La abogada y socia del área laboral de Parga Montes Vasseur & López, Ignacia López, analizó en conversación con Actualidad Jurídica, el blog de DOE, los desafíos que enfrentarán las empresas con la nueva Ley de Protección de Datos Personales, especialmente en materias como consentimiento, inteligencia artificial en recursos humanos, monitoreo laboral y la futura interacción entre la Agencia de Protección de Datos Personales y la Dirección del Trabajo.

La nueva Ley de Protección de Datos Personales elevará los estándares aplicables a organizaciones públicas y privadas. En el ámbito laboral, ¿por qué el tratamiento de datos de trabajadores y postulantes requiere una mirada especialmente cuidadosa?

Es importante clarificar que, a partir de diciembre, el tratamiento de datos personales pasará a estar mucho más regulado en detalle para que se entienda efectuado conforme a la ley. Esto implica que las organizaciones deberán adaptar sus procesos a los nuevos estándares y desarrollar un músculo interno que no estaba necesariamente instalado.

La buena noticia es que la ley reconoce fundamentos suficientes para que las empresas puedan tratar datos personales de personas naturales con el fin de cumplir sus compromisos y desarrollar su negocio dentro del marco legal. Esos fundamentos son las bases de licitud. Mientras la empresa se ampare en una base de licitud para tratar los datos, estará en el camino correcto.

El cuidado especial que deberán tener las empresas también está dado por la exposición que enfrentarán en caso de incumplimiento, ya que podrán ser fiscalizadas por un nuevo servicio: la Agencia de Protección de Datos Personales, que podrá cursar multas de hasta 20.000 UTM.

En las relaciones laborales suele pensarse que basta con pedir el consentimiento del trabajador para tratar sus datos personales. ¿Es realmente así o existen otras bases jurídicas más relevantes en este contexto?

Efectivamente, la ley vigente sobre protección de la vida privada, junto con los criterios de la Dirección del Trabajo, han inducido a pensar que el consentimiento de la persona es la vía más sólida para habilitar a una empresa al tratamiento de datos.

Sin embargo, si no hay consentimiento, o si este se revoca, la empresa queda en una posición compleja. La nueva ley reconoce que existen otras bases de licitud, es decir, otros fundamentos que habilitan el tratamiento de datos, como el cumplimiento de obligaciones legales, contractuales o el interés legítimo, entre otras.

La Dirección del Trabajo emitió recientemente un dictamen sobre datos personales, reserva de información privada y no discriminación en el ámbito laboral. ¿Qué efectos prácticos podría tener este pronunciamiento para los empleadores, especialmente en procesos de selección, contratación y gestión de personas?

La Agencia de Protección de Datos Personales comenzará a funcionar en diciembre de este año y será el órgano competente para regular y fiscalizar el tratamiento de datos, cualquiera sea el entorno en que ocurra. Por lo tanto, también deberemos estar atentos a sus futuros pronunciamientos.

Lo interpretado recientemente por la Dirección del Trabajo no introduce mayores novedades respecto de su doctrina institucional anterior. Sin embargo, sí es relevante poner énfasis en la importancia de la no discriminación.

La Ley Karin no solo modificó la regulación sobre acoso y violencia, sino que también amplió las categorías que configuran discriminación laboral, dejando de ser un listado taxativo para pasar a ser abierto.

Mi recomendación en esta materia siempre es guiarse por criterios que permitan verificar la idoneidad personal para un puesto de trabajo. Ese criterio está reconocido constitucionalmente y permite efectuar válidamente distinciones sin que sean consideradas discriminaciones arbitrarias.

Cada vez es más frecuente el uso de inteligencia artificial en recursos humanos, tanto en procesos de selección como en evaluaciones de desempeño. ¿Qué riesgos jurídicos observa en el uso de sistemas automatizados para tomar decisiones laborales?

Lo que la nueva ley no permite es que las decisiones que afectan a las personas sean tomadas en virtud de procesos automatizados sin intervención humana.

Entonces, el riesgo está en que no exista intervención humana o que, aun existiendo, no sea determinante; es decir, que al final mande la máquina.

Otro riesgo es que los criterios del proceso automatizado contengan sesgos que impliquen discriminación. Por ejemplo, filtrar por sexo o edad a los candidatos, salvo que exista un motivo técnico suficiente para argumentar que esas condiciones influyen en la idoneidad para el desempeño del cargo.

¿Hasta dónde puede llegar el monitoreo del trabajador mediante cámaras, GPS, softwares de seguimiento u otras herramientas tecnológicas sin vulnerar derechos fundamentales?

Este tema es bastante complejo, porque hoy los sistemas de seguridad de las empresas muchas veces incluyen el uso de cámaras o el control de ingreso mediante biometría, reconocimiento facial o huella dactilar.

En el caso de la biometría, como se trata de datos asociados a la contextura física de la persona, son datos no solo personales, sino también sensibles. Por lo tanto, necesitan un consentimiento explícito y específico, en que se indique para qué se utilizará ese dato.

Así, la empresa puede usar válidamente esos datos para registrar asistencia o controlar la seguridad de un recinto, si cuenta con el consentimiento de los trabajadores para ese fin. Pero si los utiliza para identificar patrones de fatiga, por ejemplo, ese uso deja de ser lícito, salvo que el consentimiento se haya otorgado específicamente para ello.

Desde la perspectiva de los derechos fundamentales, cuando dos derechos entran en colisión —como la privacidad del trabajador y la facultad de administración o el deber de protección del empleador— debe aplicarse un juicio de proporcionalidad.

Esto exige analizar caso a caso si el grado de intrusión que implica la medida se justifica suficientemente por la obligación que está cumpliendo la empresa o si existe un mecanismo menos invasivo para lograr el mismo resultado.

Con la entrada en funcionamiento de la Agencia de Protección de Datos Personales, ¿cómo deberían distribuirse las competencias entre este nuevo organismo y la Dirección del Trabajo cuando el tratamiento de datos ocurra dentro de una relación laboral?

Debiera prevalecer el órgano especial al que la ley le entrega competencia para fiscalizar y conocer los asuntos derivados del cumplimiento de la nueva normativa de datos personales. En este caso, ese órgano es la Agencia de Protección de Datos Personales.

Sin embargo, podría generarse una superposición de competencias si un trabajador denuncia ante la Dirección del Trabajo requiriendo su intervención. En ese escenario, la Dirección del Trabajo debiera enfocarse en los aspectos laborales del asunto, dejando la verificación del cumplimiento de la ley de datos al órgano específico.

Se nos viene una etapa de rodaje interesante, en la que tendremos que estar atentos a las directrices que vayan emitiendo ambos organismos.