Diego Morandé ante la nueva ley de Datos Personales: “Aplica a todo aquel que trate datos desde el conserje del edificio hasta una transnacional”

Las insistentes llamadas telefónicas para contratar un servicio, la aceptación forzosa de publicidad a cambio de un descuento o de sumar puntos, las constantes peticiones de carnet de identidad, son pan de cada día para en la vida de todos nosotros. Todo esto debería terminar cuando se empiece a aplicar la nueva Ley de Datos Personales.

El gobierno envió un proyecto de ley para aplazar la entrada en vigencia de esta normativa en un año, para el 1° de diciembre de 2027, porque ha tardado la designación de los consejeros de la nueva Agencia de Protección de Datos Personales.

Un año pasa volando. The Clinic conversó con el socio y líder del área de Propiedad Intelectual del estudio jurídico Guerrero Olivos, Diego Morandé, sobre el alcance de los cambios propuestos por la autoridad, y cómo la nueva ley modificará aspectos que se consideran normales en la cotidianeidad. “Pedir el RUT es algo del día a día en Chile, mientras que en otros países es un dato absolutamente reservado”, precisa el abogado.

—¿Cuál es la importancia que tiene esta ley de protección de datos en estos momentos cuando uno ve que la información de la gente anda por todos lados?

—Esta ley viene a destiempo. Estamos atrasados respecto de nuestros vecinos y de los países desarrollados, de la OCDE, etc. Pero viene a ponernos al día, y en ese sentido es un paso muy grande respecto a lo que tenemos actualmente porque se crea una agencia reguladora, la Agencia de Protección de Datos, se establecen multas y sanciones reputacionales para las organizaciones. Entonces debería ayudar a que, como dices, los datos no sigan dando vuelta, sin ningún control.

—Si bien se aplaza la entrada en vigencia de la norma, ¿hay temas que ya están  empezando a aplicarse?

—Si bien el proyecto se refiere a la ley en su integridad, hay cambios que estamos viendo hoy en día. Están apareciendo nuevas solicitudes de consentimiento, basta con navegar en Internet. Nosotros estamos asesorando a un grupo relevante de empresas para la implementación de la ley, independiente si entra en vigencia ahora o el próximo año. Aquí el que llega más preparado estará en ventaja.

—Como usuarios, con la nueva ley ¿qué pasará con consentimientos forzosos que hoy ocurren y si no se aceptan no brindan el servicio o no se hace el descuento?

—Hay que distinguir porque hay ciertos tratamientos de datos que son necesarios y que no requieren consentimiento. Por ejemplo, si se contrata un plan de isapre, para usar las prestaciones de salud, la isapre debe tener los datos porque ese es un contrato. Lo importante es que aquello debe circunscribirse exclusivamente a los datos necesarios, indispensables, para cumplir con el contrato, y no habilita para que después manden, por ejemplo, un correo de marketing. Si van a hacer marketing, ahí sí te tienen que pedir el consentimiento.

—Pero está IMED que obliga a consentir para ser atendidos en la isapre, ¿cambia algo con la ley?

—El caso de IMED es un caso interesante porque valida la huella digital. Y los datos biométricos son una categoría especial de dato personal porque no se puede cambiar como se haría con una contraseña. Ese tratamiento requiere un consentimiento específico para usar los datos biométricos. Lo importante es que si la persona no quiere dar el consentimiento, la isapre debe tener medios alternativos para la compra del bono, de modo que el usuario tenga el control. Hay ciertas características que son bien exigentes en la ley, y una de ellas es que sea libre, y para que sea libre tiene que haber alternativas.

—Y por ejemplo para juntar puntos con una tarjeta, ¿puede la empresa negarle a la persona acumular puntos si no da consentimiento de sus datos?

—La acumulación de puntos es un mecanismo de fidelización. En ese sentido, hay que evaluarlo en su mérito porque también tendrá resguardos. Las empresas van a tener que ser más creativas y más cuidadosas al momento de plantear esto a los consumidores. El consentimiento que se pide para la acumulación de puntos, probablemente tendrá que separarse del consentimiento de recibir 50 WhatsApp al día con publicidad, porque probablemente los usuarios van a dejar de dar ese consentimiento para los programas de fidelización y acumulación de puntos si es que no está separado del marketing.

—También es muy común que cuando se va a un edificio, el conserje exija el carnet de identidad para ingresar. ¿Habrá algún resguardo con la nueva ley?

—Sí, por supuesto. La ley aplica a todo aquel que trate datos desde el conserje del edificio hasta una transnacional. El conserje es un trabajador de una comunidad, y esa comunidad va a ser responsable del tratamiento de esos datos. La normativa dice que la organización debe determinar si tiene alguna base legal y si ese tratamiento de datos es proporcional, si transgrede o va más allá de lo razonable, la privacidad de las personas, y tendrán que tomar resguardos, acorde con esa finalidad.  Pedir el RUT es algo del día a día en Chile, mientras que en otros países es un dato absolutamente reservado, y se entrega solo para cuestiones muy específicas.

—¿Es desproporcionado?

—Hay condominios en los suburbios de Santiago que te piden el carnet de identidad, escanean el QR y si no lo entregas, no puedes entrar al condominio. Esos casos son bien extremos, porque con el QR se está generando una serie de información que es absolutamente desproporcionada para los fines de control de acceso. Esas son prácticas que deberían ir limitándose con la aplicación de la nueva ley. Hay que tener en consideración que, probablemente, las comunidades y condominios van a ser los últimos que se van a subir a este carro, porque hay un tema de recursos, y de presupuestos para el cumplimiento de la ley que es complicado.

—¿Pero el  visitante tendrá derecho a negarse a entregar el carnet?
—Está el derecho de oposición ante algún tratamiento de datos que la persona no considere adecuado. Con la ley, van a existir los mecanismos para hacer frente, digamos, a abusos y en estos casos, se puede derechamente hacer una denuncia a la Agencia para que fiscalice.

—¿Cuándo la ley empiece a regir, las personas ya no recibirán llamadas de compañías de teléfonos para cambiarse de proveedor?
—Si uno aplicara la ley en un laboratorio, todo eso debería cambiar de la noche a la mañana, y las personas nunca más deberían recibir una llamada de una empresa con la que jamás han interactuado. Deberían cambiar los accesos a los edificios que conversábamos, de manera inmediata, pero obviamente estamos en una realidad donde el 60% de las empresas no ha hecho nada. Muchas empresas van a pasar malos ratos porque van a ser fiscalizadas, multadas e incorporadas en el registro de infractores. Este será un proceso que requiere un cambio cultural porque nos estamos poniendo al día de un salto, desde el año 99.

“Su aplicación podría generar problemas de crecimiento si se lleva al extremo”

—¿Cuál es su visión general de cómo quedó la ley?

—En términos generales es una ley ambiciosa respecto a la realidad económica del país. Su  aplicación podría generar problemas de crecimiento si se lleva al extremo y por lo tanto, la Agencia va a tener un rol súper relevante para efectos de matizar las obligaciones y establecer criterios que sean razonables.

—Entiendo que la industria estaba muy preocupada porque las sanciones y las multas eran muy altas respecto de otras normativas

—La ley contempla multas estrictas. También entiendo que es necesario que las multas sean estrictas para que tenga un impacto real y no sea una declaración de intenciones, y caiga en letra muerta. Es importante que haya un dolor para quien cumpla, aunque las obligaciones son profundas y no todas las organizaciones están en condiciones económicas de hacerle frente. Por eso el rol de la Agencia en ir regulando la aplicación de una manera que no perjudique la economía, va a ser clave.

—La constitución de la Agencia ha generado otro problema porque se colocaron demasiadas inhabilidades para los integrantes. ¿Qué le parece la institucionalidad que se estableció?

—Los hechos hablan de trabas en la instalación. Más que un tema de inhabilidades, el problema, a mi modo de ver, es que las remuneraciones que se establecieron para los consejeros eran muy bajas, y, por lo tanto, era muy difícil encontrar personas técnicamente aptas, dispuestas a aceptar el encargo por esa remuneración. Eso abría una incertidumbre acerca de si esos consejeros iban o no a tener dedicación exclusiva. Y la dedicación exclusiva en este tipo de roles es fundamental, porque si no el conflicto es gigantesco.

“La decisión del gobierno fue presentar un proyecto súper pragmático”

—Ahora el gobierno presentó un proyecto de ley para postergar la entrada en vigencia de la ley por un año más, ¿se corrige este tema de los consejeros?

—Se introducen modificaciones. Lo primero es que se agregan dos consejeros y serán cinco, van a tener dedicación exclusiva en sus funciones. La remuneración de esos consejeros debería aumentar, aunque es algo que no está expresamente en el proyecto, pero está asociado y probablemente va a ser materia de la discusión parlamentaria.

—¿Qué otro cambio importante conlleva?

—El otro cambio es una ampliación de una norma transitoria establecida en la ley, extensiva sólo para las pymes, que consiste en que durante un año desde que entra en vigencia la ley, la Agencia, puede aplicar amonestaciones y no multas. Estaba establecido para las pymes y ahora se extiende a todos los obligados por la ley, es decir, a todo tipo de empresas, organizaciones, fundaciones, corporaciones y personas jurídicas sin fines de lucro.

—¿En el campo de las sanciones hace cambios?
—Las sanciones se mantienen, no cambia nada del fondo de la ley.

—A su juicio, ¿este proyecto de prórroga debería haber abordado otros temas que no quedaron suficientemente claros?

—Se había generado una incertidumbre importante en los sujetos obligados, es decir, las empresas y las organizaciones, porque hay una serie de materias que deben ser determinadas por la Agencia antes de entrar en vigencia la Ley, que era en diciembre de este año. Y si no había Agencia, nos enfrentábamos a una falta de criterio para poder cumplir. Por ejemplo, la Agencia debe establecer cuáles son los países adecuados para efecto de la transferencia internacional de datos; determinar cuáles son las medidas de seguridad mínima para cada tipo de tratamiento de datos. Todas son cuestiones relevantes.

—¿Está de acuerdo con que el proyecto corrija cosas formales en vez de ir al fondo?

—La decisión del gobierno fue presentar un proyecto súper pragmático, de carácter operativo y no meterse en el fondo de la ley. Es una decisión adecuada porque es mucho más fácil poner de acuerdo al Congreso en torno a este interés común. Si se hubieran metido en el fondo, probablemente se enredaría la discusión parlamentaria y el proyecto no saldría a tiempo. El tema estuvo en discusión más de 10 años, entonces creo que hay que dejarlo regir por un tiempo, probar cómo funciona. Hoy día meterse a modificar una ley que costó tanto sacar, sería un despropósito.