La abogada y socia del estudio FerradaNehme, Stella Muñoz, conversó con Actualidad Jurídica sobre los desafíos de implementación de la nueva ley 21.719, especialmente en el mundo del comercio. Desde su experiencia en el derecho del consumo, planteó que esta nueva normativa obligará a las empresas a repensar todo el ciclo de su relación con los clientes: desde cómo promocionan un producto hasta qué ocurre con los datos tras el término del vínculo contractual. En esta entrevista, también analizó el rol que asumirán la futura agencia de protección de datos, el Estado y los abogados en el proceso de implementación.

¿Cuáles son los avances más destacados de esta nueva ley, considerando la 19.628?

Para Stella Muñoz, más que hablar de avances, esta nueva ley es una completa modificación de la normativa. A excepción de los artículos vinculados a datos económicos, todo cambia: desde el nombre del cuerpo legal hasta los principios que lo estructuran. Marca una separación radical con el enfoque que regía desde los años 90.

Muñoz identificó tres pilares que convierten esta ley en una herramienta transformadora: los principios que guían el tratamiento de los datos, el catálogo claro y robusto de derechos para las personas, y una institucionalidad especializada que se encargará de hacerlos valer.

“El hecho de que se haya hecho este esfuerzo institucional para darle a este nuevo estatuto un órgano de control, o agencia de controles, es algo muy valioso, porque en el fondo se termina de cerrar todo el círculo en lo que a materia de protección de datos se refiere”, aseguró la experta.

Pero además, desde su experiencia en derecho del consumo, advierte que esta ley tendrá efectos concretos en todos los puntos de contacto entre empresas y clientes: desde la forma en que se promocionan los productos, hasta qué ocurre con los datos personales cuando termina una relación contractual. Esta es, en sus palabras, una normativa que exige repensar todos los procesos que involucran datos.

“Es muy interesante, porque todo este intercontractual que está regido por la legislación de consumo, se entrelaza con esta normativa de protección de datos. Los proveedores, que normalmente van a ser también los responsables de estos datos, van a tener que preocuparse no solo de cumplir con la ley del consumo, sino que también con esta nueva normativa”, explicó.

Se crea una Agencia de Protección de Datos Personales con amplias atribuciones. ¿Cómo cambiará esto la forma en que los consumidores pueden reclamar o denunciar?

La entrada en vigencia de la nueva ley trae consigo un actor institucional inédito: la Agencia de Protección de Datos Personales. Sin embargo, según Stella Muñoz, su verdadero impacto dependerá de la capacidad que tenga para difundir de manera efectiva los derechos de las personas. Solo así será posible fortalecer la conciencia ciudadana y fomentar el ejercicio activo de esos derechos, incluyendo el reclamo cuando corresponda.

“Difundir los derechos de los titulares… es un rol, una facultad que está definida en la norma, que tiene que ejercerse, desde mi perspectiva, como primera cuestión más relevante. Antes de empezar a fiscalizar, o quizás en paralelo”, aseguró la experta.

Pero la voluntad de reclamar no depende solo de la información disponible, sino también del tipo de daño que experimente la persona. Según Muñoz, la gravedad del perjuicio es determinante: mientras que una molestia menor, como una llamada publicitaria no solicitada, probablemente se traduzca en un simple bloqueo, una afectación concreta, como una filtración de datos bancarios que derive en fraude, eleva sustancialmente la posibilidad de que el titular exija responsabilidades.

La abogada también pone el foco en un aspecto práctico: el orden de intervención. No se trata de acudir de inmediato a la agencia por un reclamo, sino de activar, en primer lugar, los canales internos de las empresas.

“No es eficiente, desde mi perspectiva, que quien tenga un inconveniente recurra directamente a la agencia, porque esta podría tener una enorme cantidad de casos”, dijo Muñoz. La idea es que solo si la empresa no responde o lo hace fuera de plazo, el caso debiera escalar a la autoridad.

El principio de “protección desde el diseño y por defecto” obliga a las empresas a incorporar la privacidad desde sus procesos. ¿Qué desafíos conlleva este principio para el mundo del consumo?

Uno de los aspectos más innovadores y exigentes de esta nueva ley es la obligación de proteger los datos personales “desde el diseño y por defecto”. Para Stella Muñoz, este principio implica que la privacidad ya no puede tratarse como un añadido, sino como un componente estructural de cualquier estrategia comercial, producto o servicio.

“Esto supone que la configuración del producto o del servicio debe incorporar este análisis incluso antes de su relacionamiento con el consumidor”, advirtió.

Y esto no solo aplica a lo que está por venir: también exige revisar todos los procesos en marcha. Desde su experiencia en derecho del consumo,la abogada planteó que las empresas deberán identificar cada punto del flujo comercial en que se recolectan, procesan o almacenan datos. Y desde ahí, verificar si están cumpliendo con los principios y obligaciones que impone la ley.

En este contexto, Stella está de acuerdo con que el legislador haya otorgado un plazo extenso para la entrada en vigor de esta ley. No se trata de una norma que pueda aplicarse de un día para otro. Requiere ajustes estructurales, técnicos y organizacionales. Ahora bien, ese tiempo solo será suficiente si las empresas entienden que esto “ya es ley”, y no un tema en discusión.

 “Existen sanciones que son altas”, explicó la abogada. Por lo mismo, las organizaciones deberán priorizar recursos y objetivos estratégicos para cumplir con esta normativa. De lo contrario, el costo no solo será económico, sino también reputacional.

La ley establece la obligación de realizar Evaluaciones de Impacto para tratamientos de riesgo. ¿En qué casos deberían aplicarse y cómo beneficia esto a los consumidores?

Uno de los mecanismos más importantes que incorpora la nueva ley es la obligación de realizar evaluaciones de impacto en tratamientos de datos que impliquen un alto riesgo para los derechos de las personas. Según explicó Stella Muñoz, esto aplica en casos como la elaboración de perfiles, el tratamiento masivo de datos, la vigilancia en espacios públicos o el uso de datos sensibles (como los relacionados con salud, educación, finanzas o infancia),  y serán la propia ley y la Agencia de Protección de Datos las que delimiten qué operaciones deben someterse a este análisis.

“Es positivo (…) porque eso obliga a las empresas a identificar cuáles son los riesgos (…) y además van a permitir mitigar esos riesgos”, dijo la abogada.

Desde la mirada del consumidor, estas evaluaciones aumentan la seguridad y confianza en las organizaciones, ya que anticipan posibles afectaciones y exigen planes de acción. “Desde la perspectiva del titular de datos (…) va a confiar más en un responsable de datos que haya hecho esa evaluación”, aseguró la experta.

En tiempos en que decisiones de consumo no solo se basan en precios, sino también en la reputación y responsabilidad de las empresas, este tipo de herramientas cobra un rol estratégico, especialmente cuando un mal manejo de datos puede impactar directamente en la economía de los hogares.

Se exige informar a usuarios y autoridad en caso de brechas de seguridad. ¿Cómo espera que esto influya en la confianza de los consumidores?

La nueva ley también establece la obligación de informar a la autoridad y a los usuarios en caso de brechas de seguridad, lo que abre una oportunidad concreta para fortalecer la confianza entre empresas y consumidores. Pero, según Stella Muñoz, este deber no puede entenderse como un simple “check administrativo”.

“La expectativa del titular de datos frente a una brecha de seguridad no solo es que se cumpla con esta obligación de informarle a la agencia, (…) sino que internamente la empresa también ya tenga un plan de acción, un protocolo”, señaló Muñoz.

Eso implica saber quién responde primero, qué medidas se tomarán frente a proveedores involucrados y cómo se comunicarán los pasos a seguir con los usuarios.

“La empresa debe (…) evitar que se quiebre la confianza, (…) que el titular del dato o el consumidor confíe en que se está haciendo todo lo que hay que hacer (…) y que se van a tomar medidas urgentes o apropiadas y oportunas”, explicó la abogada.

A su juicio, este enfoque proactivo será clave para que la implementación no repita errores cometidos en otras regiones. “Lo más probable es que se parezca mucho a la que se tuvo en Europa cuando se empezó a implementar esta ley parecida”, advirtió.

Hablando de sanciones. ¿Qué tipo de prácticas de empresas considera que podrían estar más expuestas a multas?

Aunque las multas contempladas por la nueva ley son altas (y en algunos casos superan con creces las que se aplican hoy en materia de consumo), Stella Muñoz anticipó que su aplicación será gradual. A su juicio, salvo casos graves como una filtración masiva con consecuencias directas, lo más probable es que exista una etapa de adaptación donde la agencia defina sus focos de fiscalización. “Yo me imagino que va a haber un proceso (…) en el que también la agencia debiera definir cuál va a ser su plan de fiscalización”, dijo la experta.

Desde la perspectiva del consumo, Muñoz identificó dos áreas particularmente expuestas: la seguridad de los datos y el principio de transparencia. Este último, según ella, es fácilmente verificable por las autoridades, por ejemplo, a través de los sitios web de las empresas. Por lo tanto, el cumplimiento visible y accesible de estos principios podría ser una de las primeras líneas de control de la nueva autoridad.

¿Qué rol cree que debe asumir el Estado, y particularmente SERNAC, para que los consumidores comprendan y hagan valer sus derechos?

La entrada en vigencia de la nueva ley también plantea dudas sobre el rol que mantendrá el SERNAC frente al tratamiento de datos personales. Stella Muñoz explicó que, hasta ahora, el servicio había actuado en industrias reguladas como la eléctrica o la de telecomunicaciones, basándose en la ley del consumidor.

“El SERNAC ha intervenido en la fiscalización, incluso en la interposición de demanda en industrias que tienen una regulación especial (…) porque la interpretación que ellos hacen de la ley del consumidor, ellos entienden que en estos casos así corresponde”, explicó la experta.  Sin embargo, la nueva ley deroga el artículo 15 bis de la Ley del Consumidor, que habilitaba explícitamente al SERNAC en esta materia. “Uno podría entender que es la agencia la que exclusivamente tiene facultades para fiscalizar el cumplimiento de la disposición”, dijo Stella.

Aun así, Muñoz advirtió que eso no impide que el SERNAC siga velando por el cumplimiento de la normativa de consumo, lo que podría abrir un debate sobre quién debe actuar ante determinadas infracciones. “La coordinación debe recaer tanto en la agencia como en el SERNAC, porque la certeza jurídica es un valor muy preciado para el funcionamiento del mercado”, dijo.

Además agregó: “Lo que no debería ocurrir es que las empresas, proveedores o responsables, no sepan cuál es la autoridad que está encargada de fiscalizar, o que, al mismo tiempo, se fiscalicen por un mismo hecho, como puede ocurrir”.

¿Qué desafíos plantea esta ley para los abogados que asesoran a empresas, especialmente en un entorno digital como el actual?»

Uno de los efectos menos comentados, pero igualmente relevantes de la nueva legislación es el cambio que impone en la forma en que los abogados deben asesorar a las empresas. Según Stella Muñoz, el enfoque tradicional ya no basta.

“No podemos asesorar una empresa desde la manera antigua, por decirlo de alguna manera (…) nosotros antes revisábamos el documento, nos preocupábamos de que la letra fuera de 2.5, etcétera, etcétera”, comenzó explicando la abogada.

Hoy, según ella, es necesario comprender a fondo cómo operan los entornos digitales, especialmente las plataformas móviles y aplicaciones, para asegurar que las políticas de privacidad y los contratos de adhesión cumplan con las nuevas exigencias normativas. “Tenemos que adaptarnos a esta nueva forma de comercio que lleva además esta nueva legislación”, advirtió.