A propósito de su participación en el seminario “Protección de Datos en la Práctica: del rol del DPO al cumplimiento sectorial”, gerente de Deloitte Legal, Oliver Ortiz, analizó en conversación con Actualidad Jurídica, el blog de DOE, los desafíos que enfrentan las organizaciones chilenas al transferir datos personales fuera del país. En particular, abordó los criterios que deberá considerar la futura Agencia de Protección de Datos Personales, el caso de Estados Unidos y las medidas que deberían adoptar empresas, abogados y encargados de cumplimiento.

En su intervención abordó las transferencias internacionales de datos personales como una práctica cotidiana en un mundo globalizado. ¿Por qué este tema se ha vuelto especialmente relevante para empresas e instituciones que operan con servicios en la nube, proveedores externos o filiales en el extranjero?

Además del tráfico normal de datos, propio de una economía globalizada, este tema se ha vuelto especialmente relevante considerando la masificación de los servicios en la nube, los cuales normalmente utilizan servidores ubicados en el extranjero.

En este sentido, tareas cotidianas mediante el uso de plataformas de Software as a Service —como un repositorio web, una solución de inteligencia artificial o incluso un CRM en la nube— suelen implicar la transferencia internacional de datos personales, aun cuando no siempre nos demos cuenta.

De este modo, la Ley N° 19.628, modificada por la Ley N° 21.719, sobre protección de datos personales, obliga a empresas y organismos a cumplir con las disposiciones de su Título V. Por ello, antes de realizar dichas transferencias será necesario que el país destinatario de los datos sea considerado “adecuado” por la Agencia de Protección de Datos Personales.

En su defecto, deberán existir garantías adecuadas para esas transferencias, como cláusulas contractuales modelo, normas corporativas vinculantes, modelos de cumplimiento o mecanismos de certificación. En ausencia de estas alternativas, deberá cumplirse alguna de las excepciones que menciona la ley.

Usted planteó la pregunta sobre si Estados Unidos puede ser considerado una jurisdicción adecuada para recibir datos personales desde Chile. ¿Cuáles son los principales elementos que deben analizarse antes de responder esa pregunta?

Lo primero es determinar quién decide. Bajo el artículo 28 de la Ley de Protección de Datos Personales, la calificación de “adecuación” de un país como receptor de datos personales desde Chile es una potestad de la Agencia. No es una evaluación que cada responsable pueda hacer por su cuenta.

Mientras la Agencia, una vez constituida, no ejerza dicha facultad, la pregunta seguirá sin tener una respuesta legalmente válida, ya que la adecuación de una jurisdicción requiere un pronunciamiento de la autoridad.

Para revisar la adecuación de un país, la Agencia deberá considerar el establecimiento de principios que rijan el tratamiento de datos personales; la existencia de normas que reconozcan y garanticen los derechos de los titulares; la existencia de una autoridad pública jurisdiccional o administrativa de control o tutela; la imposición de obligaciones de información y seguridad a los responsables del tratamiento y terceros mandatarios; y la determinación de responsabilidades en caso de infracciones.

Respecto de Estados Unidos, hay varios elementos a considerar. Ese país no tiene una ley federal general de protección de datos, por lo que una eventual declaración no podría ser un juicio sobre “el país” en su conjunto, sino, a lo más, sobre sectores o entidades certificadas bajo un mecanismo específico. Ese fue el camino que siguió la Unión Europea con el Data Privacy Framework.

Además, al no existir una ley federal única que sistematice la regulación de la protección de datos personales en Estados Unidos, tampoco existen principios generales que rijan de manera uniforme el tratamiento de datos personales en ese país.

A ello se suma que Estados Unidos carece de una autoridad de control única a nivel nacional en esta materia, aspecto que es exigido por la ley chilena para declarar a un país como adecuado.

Durante su exposición comparó el estándar europeo con el que establece la Ley N° 21.719. ¿En qué se diferencian ambos modelos al momento de evaluar si un país ofrece un nivel adecuado de protección de datos?

El Reglamento General de Protección de Datos parte desde una lógica restrictiva, en el sentido de que solo se permiten transferencias internacionales de datos personales a países que cumplan un nivel “esencialmente equivalente” al que establece el propio reglamento. Esa decisión debe ser adoptada por la Comisión Europea, de acuerdo con los criterios establecidos en dicha normativa, y debe revisarse cada cuatro años.

Chile utiliza otra lógica en la Ley de Protección de Datos Personales. El artículo 27 permite transferir datos personales cuando se cumpla alguna de las hipótesis habilitantes. Por su parte, el artículo 28 no exige equivalencia, sino “estándares similares o superiores”, lo que resulta menos restrictivo que el modelo europeo.

Otro punto de diferenciación es que la ley chilena no obliga a evaluar aspectos como el Estado de Derecho, el respeto de los derechos humanos y las libertades fundamentales, la legislación pertinente o el acceso de las autoridades públicas a los datos personales, entre otros elementos que sí deben ser considerados para obtener una decisión de adecuación bajo el Reglamento General de Protección de Datos.

En la ley chilena, en cambio, es suficiente con que el país en revisión cuente con principios que rijan el tratamiento de datos personales; normas que reconozcan y garanticen los derechos de los titulares; una autoridad pública jurisdiccional o administrativa de control o tutela; obligaciones de información y seguridad para responsables y terceros mandatarios; y responsabilidades en caso de infracciones.

En el caso de Estados Unidos, usted mencionó factores como la fragmentación normativa, la ausencia de una autoridad única de control y las discusiones sobre vigilancia estatal. ¿Por qué esos elementos pueden dificultar una eventual decisión de adecuación?

Porque los tres factores afectan los presupuestos propios del test chileno del artículo 28 de la Ley de Protección de Datos Personales, que pone atención en principios, autoridad de control y establecimiento de responsabilidades.

La fragmentación normativa impide un juicio a nivel país. La protección que recibe un dato en Estados Unidos depende del sector, del estado y del tipo de dato. Así, considerando que el artículo 28 chileno evalúa el ordenamiento en su conjunto y exige la existencia de principios de tratamiento, un pronunciamiento sobre Estados Unidos como un todo sería jurídicamente improcedente.

La ausencia de una autoridad única es el punto más crítico. El criterio establecido en el literal b) del artículo 28 exige una autoridad de control, y Estados Unidos no cuenta con una autoridad nacional de protección de datos.

Por su parte, los programas de inteligencia de Estados Unidos operan con estándares de necesidad, proporcionalidad y reparación que no coinciden con los estándares del Reglamento General de Protección de Datos ni con los principios de la ley chilena.

Si la futura Agencia de Protección de Datos Personales concluyera que Estados Unidos no es una jurisdicción adecuada, ¿qué alternativas deberían considerar las organizaciones chilenas para realizar transferencias internacionales de datos de manera lícita?

La utilización de garantías adecuadas es la vía recomendada ante la ausencia de una decisión de adecuación.

Las cláusulas contractuales modelo aprobadas por el Ministerio de Economía son, en la actualidad, la única vía que ha tenido un pronunciamiento de la autoridad en el plazo previo a la instalación de la Agencia. Por eso, debieran ser un instrumento útil, al menos hasta que la Agencia disponga algo contrario.

Las organizaciones chilenas también podrían considerar la utilización de las excepciones tasadas del artículo 27. Sin embargo, la desventaja es que estas solo sirven para transferencias específicas y no habituales.

Por ejemplo, podrían utilizarse en casos de consentimiento expreso del titular de los datos, informado de los riesgos; ejecución de un contrato con el propio titular; cooperación o colaboración judicial internacional; o urgencia médica o sanitaria.

El problema es que, si bien estas excepciones pueden utilizarse de modo excepcional, no permiten sostener flujos masivos, sistemáticos y permanentes, propios de ciertas relaciones económicas internacionales.

A partir de lo discutido en el seminario, ¿cuáles deberían ser las principales precauciones de empresas, abogados y encargados de cumplimiento antes de transferir datos personales a proveedores o plataformas ubicadas fuera de Chile?

Lo primero es mapear los flujos de datos personales al extranjero, incluidos aquellos que suelen pasar inadvertidos, como soporte TI remoto, respaldos en servidores en el extranjero, subencargados o herramientas de analítica web. Además, esos flujos deben registrarse en el Registro de Actividades de Tratamiento.

También es necesario verificar dos capas jurídicas: que exista una base de licitud para el tratamiento y que exista un título habilitante para la transferencia.

Cuando sea posible, deberían utilizarse cláusulas contractuales modelo aprobadas por el Ministerio de Economía.

Asimismo, se debe realizar una debida diligencia contractual, incorporando instrucciones documentadas, cláusulas sobre seguridad, notificación de brechas, control de subencargados y cooperación para el ejercicio eficaz de los derechos ARSOP.

Otra precaución relevante es evaluar el acceso gubernamental del país de destino antes de firmar, no después de que ocurra un incidente.

Finalmente, las organizaciones deberían elaborar o actualizar su política de transferencias internacionales de datos personales y llevar un registro de sus principales transferencias.