas con la privacidad y seguridad de la información.