A propósito del lanzamiento de su libro “El derecho a la protección de datos personales. Un análisis normativo y jurisprudencial comparado”, Emilio Oñate Vera, vicerrector académico de la Universidad Central de Chile, conversó con Actualidad Jurídica, el blog de DOE, sobre los principales aportes de la Ley N°21.719, la instalación de la Agencia de Protección de Datos y los desafíos que enfrentan organismos públicos y privados ante el nuevo régimen.

En términos generales, ¿cuál cree que es el principal aporte de la Ley N°21.719 al sistema jurídico chileno?

Creo que esta es una ley que nos pone a la altura del estándar internacional en materia de protección de datos personales.

Nosotros teníamos una ley de agosto de 1999, la Ley N° 19.628 original, que surgió en un contexto muy distinto: con redes sociales prácticamente inexistentes, telefonía celular muy incipiente y sin las plataformas digitales que existen hoy.

Además, era una ley pensada desde un contexto más bien iusprivatista. Es decir, se entendía que el conflicto en protección de datos personales que tuviese una persona iba a ser resuelto por los tribunales de justicia, como un litigio o como el incumplimiento de un contrato. La verdad es que la protección de datos personales no puede ser abordada de esa forma.

La nueva ley pone a Chile en un estándar internacional en materia de protección de datos y tiene varias cuestiones trascendentes.

Primero, crea un órgano de control. Si uno revisa la experiencia comparada, en todos los países donde se ha desarrollado la protección de datos existe una autoridad de control. En este caso, la Agencia de Protección de Datos.

Segundo, fortalece los derechos ARCO. Le da mayor densidad a los derechos de acceso, rectificación, cancelación y oposición, e incorpora el derecho a la portabilidad.

Tercero, establece un régimen sancionatorio robusto, con la estratificación de infracciones leves, graves y gravísimas, y las sanciones aparejadas a esas infracciones.

Y cuarto, toma la experiencia del Reglamento General de Protección de Datos Personales. En materia de decisiones automatizadas, creo que nuestro artículo 8 bis es mucho mejor que el artículo 22 del Reglamento General de Protección de Datos Personales, porque consagra de mejor forma el derecho a la oposición y el derecho a no ser objeto de decisiones automatizadas basadas en el tratamiento de datos personales.

Sin embargo, también comete un error: no incluir en la aplicación del artículo 8 bis las decisiones automatizadas que tomen los organismos públicos. Ese es un déficit. Así como creo que el artículo 8 bis es mucho más robusto que el artículo 22 del Reglamento General de Protección de Datos Personales, creo que el gran vacío de la ley es no hacer aplicables nítidamente esos derechos respecto del tratamiento automatizado que hacen los organismos públicos.

¿Considera que esta ley representa un cambio de paradigma o que solo moderniza el régimen ya existente?

Creo que es un cambio de paradigma.

La ley va a incentivar un cambio cultural en la forma en que entendemos la privacidad y el tratamiento de nuestros datos. Por eso me preocupa la demora en la instalación de la Agencia de Protección de Datos.

Nosotros, como personas, tenemos un nombre, un domicilio, una cédula de identidad. Todos esos datos nos constituyen como individuos, son atributos de nuestra personalidad. Por lo tanto, no se puede desacoplar el nombre o el RUT de nosotros. Eso nos da individualidad.

La ley pone el foco en generar conciencia respecto de la importancia que tienen los datos. Pero esa generación de conciencia también requiere educación y sensibilización.

Más allá de su rol regulatorio y fiscalizador, la autoridad de control también tiene que abordar esa tarea: generar sensibilización y conciencia sobre la importancia de la privacidad y la autodeterminación informativa. Si la agencia no se instala, eso va a demorar más.

La Agencia de Protección de Datos fue uno de los grandes cambios que trajo esta ley. ¿Cuáles cree que deben ser sus primeras prioridades al momento de instalarse?

La primera prioridad es instalar la agencia.

Después de que no prosperó la propuesta de terna para el Consejo Directivo en mayo o junio, el Ejecutivo no ha vuelto a enviar una nueva terna. Creo que eso debería ser una prioridad.

Aquí hay un tema estructural que advertimos en la Comisión Asesora de Implementación de la Nueva Ley. Tiene que ver con algo que puede parecer pedestre, pero que no deja de ser clave: la remuneración de los consejeros es baja, si se piensa que además tienen dedicación exclusiva y que se requieren personas con alta competencia técnica y experiencia en la materia.

El mundo de la protección de datos personales, entre académicos y expertos, no es tan grande. Entonces, la pregunta es si los expertos y académicos que hoy están en esta temática estarán disponibles para irse a un órgano que tendrá altas capacidades regulatorias, pero que también deberá hacer frente a muchos problemas, dejando sus actuales ocupaciones y trabajos.

Ese es un problema estructural que tiene la ley.

Por otro lado, como esta fue una ley que no salió rápidamente, una ley corta que pueda modificar la normativa actual podría abrir el riesgo de introducir otras modificaciones que vayan en una línea contraria. Estoy pensando en el régimen sancionatorio, que no fue fácil de instalar en la ley. Hubo mucha resistencia, no obstante se logró. Una modificación legislativa podría abrir la puerta a disminuir ese régimen sancionatorio, lo que creo que sería un error.

¿Hay alguna modificación legislativa que estime pertinente a la ley actual?

Sí. El artículo 8 bis consagra el derecho a oponerse y a no ser objeto de decisiones automatizadas basadas en el tratamiento de datos personales. Este es un derecho que tendría el titular de los datos.

De ahí deriva el derecho a la transparencia, el derecho a la información, el derecho a la intervención humana y el derecho a una explicación. Es un grupo de derechos bien sofisticados y una innovación muy importante en el ordenamiento jurídico chileno.

El derecho a la intervención humana y el derecho a la explicación respecto de las decisiones algorítmicas me parecen muy potentes.

Pero si uno lee el artículo 21 de la ley, específicamente el inciso final, cuando indica qué artículos se aplican a los organismos públicos, no está el 8 bis. Por eso digo que el artículo 8 bis, que es un gran artículo en relación con su par del Reglamento General de Protección de Datos Personales, tiene su déficit en el inciso final del artículo 21: no se aplica a los organismos públicos.

Por lo tanto, uno de los principales aportes de la legislación chilena, que es entregar al titular de los datos un mecanismo de garantía frente a decisiones automatizadas, no se le entrega respecto de las decisiones automatizadas que tomen los organismos públicos.

Eso es un contrasentido, porque los organismos públicos toman muchas decisiones automatizadas.

Si me pregunta cuál es una modificación urgente que habría que hacer a la ley, creo que sería incorporar el artículo 8 bis a las decisiones que adopten los organismos públicos.

Dentro del sector público, usted ha desarrollado su carrera en el ámbito del derecho administrativo. ¿Cree que la administración pública cuenta actualmente con capacidades institucionales para implementar este nuevo régimen?

Creo que los órganos de la administración del Estado se están adaptando. Muchos servicios públicos que ya adoptan decisiones automatizadas están trabajando para adaptarse a la nueva ley.

Pero, por supuesto, eso sería mucho más fácil si ya tuviéramos una agencia instalada, que pudiera impartir recomendaciones, criterios generales e instrucciones sobre cómo deben prepararse estas instituciones y también las organizaciones privadas.

El esfuerzo que hoy están haciendo los servicios públicos y las empresas es un esfuerzo que está un poco al tenor literal de lo que dice la ley.

Es muy distinto tener un órgano regulatorio que vaya orientando. Mientras más se demore la designación del Consejo Directivo, más tardía será la instalación de la ley y más dificultosas o lentas serán esas orientaciones.

Desde el sector privado, ¿cuáles son los errores que observa en organizaciones que creen estar preparadas para la entrada en vigencia del nuevo régimen?

Veo un creciente interés de las organizaciones privadas y de las empresas. Muchas se están preparando: están haciendo registros de actividades de tratamiento, capacitaciones y sensibilización.

Lo que una organización no debe hacer es pensar que esto es solo un tema de abogados. Este no es un tema solo de abogados.

Los abogados sirven mucho, por supuesto. Dan un marco y permiten entender la ley y la normativa. Pero aquí también se requiere la intervención de ingenieros y áreas de TI.

Todo el tema tecnológico es muy relevante, porque es a través de plataformas y software que las organizaciones van a poder garantizar de mejor forma, por ejemplo, el ejercicio de los derechos ARCO.

Entonces, más que poner el foco en los errores que pueden estar cometiéndose, diría que lo que no hay que hacer es creer que todo se resuelve solo desde el punto de vista normativo, legal o de levantamiento de procesos.

Los levantamientos de procesos, el registro de actividades de tratamiento y las evaluaciones de impacto son claves. Pero la incorporación de software y tecnología también es muy relevante en la organización.