El curioso caso de los datos personales desde la ultratumba

~ Pablo Viollier ~ Leave a comment

Publicada en conjunto con Claudia Negri el 26 de agosto en LeyDeDatos.

Uno de los aspectos menos estudiados de la Ley N° 21.719 que reforma la Ley N° 19.628 (en adelante LPDP) es la regulación del tratamiento de datos personales luego de fallecido el titular. Esta especie de tanato-determinación informativa suele descartarse como aquellos aspectos más curiosos de la ley, con escasa aplicación práctica.

Sin embargo, creemos que su inclusión abre una discusión importante respecto de qué se entiende por dato personal y bajo qué circunstancias pueden ser procesados los datos de una persona fallecida.

Los incisos 3 y 4 del artículo 4 de la Ley 21.719, que regula el ejercicio de derechos del titular de datos, señalan lo siguiente:

En caso de fallecimiento del titular de datos, los derechos que reconoce esta ley pueden ser ejercidos por sus herederos.

Con todo, los herederos no podrán acceder a los datos del causante, ni solicitar su rectificación o supresión, cuando la persona fallecida lo hubiese prohibido expresamente o así lo establezca una ley.

La pregunta de fondo: ¿siguen siendo datos personales?

El Código Civil señala que la existencia legal de la persona principia al nacer, es decir, al separarse completamente de la madre (Art. 76). Por otro lado, la muerte nos alcanza a todos y, de acuerdo al Código de Bello, la persona termina en la muerte natural (Art. 78).

La pregunta emerge por sí sola: ¿un dato de una persona fallecida sigue siendo un dato personal? Un dato personal es cualquier información relativa a una persona natural determinada o determinable. Pero, como acabamos de ver, la existencia de la persona termina con la muerte natural. Por tanto, un dato de un fallecido es un dato que no refiere a una persona cuya existencia terminó con la muerte y no debería ser considerado como un dato personal.

Dos interpretaciones posibles

Los últimos incisos del artículo 4 nos invitan a revisar esta conclusión y admiten, a nuestro juicio, dos interpretaciones: una amplia y una acotada.

La interpretación amplia es que la LPDP reconoce los datos de personas fallecidas como datos de carácter personal y, en función de dicho reconocimiento, permite a los herederos ejercer los derechos que reconoce la ley a los titulares de datos.

La interpretación acotada, por su parte, implica que el dato de una persona fallecida deja de ser un dato personal, pero respecto de esa información todavía se crea una ficción legal que permite a los herederos única y exclusivamente la facultad de ejercer derechos equivalentes a los que gozó el titular durante su vida.

Se trataría de un elemento limitado al ejercicio de ciertas facultades que permitan a los herederos acceder, rectificar, eliminar, portar o bloquear información relativa al causante, sin otras consecuencias jurídicas ulteriores.

Consecuencias para el cumplimiento normativo

Discernir entre una y otra interpretación tiene importantes implicancias para el cumplimiento normativo de la ley.

Si se concluye que un dato de una persona fallecida ha dejado de ser un dato personal, eso implica que se transforma en un dato estadístico, que puede ser procesado de forma relativamente libre por terceros, teniendo en consideración la afectación a otros derechos fundamentales de la familia cercana que también podrían afectarse.

Por el contrario, si se concluye que los datos de personas fallecidas siguen siendo datos personales, eso implica que los responsables de tratamiento deberán seguir cumpliendo con todas las obligaciones que establece la ley, incluyendo contar con una base de licitud para el tratamiento, con la dificultad adicional de que no podrán comunicarse con el titular y contactar a sus herederos probablemente sea un proceso complejo y costoso.

Nos inclinamos por la interpretación de carácter restrictiva.

Desafíos prácticos

La norma también incorpora una serie de desafíos prácticos en su aplicación: ¿se trata de un derecho que puede ejercerse ad aeternum por los herederos? ¿Podrían los herederos de Bernardo O’Higgins decidir ejercer los derechos que le reconoce la LPDP? ¿Deben los herederos actuar de consuno? ¿Podría el titular permitir el ejercicio de sus derechos a algunos de sus herederos y negarlos a otros?

La experiencia comparada

Vale la pena mencionar que Chile no es el único país que ha regulado la protección de datos luego de la muerte. El artículo 3 de la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales de España tiene una disposición muy similar a la chilena, probablemente sirviendo como su inspiración.

Otras legislaciones, tales como China, Singapur, India o Arabia Saudita, también regulan los datos de sujetos fallecidos, pero con limitaciones. Por ejemplo, se prevé nominar a un heredero como aquel que puede ejercer los derechos a los datos, como es el caso de India y Singapur.

Asimismo, otras legislaciones contemplan límites de tiempo, como poder ejercer derechos hasta los 10 años del fallecimiento del sujeto de datos, como lo indica la Sección 16, párrafo 1 de la regulación de Singapur.

En este caso, sería interesante comparar cómo se han interpretado y manejado estas discusiones en otras latitudes que contengan previsiones sobre los datos personales de sujetos fallecidos.

Dignidad, honra e imagen post mortem

A nivel constitucional se discute si la protección de la dignidad se extingue con la muerte o se proyecta luego de esta, aunque sea a través de mecanismos indirectos. Especialmente en materias relativas a la honra e imagen post mortem, la disposición de cuerpos y trasplantes, y el derecho a la sepultura digna.

Una definición pendiente para la Agencia

Más allá de la discusión doctrinal, la futura Agencia de Protección de Datos Personales deberá pronunciarse sobre la naturaleza jurídica de los datos relativos a personas fallecidas, puesto que su carácter de dato personal o no personal puede tener importantísimas consecuencias en el cumplimiento normativo de la nueva legislación y la carga regulatoria que distintas organizaciones deberán soportar.

Autores

  • Claudia Negri Ribalta – Investigadora postdoctoral en la Universidad de Luxemburgo, especializada en protección de datos, ciberseguridad sociotécnica y comunicación entre derecho y tecnología.
  • Pablo Viollier – Abogado especialista en derecho y tecnología, protección de datos personales y ciberseguridad; abogado senior en Data Compliance y doctorando en Derecho en la Universidad Central de Chile y la Universidad de Sevilla.

Entrevista: Pablo Viollier sobre fuentes de acceso público: “Que un dato sea público no necesariamente significa que se puede procesar libremente”

~ Pablo Viollier ~ Leave a comment

Publicado originalmente por Actualidad Jurídica el 24 de agosto de 2026

En conversación con Actualidad Jurídica, el blog de DOE, Pablo Viollier doctorando en Derecho de la Universidad Central y consultor senior en DataCompliance, analizó los cambios que introduce la Ley N°21.719 respecto del tratamiento de datos personales contenidos en fuentes accesibles al público. En ese contexto, abordó el rol del interés legítimo, los límites a la extracción masiva de información, los desafíos para el entrenamiento de sistemas de inteligencia artificial y el tránsito desde una lógica de protección de la vida privada hacia una de autodeterminación informativa.

En términos generales, ¿por qué es problemático asumir que un dato personal puede ser tratado libremente solo porque se encuentra disponible en una fuente de acceso al público?

Una de las principales debilidades que contenía la antigua Ley de Protección de la Vida Privada, es decir, la Ley N° 19.628 antes de la reforma introducida por la Ley N° 21.719, era la regulación sobre los datos contenidos en fuentes accesibles al público.

Eso fue ampliamente reconocido por la doctrina durante la tramitación de la Ley N° 21.719, y también en un informe de la Comisión de Evaluación de la Ley de la Cámara de Diputados. El objetivo del análisis era comparar la regulación de las fuentes accesibles al público en la antigua Ley N° 19.628 y contrastarla con la regulación posterior a la reforma.

En la regulación previa, el solo hecho de que un dato estuviera contenido en una fuente accesible al público operaba como una excepción al consentimiento del titular. Era una excepción muy amplia, porque no solo permitía tratar el dato personal sin consentimiento, sino que además funcionaba como una excepción al principio de finalidad.

¿Qué significaba eso? Que la regla general de la legislación era la autodeterminación informativa y el consentimiento, junto con otras bases de licitud, mientras que la excepción era el hecho de que el dato se encontrara contenido en una fuente accesible al público.

Pero los datos contenidos en fuentes accesibles al público abarcan información muy relevante: todo lo que está disponible en internet, registros públicos, el padrón electoral, entre otros. Por eso, finalmente, esta regla invertía un poco la lógica y transformaba el tratamiento libre en una especie de regla general, dejando la protección como una excepción.

Si la nueva ley ya no establece las fuentes de acceso público como una base de licitud propiamente tal, ¿qué bases podrían invocar los responsables del tratamiento y qué exigencias deberían cumplir?

La principal conclusión es que, en la ley sobre protección de datos personales posterior a la reforma, el hecho de que el dato esté contenido en una fuente accesible al público no es, en sí mismo, una excepción.

Eso no significa que tratar datos contenidos en fuentes accesibles al público esté prohibido. Lo que significa es que, como cualquier procesamiento de datos, tendrá que ampararse en alguna de las bases de licitud.

Puede ser el consentimiento, que por regla general no resulta escalable para procesamientos de gran volumen, o alguna de las excepciones contempladas en la ley, ya sea en el artículo 13, el artículo 16, el artículo 16 bis o en una ley de carácter especial.

La base más relevante para estos efectos es el interés legítimo.

Para poder procesar un dato sobre la base de un interés legítimo, será necesario realizar una evaluación caso a caso, determinando si en ese caso concreto prevalece el interés legítimo invocado por el responsable o si prevalecen los derechos de los titulares.

Ese es un elemento que se debe comprobar caso a caso y documentar. El interés legítimo es una de las pocas bases de licitud en que la decisión no la toma el titular ni la legislación al describir la hipótesis bajo la cual se puede procesar el dato, sino el responsable, que decide unilateralmente cuándo y cómo procesarlo.

La contrapartida de esa decisión unilateral es la obligación de informar al titular, lo que representa un desafío muy importante para los procesamientos a gran escala.

Además, existe la obligación de documentar el proceso de evaluación, de forma que, al momento de ser fiscalizado por la Agencia, el responsable pueda demostrar que realizó un test de interés legítimo y que ese ejercicio dio positivo.

Hace poco la Corte Suprema se pronunció sobre un caso relativo a la extracción masiva de datos del sistema del Poder Judicial. ¿Qué reflexiones deja esta sentencia a la luz del nuevo régimen de protección de datos y, en particular, respecto de las fuentes accesibles al público?

Es un tema muy interesante. En el caso del Poder Judicial hay una particularidad, porque los términos y condiciones del sitio prohibían la recopilación masiva de esta información. Por lo tanto, ahí existía una infracción a los mismos términos y condiciones del sitio, lo que hace que sea un caso bastante evidente.

Pero para efectos de la industria de la inteligencia artificial, muchos de los grandes algoritmos y modelos de lenguaje se basan en el entrenamiento masivo de datos contenidos en fuentes accesibles al público, especialmente en internet.

Se recopilan comentarios de YouTube, comentarios de Reddit, blogs y otros contenidos generados por seres humanos para entrenar estos modelos de lenguaje.

Ahí la gran discusión es si el interés legítimo podría ser una base de licitud a invocar para ese tratamiento.

La primera dificultad es que esos sitios pueden permitir o prohibir ese tratamiento dentro de sus términos y condiciones. Cloudflare, por ejemplo, aprobó hace poco un mecanismo técnico para que los administradores de plataformas o sitios web puedan configurar si permiten o no el ingreso de robots de recopilación de información en sus sitios.

Pero la principal dificultad será acreditar el cumplimiento del principio de proporcionalidad.

Existe una tensión entre la legislación de protección de datos personales y la forma en que operan los desarrollos de sistemas de inteligencia artificial. Estos sistemas buscan recopilar la mayor cantidad de información posible porque, por regla general, mientras más información recopilan, más precisos son los algoritmos entrenados.

Sin embargo, la legislación de protección de datos personales apunta en el sentido contrario: recolectar la menor cantidad de información posible, conforme al principio de proporcionalidad chileno, equivalente al principio de minimización de datos en el Reglamento General de Protección de Datos.

Por lo tanto, existe una tensión y la respuesta dependerá caso a caso.

El caso de Internet Archive o Wayback Machine, por tratarse de una iniciativa filantrópica y de interés público, probablemente supere el test de interés legítimo. En cambio, desarrollos de carácter comercial probablemente tendrán un estándar más exigente al momento de realizar esa evaluación, especialmente a la luz de los principios de proporcionalidad y finalidad.

Respecto de las bases construidas con datos que, bajo la Ley N° 19.628, fueron tratados desde fuentes de acceso público, una vez que entre en vigencia la Ley N° 21.719, ¿el responsable deberá identificar una nueva base de licitud para continuar tratándolos o podría invocar la continuidad anterior?

Ahí hay una discusión muy interesante sobre el efecto retroactivo de la Ley N° 21.719.

En principio, la entrada en vigencia de la ley no implica una afectación de los procesamientos ya realizados. Sin embargo, en este caso hay que discutir si la base de entrenamiento de un algoritmo sigue utilizando el dato y, por lo tanto, si ese tratamiento debe adecuarse al nuevo régimen.

Si el tratamiento originalmente se basó en la excepción de fuente accesible al público del artículo 4°, inciso final, de la Ley N° 19.628, esa excepción ya no existe en la nueva legislación. Por lo tanto, habría que encontrar una nueva base de licitud.

Ahí aparecen discusiones relevantes. Primero, sobre el efecto retroactivo de la ley. Segundo, sobre la posibilidad de anonimizar esas bases de datos, porque lo ideal sería que, una vez anonimizadas, puedan ser utilizadas para entrenamiento. Sin embargo, existen dificultades técnicas y costos asociados a ese proceso.

También aparece la discusión sobre las posibles sanciones. En Estados Unidos y Corea, algunas agencias han hablado del desmembramiento del algoritmo como sanción. Es decir, si hubo un procesamiento ilícito de datos personales al momento de entrenar un algoritmo, esa ilicitud podría contaminar la licitud del algoritmo mismo.

A esa sanción se le ha denominado algorithmic disgorgement, una especie de desmembramiento del algoritmo como consecuencia del procesamiento ilícito de datos.

Habría que ver si las facultades administrativas de la nueva Agencia de Protección de Datos permitirían una sanción de esas características, pero es algo que se está explorando a nivel comparado.

Usted mencionó que el cambio de nombre de la ley también refleja un cambio en el derecho fundamental protegido. ¿Por qué es relevante esa distinción?

Creo que es muy ilustrativo el cambio de nombre de la ley.

Antes de la reforma, se llamaba Ley de Protección de la Vida Privada, lo que respondía a una especie de derecho de exclusión. Bajo esa lógica, tenía mucho sentido que el dato público no estuviera protegido, porque el dato público no es privado.

En cambio, con la nueva ley de protección de datos personales, la protección no apunta solo a la privacidad, sino a la autodeterminación informativa como derecho fundamental autónomo.

Esa autodeterminación informativa, entendida como el poder de control que tienen los titulares sobre sus datos, es indiferente a si el dato es público o privado. Ese derecho de control se mantiene incluso respecto de datos públicos, con ciertas limitaciones.

Por eso, el cambio de nombre de la ley también da cuenta de un cambio en el derecho fundamental protegido. Bajo la lógica de la autodeterminación informativa, tiene sentido sostener que el hecho de que un dato sea público no necesariamente significa que se puede procesar libremente.

La lección francesa para el dato laboral en Chile

~ Pablo Viollier ~ Leave a comment

Publicado originalmente el 17 de abril de 2026 en Estado Diario

El 2 de abril de 2026, la CNIL —autoridad francesa de protección de datos— publicó su “Guía de plazos de conservación de datos personales en la gestión de recursos humanos”. Este documento constituye un insumo especialmente útil para Chile, en momentos en que entramos en la etapa decisiva de preparación para la entrada en vigencia de la nueva ley de protección de datos personales. Su principal mérito radica en su carácter práctico: no se trata de un texto doctrinario ni de una nueva enumeración abstracta de principios, sino de una herramienta operativa, pensada para quienes tratan datos personales de trabajadores en contextos reales.

La guía parte de una idea especialmente valiosa: la conservación de datos laborales no puede resolverse solo con una tabla de plazos. La CNIL distingue entre base activa y archivo intermedio, y muestra que los datos no permanecen siempre en una misma condición. Algunos son necesarios para la relación laboral vigente; otros dejan de ser útiles para la gestión cotidiana, pero deben mantenerse de forma restringida por obligaciones legales o para la defensa ante eventuales litigios; y, finalmente, llega la etapa en que corresponde su supresión o anonimización.

En los hechos, esto instala una lógica de gobernanza por fases. Primero, el uso activo, respecto de los datos necesarios para administrar la relación laboral. Segundo, el archivo intermedio, donde la conservación se restringe a fines legales, regulatorios o probatorios. Tercero, el archivo definitivo o la eliminación. La pregunta deja de ser solo cuánto tiempo guardar un dato, para pasar a ser también en qué etapa está, quién puede acceder a él y con qué finalidad. Esa es una diferencia decisiva.

La guía ratifica que el dato laboral debe ser tratado como un activo regulado. No basta con conservar información “por si acaso”, los plazos deben justificarse, las decisiones deben documentarse y esos criterios deben integrarse en políticas internas. No estamos frente a una mera tabla de conservación, sino ante un modelo de gobernanza documental y de accountability.

Esto resulta especialmente relevante para Chile. La preparación para la nueva ley no puede limitarse a revisar avisos de privacidad o actualizar contratos. En el ámbito laboral, habrá que definir con cuidado qué datos permanecen en uso activo, cuáles pasan a archivo intermedio, bajo qué bases legales se conservan y en qué momento corresponde eliminarlos. Esa tarea exige un enfoque de riesgo, un modelo de gobernanza y responsabilidad proactiva.

Además, el tratamiento de datos laborales no es autónomo. Debe coordinarse con el derecho del trabajo, con obligaciones legales del empleador, con los plazos de prescripción y con la necesidad de defensa judicial. En el caso chileno, esto tiene una importancia adicional, porque los derechos de los trabajadores en materia de datos personales deben leerse en el contexto más amplio de los derechos fundamentales en el ámbito laboral. El trabajador no deja esos derechos a la entrada de la empresa.

Por eso, esta discusión debe estar hoy en la mesa de las gerencias legales y de recursos humanos. Son ellas las llamadas a adoptar definiciones concretas antes de la entrada en vigencia de la nueva normativa. La guía francesa muestra un camino útil: ordenar el ciclo de vida del dato, restringir accesos cuando corresponda, separar el uso operativo del archivo con fines probatorios y documentar cada decisión relevante. Ese es, probablemente, uno de los aprendizajes más importantes para Chile: conservar datos no es acumularlos, sino gobernarlos.

*Marcelo Drago Aguirre – Socio de DataCompliance

Pablo Viollier Bonvin – Candidato a Doctor en Derecho, Universidad Central de Chile y consultor senior de DataCompliance

Regulación de las decisiones automatizadas: el Estado como gran ausente

~ Pablo Viollier ~ Leave a comment

Publicado originalmente el 08 de octubre de 2025 en Idealex.

Una de las principales novedades de la Ley N° 21.719 es la regulación de las decisiones automatizadas. Esta norma, que entra en vigencia el 1 de diciembre de 2026 y que tiene como objetivo reformar nuestra ley de datos personales para elevar el nivel de protección a los titulares y crear una Agencia de Protección de Datos Personales, está explícitamente inspirada por el Reglamento general de protección de datos de la Unión Europea (RGPD).

El artículo 8 bis de la Ley N° 21.719 es una versión modificada del artículo 22 del RGPD y regula aquellas decisiones que son tomadas basándose en el tratamiento automatizado de los datos personales de los titulares, es decir, de forma autónoma o sin participación humana. Con el fin de proteger a las personas ante este tipo de procesamiento automatizado, la legislación establece una serie de requisitos bajo los cuales será lícito tomar decisiones automatizadas respecto de los individuos y entrega a los titulares una batería de derechos particularmente sofisticados. Entre ellos, el derecho a la información y transparencia, a exigir intervención humana, a expresar su punto de vista, a solicitar la revisión de la decisión y el derecho a obtener una explicación respecto de cómo se llegó a una decisión específica.

Todas estas garantías elevan sustancialmente el nivel de transparencia y los criterios de responsabilidad respecto del funcionamiento de sistemas algorítmicos, por lo que la regulación cumplirá un rol crucial en el proceso de transformación digital y modernización del Estado, las empresas y las organizaciones. Especialmente en un contexto en donde cada vez más la evaluación crediticia, la selección de personal, el levantamiento de alertas para detección de fraude, el perfilamiento para fines de marketing y la entrega de beneficios sociales es entregada, con distintos niveles de autonomía, a la decisión de sistemas algorítmicos o basados en tecnología de inteligencia artificial.

Chile no se limitó solo a replicar el contenido del artículo 22 del RGPD, sino que recogió la retroalimentación de los expertos que participaron del proceso legislativo y las lecciones que la jurisprudencia europea y el pronunciamiento de sus distintos organismos de control administrativo han dejado en la materia. Así, la legislación chilena no exige que la decisión se base “únicamente” en el tratamiento automatizado de datos, lo que en Europa fue interpretado como un riesgo de permitir que un nivel de participación humana nominal o simbólica deje a las personas fuera de la aplicación de la regulación.

Adicionalmente, el artículo 8 bis redujo el nivel de afectación que los titulares deben experimentar para estar protegidos por esta figura, solo exigiendo que estos sufran un “impacto significativo”. Por último y más relevante, la ley chilena consagra explícitamente el derecho a una explicación como derecho de los titulares, obligando a los responsables a ser capaces de fundamentar y describir bajo qué criterios, parámetros y mecanismos el sistema arribó a una decisión particular que afectó al individuo.

La gran sorpresa de la Ley N° 21.719 se encuentra en el artículo 21 inciso final. Este artículo establece taxativamente aquellas secciones de la ley que son aplicables a los organismos públicos. ¿El gran ausente? El artículo 8 bis. Es decir, el esfuerzo más importante y sofisticado que nuestra legislación ha emprendido para entregar a los individuos herramientas para proteger sus derechos, exigir transparencia y objetar con conocimiento de causa las decisiones que los sistemas algorítmicos y de inteligencia artificial toman respecto de ellos excluye completamente de su aplicación a todos los organismos de la administración del estado.

Esta decisión de política pública es paradójica, si tenemos en consideración que el Estado es el mayor procesador de datos personales en nuestro país y muchas veces el más negligente. Basta revisar el repositorio creado por el GobLab de la UAI titulado “Algoritmos Públicos” para darse cuenta de que el uso de decisiones automatizadas y de inteligencia artificial que puede afectar significativamente a los individuos no es algo eventual, sino que el Estado ya tiene implementados hoy muchas de estas herramientas.

Permitir a los individuos conocer la forma en los sistemas automatizados toman decisiones que los afectan, objetar dichas decisiones y ejercer sus derechos respecto de empresas y organismos privados, pero no respecto del Estado constituye una discriminación arbitraria que deja a los ciudadanos en una situación inaceptable de indefensión. Subsanar esta situación debería ser una prioridad para la nueva Agencia de Protección de Datos Personales, ya sea proponiendo al Presidente de la República la dictación de una ley corta que incluya a los organismos públicos en la aplicación del artículo 8 bis o a través de una instrucción general similar a las recomendaciones del Consejo para la Transparencia sobre transparencia algorítmica respecto del funcionamiento de los organismos públicos.

El árbol envenenado algorítmico

~ Pablo Viollier ~ Leave a comment

Columna publicada originalmente e 11 de febrero en Actualidad Jurídica

El mundo ha experimentado un renovado interés por la protección de datos personales, el que, a su vez, ha desembocado en distintas legislaciones que han elevado el nivel de protección de la autodeterminación de las personas. Así, se promulgó recientemente la Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales con el objetivo de poner a Chile a la par con el estándar europeo y permitir que el país enfrente los desafíos que implican la masificación de la toma de decisiones automatizadas y la Inteligencia Artificial (IA).

La nueva legislación exige que cualquier tratamiento o procesamiento de datos personales cuente con una base de licitud y que dicho tratamiento se realice cumpliendo con las condiciones y principios establecidos en la legislación. El incumplimiento a dichos requisitos puede acarrear importantes sanciones para los responsables del tratamiento; sin embargo, en los últimos años una importante pregunta ha estado circulando: ¿qué pasa cuando un algoritmo sofisticado o un modelo de IA es entrenado o desarrollado utilizando datos personales con infracción a las condiciones contenidas en la legislación? ¿Dicho incumplimiento sólo acarrea una sanción o puede contaminar incluso el despliegue futuro del sistema o modelo entrenado?

La primera alternativa sería asumir que la recolección o tratamiento de datos personales sin cumplir con los estándares legales generan una única instancia infractora, la que el responsable podría saldar y cuyo “pecado original” no afectaría el algoritmo o modelo entrenado con dichos datos personales. Esta postura se basa en el hecho que, si bien muchos sistemas utilizan grandes volúmenes de datos -incluyendo datos personales- al momento del entrenamiento o desarrollo del modelo, eso no quiere decir necesariamente que exista un procesamiento de datos personales al momento de su funcionamiento, ya que estos pueden haber sido anonimizados o haber sido utilizados tangencialmente sólo para realizar inferencias estadísticas en la etapa de entrenamiento.

La segunda alternativa es interpretar que se trata de una infracción contínua y que utilizar datos personales ilícitamente para desarrollar y entrenar modelos algorítmicos o de IA constituye una infracción que se proyecta al funcionamiento o despliegue de dicho modelo. En este sentido, el producto final sería una proyección del procesamiento ilícito del cuál no podría desligarse.

Recientemente dos organizaciones han tenido la oportunidad de abordar esta materia. El Comité Europeo de Protección de Datos emitió un dictamen (24/2024) sobre algunos aspectos relacionados con el procesamiento de datos personales en el contexto de modelos de Inteligencia Artificial. En dicho documento el Comité se pone en distintas hipótesis para distinguir si la infracción en la utilización de información usada para el desarrollo del modelo de IA podría eventualmente afectar el sistema de IA una vez ya desplegado; sin embargo, el Comité reconoce la capacidad que las agencias europeas de protección de datos personales tienen para imponer acciones correctivas las que pueden incluir “aplicar multas, imponer una limitación temporal del tratamiento, borrar una parte del conjunto de datos que haya sido tratado ilegalmente o, cuando esto no sea posible, en función de los hechos en cuestión, teniendo en cuenta la proporcionalidad de la medida, ordenar la eliminación de todo el conjunto de datos utilizado para desarrollar el modelo de IA y/o del propio modelo de IA” (el énfasis es mío).

Más recientemente la Comisión de Protección de Información Personal de Corea del Sur tuvo la oportunidad de referirse al asunto, llegando a una resolución tajante. La empresa Kakao Pay utilizó un sistema de cálculo de fondos insuficientes creado por Alipay; sin embargo, esta segunda empresa desarrolló dicho algoritmo utilizando información personal que fue proporcionada y transferida ilegalmente al extranjero. La comisión consideró que la única forma de “resolver fundamentalmente” esta vulneración en el tratamiento de datos personales fue ordenar a Alipay la destrucción del modelo de cálculo de puntuación.

En ambos casos -uno presentado como posibilidad eventual y el otro como jurisprudencia ya asentada- se presenta una especie de teoría del fruto del árbol envenenado algorítmico, en donde la infracción en el procesamiento de la información personal en la etapa de desarrollo o entrenamiento (árbol) del modelo algorítmico o de IA también permea a la etapa de funcionamiento o despliegue del mismo modelo (fruto).

En el caso de Chile, la nueva Ley N° 21.719 entra en vigencia el 1 de diciembre de 2026, por lo que este es un tema respecto del cual la futura Agencia de Protección de Datos Personales se deberá pronunciar. Sin embargo, sí es importante notar que dentro de las facultades legales de dicha agencia sí se encuentran las potestades para ordenar una medida de estas características.

Así, el artículo 35 inciso segundo permite a la Agencia establecer las medidas tendientes a subsanar las causales que dieron motivo a la sanción, mientras que el artículo 38 inciso tercero permite prorrogar indefinidamente la medida de suspensión temporal de procesamiento, por períodos sucesivos de máximo treinta días, hasta que el responsable cumpla con lo ordenado. En ambos casos son facultades amplias que podrían ser utilizadas por la Agencia chilena para hacer carne esta nueva doctrina del árbol envenenado algorítmico. 

De momento  es conveniente seguir de cerca la jurisprudencia internacional y los pronunciamientos de distintos organismos de otras jurisdicciones respecto de esta materia central para el futuro del desarrollo de modelos de IA.

Compliance en protección de datos personales: ¿voluntario?

~ Pablo Viollier ~ Leave a comment

* Columna publicada originalmente el 25 de noviembre en Actualidad Jurídica.

Una de las principales innovaciones de la nueva ley de datos personales es la incorporación de mecanismos de cumplimiento legal o compliance, cuyo objetivo es complementar la aplicación de la ley por parte de la Agencia de Datos Personales y promover el cumplimiento de la ley a través de mecanismos colaborativos. Uno de estos mecanismos es la implementación de modelos de prevención de infracciones, conocidos ya en otros ámbitos legales. Pero aquí es donde surge la pregunta, estos programas ¿son obligatorios o voluntarios?  En el caso del sector privado, la respuesta es clara: sí. El artículo 49 establece que “[l]os responsables de datos podrán voluntariamente adoptar un modelo de prevención de infracciones consistente en un programa de cumplimiento”. La redundancia entre “podrán” y “voluntariamente” refuerza suficientemente el punto legal.

En el caso del sector público, la respuesta no es la misma, tenemos que hablar de un deber de compliance cuya modalidad de cumplimiento es alternativa. El artículo 44, inciso segundo, dispone que “los órganos públicos deberán someterse a las medidas tendientes a subsanar o prevenir infracciones que indique la Agencia o a los programas de cumplimiento o de prevención de infracciones del artículo 49”. Es decir, en este caso existe obligación de adoptar uno de los dos esquemas de cumplimiento: las medidas ad hoc diseñadas por la Agencia -una vez que esta exista y esté en funcionamiento- o el modelo de prevención del artículo 49, cuyo contenido al menos ya está meridianamente detallado en la ley.

Veamos la situación desde el punto de vista de las decisiones organizacionales y de negocio. Si la organización decide no implementar el modelo de prevención de infracciones, ¿debe igualmente cumplir con la ley? La respuesta es obvia: por supuesto. Es decir, el responsable del tratamiento de datos personales deberá ajustar su documentación, procesos, roles y un largo etcétera para evitar infracciones a los principios, obligaciones y deberes que impone la ley. Tendrá que adecuar su funcionamiento para responder al ejercicio de derechos de los titulares de datos. En otros términos, tendrá que realizar una serie de medidas que igualmente deberán ser implementadas bajo un modelo de compliance. Ante tal escenario, la utilidad del modelo de prevención se visibiliza con claridad. Permite tanto ajustar el cumplimiento a la ley como mitigar los riesgos asociados al funcionamiento de la organización. Si el costo de ese esfuerzo además permitiría, eventualmente, lograr una atenuante en un proceso sancionatorio, entonces el incentivo económico es nítido. Es cierto que ello requiere la certificación del modelo por la Agencia, pero en cualquier caso podría ser un costo marginal ante las exigencias obligatorias de cumplimiento.

En el caso del sector público, el dilema es aún más estrecho. Los órganos de la Administración, al tener que cumplir con una de dos alternativas, la vacancia legal favorecerá el pragmatismo de la opción por el modelo de prevención. En otros términos, un jefe superior del servicio debe optar entre intentar implementar el cumplimiento y esperar las medidas que recomiende la Agencia o adoptar el modelo de prevención del artículo 49, cuyo contenido es conocido y genera menos incertidumbre. Ante tal escenario, la opción por el modelo de compliance cae por su propio peso.

La importancia de implementar estas medidas de prevención al interior del sector público se ve complementada por el esquema sancionatorio de la ley, la cual incluye sanciones al jefe superior de servicio tales como multas del 50% de su remuneración mensual y su suspensión en el cargo de hasta 30 días, así como la remisión a la Contraloría General de la República para la realización de sumarios administrativos y sanciones de acuerdo al Estatuto Administrativo a los funcionarios infractores.

Los dos años de vacancia de la nueva ley representan la única ventana de oportunidad para avanzar en las medidas de cumplimiento indispensables para tener la casa ordenada al momento de su entrada en vigencia, medidas que se deben tomar no sólo en el sector privado sino también en todos los órganos del Estado. Puede sonar a un plazo extenso, pero la experiencia europea enseña que es ajustado. Llegó el momento de arremangarse y ponerse a trabajar.

Nueva ley de datos personales: lecciones desde el viejo continente

~ Pablo Viollier ~ Leave a comment

Publicada originalmente el 30 de octubre de 2024 en Idealex

En Chile nos hemos acostumbrado a quejarnos de la calidad de nuestro proceso legislativo, en especial, cuando la ley en cuestión se ha inspirado en una legislación extranjera. Este reclamo muchas veces es válido, ya que efectivamente en el pasado varios proyectos de ley han sido poco más que un “copy/paste” de legislación extranjera, no solamente afectando la calidad de nuestras leyes, sino que produciendo lo que la literatura ha denominado “trasplantes jurídicos”. Estos trasplantes se caracterizan por no adecuarse al medio local, la cultura jurídica del país al cual son injertados y por pasar por alto las diferencias económicas e institucionales entre el país que inspira la legislación y el país en donde se implementa el injerto.

Sin embargo, me parece que es igual de importante dar cuenta de aquellos casos en donde nuestro proceso legislativo no solo ha adecuado correctamente una legislación extranjera al medio local, sino que ha sido capaz de aprender de los errores e imprecisiones del país de origen, y crear una legislación que mejora el producto respecto del cual se inspira. Este me parece, es el caso de la regulación de la toma de decisiones automatizadas en la nueva ley de datos personales. Dicha regulación se encuentra fuertemente inspirada por el Reglamento general de protección de datos de la Unión Europea (GDPR, por sus siglas en inglés). Esto no es algo malo, tiene todo el sentido del mundo inspirarse en la legislación más sofisticada en la materia a la fecha y la que, además, se ha transformado de facto en un estándar global.

Pero el GDPR no es perfecto. En lo que respecta a la toma de decisiones automatizadas —una materia clave para el futuro de la regulación de la inteligencia artificial— el artículo 22 del GDPR tenía una serie de errores en su técnica legislativa que hacían que, en la práctica, la protección otorgada a los titulares fuese demasiado restrictiva.

En primer lugar, el GDPR establece que los titulares tienen “derecho a no ser objeto” de decisiones automatizadas, a menos que se cumplan ciertas condiciones. El hecho de tratarse de un derecho implica que es una prerrogativa que el titular tendría que invocar activamente.

En otras palabras, toda toma de decisiones automatizadas sería legítima hasta que el titular invocara su derecho a oponerse a dicha actividad. Puesto que esta redacción implicaría poner la carga procesal en el titular en vez de protegerlo por defecto, el Grupo de Trabajo del Artículo 29 interpretó administrativamente que, a pesar de que el artículo del GDPR habla de un derecho, en realidad se trata de una prohibición general.

En segundo lugar, las garantías del artículo 22 solo serían aplicables cuando la decisión se basará “únicamente” en el tratamiento automatizado de los datos del titular. Esto abría la puerta para que la participación nominal o simbólica de un ser humano en el proceso de la toma de decisión hiciera inaplicable el artículo. Nuevamente, el Grupo de Trabajo tuvo que salvar la norma interpretando que para entender que la decisión era tomada “únicamente” basada en el tratamiento automatizado de datos personales, la participación humana no debería ser “significativa”, excluyendo la participación nominal o simbólica para blanquear una decisión automatizada.

Por último, los considerandos del GDPR señalan que los titulares gozan del derecho a una explicación respecto de cómo se tomó una decisión automatizada que les afecte. Sin embargo, el artículo 22 solo entrega al titular el derecho a objetar la decisión, obtener una intervención humana y expresar su punto de vista. Hasta ahora la doctrina discute si el derecho a una explicación es un derecho sustantivo (detallado y respecto a una decisión específica) o solo el derecho a obtener información respecto a cómo funciona, a grandes rasgos, el sistema algorítmico.

En Chile aprendimos de estos errores y fuimos capaces de redactar una norma que supera estas dificultades. Así, el artículo 8 bis del proyecto de ley aprobado, entrega al titular el derecho a “oponerse y a no ser objeto” de decisiones automatizadas, dejando en claro que las personas solo podrán verse afectadas por este tipo de decisiones cuando se cumplan los requisitos legales.

Del mismo modo, nuestra norma eliminó el término “únicamente”, por lo que se evita la posibilidad de que los resguardos del artículo dejen de ser aplicables por la inclusión de una participación humana nominal en el proceso de toma de decisiones automatizadas. Por último, el artículo consagra explícitamente el derecho que tienen los titulares a exigir a los administradores del sistema una explicación respecto de cómo se llegó a la decisión automatizada que los afecta, lo que significa una mejora significativa respecto del nivel de protección al que están sujetos los titulares europeos.

Estas mejoras en la técnica legislativa no son casuales, sino que son el producto de un arduo debate al interior de las comisiones que estudiaron el proyecto en el Congreso, las que sesionaron múltiples veces e invitaron a decenas de expertos en la materia. Del mismo modo, fue clave la participación de distintos actores involucrados, tales como la academia, la industria y la sociedad civil.

Creo que el producto final de la ley de datos personales no fue una victoria avasalladora de las posturas de un actor en desmedro de los otros, sino que un proceso de negociación y compromiso de posiciones en juego que permitió la producción de una regulación que mantuvo un equilibrio entre los intereses de distintos representantes de la sociedad.

Pablo Viollier es coordinador del diplomado en protección de datos personales de la Universidad Central y abogado de DataCompliance.

Nueva ley marco de ciberseguridad

~ Pablo Viollier ~ Leave a comment

Publicada el 22 de enero de 2024 en El Mercurio Legal

El pasado 12 de diciembre, el Senado despachó para su promulgación el proyecto de Ley Marco sobre Ciberseguridad e Infraestructura Crítica de la Información. La nueva normativa tiene la novedad de ser de aplicación general; es decir, no aplica solamente a los organismos estatales y a los sectores históricamente regulados, sino que es aplicable a todas las instituciones privadas que sean calificadas como entidades que prestan servicios esenciales o como operadores de importancia vital. 

La carga regulatoria que estas entidades tendrán que soportar es sustantiva. La nueva ley les obliga a establecer medidas para prevenir, gestionar y resolver incidentes de ciberseguridad, implementar protocolos y estándares aprobados por la nueva Agencia Nacional de Ciberseguridad (ANCI), mantener un registro de las acciones ejecutadas, reportar a la autoridad (y eventualmente a los afectados) la ocurrencia de un incidente de ciberseguridad, implementar planes de continuidad operacional, responder a las solicitudes de información de la ANCI, designar un delegado de ciberseguridad, entre otras responsabilidades. 

Desde el punto de vista del enforcement, hay dos elementos que vale la pena destacar. En primer lugar, una materia que será particularmente desafiante, tanto para el regulador como los regulados, es la aplicación de las obligaciones relativas a la coordinación regulatoria. La versión inicial del proyecto establecía el principio de la especialidad en la sanción, según el cual se preferiría la aplicación de la regulación sectorial por sobre la establecida en esta ley. En otras palabras, una deferencia al regulador sectorial bajo la premisa que estos tienen más cercanía técnica, histórica e institucional con su sector regulado. 

Durante la tramitación legislativa, el Ejecutivo propuso una visión de carácter más centralizada, donde sería la ANCI la encargada de producir los protocolos, estándares y aplicar las sanciones de aplicación general, así como de aprobar las normativas sectoriales en materia de ciberseguridad. Como punto medio, se llegó a una fórmula que incorpora la obligación de coordinación regulatoria, lo que implica que cuando la ANCI dicte protocolos, estándares técnicos o instrucciones de carácter general que tengan efectos en un sector regulado, se deberá solicitar un informe al regulador sectorial con el propósito de prevenir posibles conflictos normativos. Del mismo modo, cuando un regulador sectorial emita actos administrativos de carácter general que tengan efectos en los ámbitos de competencia de la ANCI, le deberá solicitar un informe para garantizar la coordinación, cooperación y colaboración entre ambas entidades. En otros términos, la ley fija una regla especial de coordinación regulatoria a la establecida en el art. 37 bis de la Ley de Bases de Procedimientos Administrativos. 

En segundo lugar, en cuanto a las sanciones, la futura ley establece que corresponderá a las autoridades sectoriales fiscalizar y sancionar las infracciones a la normativa sobre ciberseguridad que hubiesen dictado y que tengan efectos “al menos equivalentes” a la normativa dictada por la ANCI. En el resto de los casos; es decir, en los casos en donde la normativa sectorial no tiene dicha equivalencia, corresponderá a la ANCI fiscalizar, sancionar y ejecutar las infracciones a la ley. 

Es evidente que esto es un aspecto de incertidumbre que requerirá concretización práctica. ¿Cuáles son efectivamente los estándares de equivalencia y cuál será la entidad fiscalizadora a la cual quedarán afectos ciertos sectores regulados, en particular aquellos sectores como el bancario o de telecomunicaciones, que ya cuentan con una importante batería de regulación sectorial en materia de ciberseguridad? Son los desafíos que deberán enfrentarse desde el inicio de su entrada en vigencia.  

El hecho de que las infracciones a la nueva ley pueden alcanzar multas cercanas a los 2.600 millones de pesos sin duda significa que precisar estos estándares de coordinación regulatoria deberá ser una de las primeras prioridades de la nueva ANCI y una preocupación prioritaria para los sectores regulados. 

Pablo Viollier – Doctorando en Derecho, Universidad Central de Chile.

Pablo Contreras – Director Cátedra Legal Tech U.Central, Universidad Central de Chile.

Carta al director 17/01/2024

~ Pablo Viollier ~ Leave a comment

Publicada originalmente en La Segunda el 17 de enero de 2024

Sr. Director:

Concordamos plenamente con la opinión expresada por Romina Garrido respecto a la norma que regula las decisiones automatizadas en el proyecto de ley de datos personales. Adicionalmente, hay dos modificaciones incorporadas por la Cámara de Diputados y que nos parece importante que sean confirmadas por la comisión mixta.

La primera aclara que los titulares tienen derecho a no ser objeto de decisiones automatizadas, excepto en los casos que la ley lo permite, porque la redacción anterior daba a entender que los titulares sólo tienen el derecho a oponerse a este tipo de procesamiento automatizado y, por tanto, este sería permitido a menos que el titular activamente se opusiera. En segundo lugar, las enmiendas introducidas explícitamente reconocen el derecho de los titulares a obtener una explicación en el caso que la decisión haya sido tomada por medios automatizados, lo cual es clave para garantizar la transparencia de los algoritmos.

En ambos casos, la redacción propuesta por la Cámara de Diputados se hace cargo de elementos regulados de forma deficiente en el Reglamento Europeo de Protección de Datos Personales -que inspira el proyecto de ley chileno- y que han debido ser aclarado por la jurisprudencia y los distintos órganos de control europeos. 

Pablo Viollier – Doctorando en Derecho UCEN

Pablo Contreras – Director Cátedra Legal Tech UCEN

Derecho a la intervención humana

~ Pablo Viollier ~ Leave a comment

Publicado originalmente el 20 de abril de 2021 en La Segunda

Cuando se trata de tomar decisiones, solemos asociar a las personas con vicios relacionados a la arbitrariedad, subjetividad y capricho. Los sistemas automatizados, por otro lado, gozan de un aura de objetividad por basarse en el análisis de datos. Después de todo, los datos no tienen color político, inclinaciones ni agendas propias.

Paradójicamente, la evidencia muestra que los sistemas algorítmicos son susceptibles de reproducir e incluso profundizar los sesgos de sus programadores. Este sesgo puede producirse por la ponderación asignada a cada factor, la elección de cierto tipo de datos por sobre otros o porque los datos mismos son sesgados. Por ejemplo, un análisis de los abogados más exitosos de Santiago mostrará una clara tendencia a favor de hombres, de más de 50 años y que egresaron de ciertos colegios. 

Para evitar que estas decisiones devengan en arbitrarias y poco transparentes, la legislación europea estableció el derecho a no ser sujeto a decisiones basadas exclusivamente en un tratamiento automatizado de datos. De esta forma, se permite al afectado solicitar la intervención de un humano, expresar su punto de vista y objetar la decisión.

Así, esta semana una corte holandesa obligó a Uber a reincorporar e indemnizar a seis conductores cuyo despido fue realizado en función de una decisión tomada por medios algorítmicos. 

Sin embargo, esta figura ha producido un alto nivel de incertidumbre. Todavía queda pendiente clarificar qué nivel de intervención humana se requiere para que una decisión no se considere tomada por medios “exclusivamente automatizados”. Tampoco existe claridad respecto a qué antecedentes podrá acceder el afectado para poder oponerse a la decisión o, incluso, si esto involucra que se le explique (y con qué detalle) cómo el sistema tomó la decisión en el caso concreto.

El proyecto de ley de datos personales que se tramita en el congreso incluye una norma inspirada fuertemente en la legislación europea. Esto representa una oportunidad para precisar estos cabos sueltos y alcanzar dos objetivos: otorgar certeza jurídica a este tipo de operaciones y alcanzar un equilibrio entre la protección de los titulares y los beneficios que estos sistemas automatizados aportan a la industria y la sociedad en su conjunto.