Tras el seminario “Protección de Datos en la Práctica: del rol del DPO al cumplimiento sectorial”, Cynthia Gajardo Valdés, abogada socia del estudio jurídico Molina Matta & Asociados y asesora senior en Consultora Privacy by Design, analizó en conversación con Actualidad Jurídica, el blog de DOE, los desafíos que enfrentarán las organizaciones ante la entrada en vigencia de la Ley N°21.719, especialmente en materia de concientización, compliance, gobierno de datos y gestión de riesgos.

En el seminario “Protección de Datos en la Práctica: del rol del DPO al cumplimiento sectorial”, ¿cuál diría que fue la principal reflexión que dejó esa exposición para el debate sobre protección de datos personales?

Creo que el tema de fondo tiene que ver con el grado de concientización que existe en la sociedad y en las empresas sobre la garantía constitucional de protección de datos personales, su esfera de protección y sus límites.

A pesar de haberse incorporado al catálogo constitucional en 2018, aún no existe una noción clara sobre su extensión. La entrada en vigencia de la modificación a la Ley de Protección de Datos acelera ese proceso, ya que la dota de exigibilidad material y establece mecanismos como la figura del DPO, lo que permite avanzar hacia una implementación adecuada de cara a las futuras fiscalizaciones de la nueva Agencia de Protección de Datos.

El problema de fondo es el apoyo efectivo que el DPO tenga por parte de los directorios y la plana mayor de las empresas. Sin ese ejemplo, la concientización “desde la cabeza a los pies” de la organización cae en la ineficacia. Es decir, podemos tener una norma formalmente vigente, pero carente de eficacia práctica.

Cuando se habla de progreso tecnológico, muchas veces se enfatizan los beneficios de la innovación. Desde la perspectiva de la protección de datos, ¿qué riesgos aparecen cuando ese desarrollo no va acompañado de reglas claras, controles efectivos y responsabilidad institucional?

La tensión de fondo que está marcando el futuro es el respeto a la protección de los datos de los titulares versus la innovación.

La ausencia de una debida ponderación entre ambos elementos genera riesgos como la recolección de datos sin una base de licitud suficiente, la pérdida de trazabilidad dentro de la organización, fugas de datos, insuficiencia de medidas de seguridad y falta de concientización respecto de la ley.

Todo ello puede acarrear una pérdida de competitividad frente a empresas cumplidoras, pérdida de confianza de los titulares con los que se interactúa —clientes, proveedores y trabajadores—, daño reputacional y sanciones de alta envergadura.

Uno de los temas que atraviesa la discusión sobre datos personales es la concentración de poder en organizaciones públicas y privadas que manejan grandes volúmenes de información. ¿Cómo debería abordarse ese poder desde el derecho y el compliance?

Desde el derecho se establecen diversos mecanismos para generar equilibrio, como el ejercicio efectivo de los derechos ARSOP+, incorporados por la modificación a la ley, o el ejercicio de acciones como la tutela de derechos fundamentales en el ámbito laboral.

Habrá que ver cómo se desarrolla el ejercicio de esas acciones. En la medida en que la Agencia y los tribunales de justicia las hagan efectivas, la concentración de poder podrá perder fuerza.

Desde el compliance, las organizaciones tienen el desafío de implementar la nueva normativa desde sus bases, incluyendo su misión y visión. Para ello, vuelvo a enfatizar la importancia de la concientización, porque sin ella se corre el riesgo de gastar grandes sumas en implementación de medidas, por ejemplo, de ciberseguridad, mientras que las principales fugas en muchos casos ocurren por fallas humanas.

El principal problema en Chile es la avalancha de compliance normativo, que hoy tiene a las empresas con un déficit de recursos para su implementación. Eso aumenta la brecha entre grandes organizaciones y empresas medianas o pequeñas.

Una de las herramientas más económicas que tienen para prevenir incumplimientos es la concientización. Por eso es tan importante que los titulares conozcan sus derechos, porque cuando eso ocurra podrán hacerlos exigibles de manera expedita, equilibrando la cancha.

A partir de lo discutido en la jornada, ¿por qué es importante que la implementación de la Ley N°21.719 no se entienda solo como una obligación legal, sino también como un cambio en la forma en que las organizaciones toman decisiones y gestionan riesgos?

El cambio de mentalidad organizacional es imprescindible para ser competitivos, porque así lo exige la velocidad de esta nueva era basada en la tecnología.

La única forma de adaptarse a estos cambios es incorporar como objetivos primordiales el cumplimiento de principios como finalidad, proporcionalidad, transparencia y, especialmente, responsabilidad proactiva o accountability.

Esto es clave para que las organizaciones no solo cumplan, sino que también sean capaces de demostrar ese cumplimiento.

En su experiencia asesorando empresas en protección de datos, ciberseguridad y data compliance, ¿cuáles son los principales errores que cometen las organizaciones cuando intentan adaptar sus procesos al nuevo estándar?

En primer lugar, no entender el por qué y el para qué de la implementación. Muchas organizaciones lo hacen solo por temor a las multas o por “llenar un Excel”, sin ver que el mayor beneficio del cumplimiento es el aumento de competitividad que tendrán las empresas cumplidoras, tanto en el ámbito nacional como internacional.

Por otro lado, también existe el error de no comprender que hay cambios que ya están ocurriendo. Un ejemplo es el uso de inteligencia artificial. No sirve de nada prohibirla al 100%; lo relevante es invertir en modelos seguros, que impidan filtraciones de información sensible, alimentados con datos de calidad, actuales, legítimos y con el menor sesgo posible.

También es fundamental enfatizar la necesidad de supervisión humana y de explicabilidad suficiente de las decisiones.

Otro error es implementar mecanismos tecnológicos, como la biometría para el control de ingreso, desconociendo su alcance normativo.

El seminario buscó llevar la discusión desde la teoría hacia la práctica. ¿Qué pasos concretos deberían adoptar las organizaciones para que la protección de datos no quede reducida a documentos internos, sino que se integre efectivamente en la operación diaria?

• El primer paso es la concientización, llevada a cabo desde lo más básico: simulacros, capacitaciones efectivas y, en lo posible, presenciales, con casos prácticos adaptados a la realidad de cada empresa.
• También es necesario generar un compromiso real de cada área y enseñar que todos somos titulares del derecho a la protección de datos, por lo que todos podríamos ser víctimas de su transgresión.
• Además, se deben mostrar los riesgos reales del incumplimiento, especialmente respecto de los trabajadores, quienes, como demuestra la experiencia europea, suelen ser los principales denunciantes cuando dejan una organización.
• Junto con ello, se requiere implementar medidas de seguridad suficientes, buscando evitar incidentes y asegurar una reacción rápida frente a delitos informáticos de los que puedan ser víctimas los integrantes de la empresa.
• Finalmente, es clave crear y fortalecer un área transversal de gobierno de datos, con facultades, recursos e independencia suficiente para implementar todos los cambios necesarios dentro de la organización.