Publicada originalmente el 12 de julio de 2019 en Derechos Digitales

La tierra no es plana, las vacunas funcionan y Chile necesita actualizar su legislación de protección de datos. En materia de políticas públicas digitales, son pocos los temas que generan un consenso tan transversal como la necesidad imperiosa de que nuestro país fortalezca su nivel de protección y resguardo de la autonomía informativa de las personas. 

Así lo refleja un informe del año 2016, publicado por el Departamento de evaluación de la ley 19.628 de la Cámara de Diputados. El documento muestra cómo los representantes de la industria, sociedad civil, academia y distintos organismos públicos no solo creen que es importante modificar nuestra regulación, sino que también consideran urgente la creación de un organismo administrativo que sea capaz de fiscalizar el cumplimiento de la ley y sancionar a quienes infringen sus disposiciones. 

En la actualidad -y más allá de las falencias de la ley 19.628– el principal obstáculo que las personas enfrentan al momento de hacer efectivo su derecho a acceder, rectificar, oponerse o cancelar el tratamiento de sus datos personales es de carácter operativo. La ley establece un procedimiento denominado habeas data, que obliga a los titulares a recurrir a los tribunales civiles ordinarios de justicia. Para una persona común y corriente, esto implica contratar un abogado, invertir recursos y esperar un par de años para obtener ojalá una decisión favorable, con tribunales civiles sobrecargados que además no manejan la especialidad que requiere la protección de datos personales. Incluso, luego de haber superado esta ordalía, las sanciones establecidas por la ley son irrisorias, llegando a un tope de más o menos 3.600 dólares. Para empresas y para el Estado, los más frecuentes infractores, la suma es una sanción insignificante ya que las multas podrían ser fácilmente incorporadas como costos de operación. 

Por lo mismo, nadie se puede extrañar de que este procedimiento haya sido utilizado muy pocas veces, dando pie a la impunidad sobre el tratamiento ilegítimo de los datos personales de las personas chilenas; no porque la privacidad no importe, sino que se ha transformado en un privilegio defenderla. 

Aunque existe consenso en que nuestro país debe contar con una Agencia de Protección de Datos, actualmente existen distintos esquemas institucionales que se pueden implementar; cada uno con sus particularidades, partidarios y detractores.

Qué nos gustaría 

En Derechos Digitales hemos participado del proceso legislativo en distintas iniciativas para reformar la actual ley de datos personales; desde el proyecto presentado por el primer gobierno de Bachelet, la iniciativa que tuvo lugar en el primero gobierno de Piñera y el Boletín 11144-07 presentado en marzo de 2017, durante el segundo gobierno de Bachelet y actualmente en tramitación. 

Sí, es frustrante cuantas veces hemos tenido que empezar desde cero. 

Sobre la institucionalidad de control, nuestra posición siempre ha sido la misma: Chile merece contar con una Agencia de Protección de Datos de carácter administrativa, independiente, especializada y con patrimonio propio. En otras palabras, un modelo normativo similar al que dio origen a la Agencia Española de Protección de Datos, que cuente con independencia de otros organismos públicos para poder ejercer su labor de fiscalización sin presiones políticas externas y cuyas decisiones respondan a estándares profesionales. 

Para cumplir su labor a cabalidad, una agencia de estas características también debe contar con los recursos y atribuciones necesarias. No basta con que la entidad pueda fiscalizar el cumplimiento de la ley por parte de organismos públicos y privados, ni que pueda sancionarlos con multa. También es necesario que cuente con facultades para realizar campañas educativas, mantener registro de las bases de datos existentes, inspeccionar a los responsables de bases de datos, establecer medidas cautelares y coordinar cooperación internacional en el área. Por último, la agencia requiere facultades normativas, para generar jurisprudencia administrativa sobre los alcances e interpretación de la ley; a través dictámenes o resoluciones, ya sea de carácter general o pronunciamientos específicos. 

Originalmente el proyecto de ley creaba un organismo encargado de la protección de los datos personales, dependiente del Ministerio de Hacienda. Pero la creación de un nuevo organismo -independiente, especializado y con patrimonio propio- requiere de una inversión económica importante, que por razones políticas no se encuentra hoy disponible. Así, en julio de 2018 el ejecutivo ingresó una indicación sustitutiva, entregando esta tarea al Consejo para la Transparencia (CPLT), entidad que actualmente tiene la poco específica atribución de “velar” por el cumplimiento de la Ley 19.628 respecto de los organismos públicos, pero ninguna herramienta para hacer efectivo este control.

El problema concreto es que la creación de un nuevo organismo -independiente, especializado y con patrimonio propio- requiere de una inversión económica importante, que por razones políticas no se encuentra hoy disponible.

Lo perfecto es enemigo de lo bueno

En los últimos meses, la Comisión de Constitución, Legislación, Justicia y Reglamento del Senado ha votado la mayoría de los artículos del proyecto relativos a temas de fondo –con algunos resultados no del todo satisfactorios desde nuestro punto de vista. Es posible que en las próximas semanas se revise lo relativo a la Agencia de Protección de Datos Personales: su institucionalidad, atribuciones y recursos. 

Al tratarse de la creación de un nuevo organismo público, este aspecto de la ley solo puede modificarse por iniciativa del Presidente de la República. Sin embargo, al no existir consenso respecto a qué organismo público debe convertirse en la nueva Agencia de Protección de Datos, es probable que se genere un intenso debate.  

Las alternativas parecen ser dos: un nuevo organismo público especializado en protección de datos personales que dependa de un ministerio, o entregarle esta atribución al CPLT. Como todo en la vida, ambas opciones tienen cosas a favor y en contra. 

La creación de un organismo nuevo tiene la fortaleza de que esta nueva institución tendría un carácter especializado, compuesto exclusivamente por expertos en materia de protección de datos personales. En este sentido, se podría asegurar que las decisiones estarían fundamentadas bajo criterios técnicos y serían tomadas por profesionales del área. 

Sin embargo, en cuanto al nivel de autonomía del organismo, este solo contaría con un nivel de “independencia funcional”, similar a la que cuenta la Fiscalía Nacional Económica respecto del Ministerio de Economía. Es posible argumentar que este nivel de independencia es suficiente; después de todo, la Fiscalía Nacional Económica ha funcionado bastante bien. Sin embargo, hay una diferencia fundamental entre ambos organismos: a la Agencia de Protección de Datos Personales le corresponderá conocer, decidir y sancionar casos concretos donde haya una contienda respecto al cumplimiento de la ley de datos personales por parte de un responsable de bases de datos. En este sentido, tiene sentido que dicha agencia tenga un nivel de autonomía más similar al Tribunal de Defensa de la Libre Competencia que el de la Fiscalía Nacional Económica. 

Esto es particularmente relevante si tenemos en consideración que el mayor recolector, almacenador y procesador de datos personales es el Estado. No solo en términos de cantidad de datos, sino que también es el que maneja más datos de carácter sensible y muchas veces ha sido el más negligente en el resguardo y manejo de esos datos. Por lo mismo, se vuelve esencial que la labor de la agencia este exenta de eventuales presiones políticas externas. Si el día de mañana un importante organismo público sufre una filtración de datos personales que le signifique una multa millonaria, necesitaremos un organismo de control que sea inmune al telefonazo de su superior jerárquico. 

Optar por el CPLT implica enfrentar el problema contrario. El Consejo cuenta con altos niveles de independencia y autonomía, y una legitimidad asentada frente a la ciudadanía y el poder político, pero desde su creación su labor ha estado enfocada en materializar los principios de acceso a la información pública y la transparencia en la actuación del Estado. Si bien es cierto que el acceso a la información pública y la protección de datos personales no son materias necesariamente excluyentes, se trata de áreas del derecho que tienen sus propios principios y particularidades. Los expertos que han sido formados profesionalmente en una de ellas pueden contar con un sesgo profesional. 

Creemos que esto puede evidenciarse en algunas decisiones del Consejo en las que no concordamos con la ponderación entre el resguardo de los datos personales de los titulares y el derecho de los ciudadanos de acceder a la información pública. Algunos casos de lo anterior han sido: la entrega de información estadística por parte del INE, el acceso a los correos electrónicos de funcionarios públicos y la entrega del listado de nombres de dominios administrado por NIC Chile.

Frente a las condiciones actuales, la mejora en la protección de los datos personales en Chile necesariamente pasa por priorizar la evaluación independiente acompañada de un reforzamiento sobre la especialidad; asegurar que la futura autoridad de Protección de Datos Personales pueda operar con autonomía y exenta de presiones en sus pronunciamientos es crucial. Un criterio similar puede encontrarse en el Reglamento General de Protección de Datos, el que al momento de determinar si un país cuenta con un “nivel adecuado de protección” se da prioridad a que cuente con una agencia independiente.  

Para ello el mecanismo de conformación de la institucionalidad requiere ser modificado con el fin de adecuarse a sus nuevas atribuciones. En este sentido sería positivo que el número de consejeros se aumentara a seis, a fin de que se convocara a tres expertos en protección de datos personales y tres expertos en acceso a la información pública.

De esta forma, el Consejo podría operar con dos salas especializadas de funcionamiento permanente. Para poder mantener un criterio unificado al momento de ponderar privacidad y transparencia, cada sala podría integrarse por tres consejeros: dos de ellos de la competencia de la especialidad de la sala y un tercero de la especialidad de la otra sala que podría ir rotando. De esta forma se puede fortalecer el criterio técnico en la disciplina respectiva, favoreciendo la uniformidad en la aplicación e interpretación de la ley. Además, para evitar que consejeros que provengan del mundo privado queden implicados por conflictos de interés en materia de fiscalización de empresas que tratan datos personales, también es necesario un régimen de inhabilidades como el contemplado en el proyecto de ley.

Por otro lado, siempre existe la posibilidad de transformar los desafíos en una oportunidad. Tener una misma institución encargada de velar por el acceso a información pública y la protección de datos personales -como sucede en Inglaterra- permitiría contar con un criterio unificado en esta materia. Por el contrario, contar con dos instituciones separadas podría generar el riesgo de decisiones contradictorias. 

No cabe duda de que será un desafío importante que el CPLT alcance un equilibrio al presentarse casos que enfrenten la protección de los datos personales de los ciudadanos con el derecho a acceder a la información pública. Sin embargo, es un objetivo que se puede alcanzar con el tiempo y con los reforzamientos en presupuesto y capacidades para el CPLT que hemos enfatizado a lo largo del texto. Por otro lado, una institucionalidad que no cuente con independencia y autonomía desde su concepción no podrá sacudirse nunca esta falencia y por tanto no podrá proveer a la ciudadanía mejor protección que la que gozan actualmente sus datos personales.