Antonio Leiva: «Hoy nuestra presencia en la sociedad tiene forma de datos personales»

Por Luca Martino Acevedo, Universidad Mayor

Chile se encuentra a las puertas de implementar una de las reformas legales más relevantes de las últimas décadas para la vida cotidiana de las personas y el funcionamiento de las organizaciones: la nueva Ley de Protección de Datos Personales. Esta normativa viene a actualizar un marco regulatorio que permaneció prácticamente inalterado por más de veinte años, en un contexto marcado por la digitalización masiva, la economía de los datos y el uso intensivo de tecnologías de información.

La nueva ley refuerza el carácter fundamental del derecho a la vida privada y a la protección de los datos personales, incorporando estándares modernos de tratamiento, mayores deberes de transparencia, nuevas obligaciones para responsables y encargados de datos, y un régimen de fiscalización y sanciones inédito en el ordenamiento jurídico chileno. Su impacto trasciende ampliamente el ámbito de la privacidad, proyectándose sobre la relación entre empresas y consumidores, el diseño de servicios digitales, las prácticas comerciales basadas en datos, la publicidad, la gestión de información en el sector público y la gobernanza corporativa.

En este escenario, la adecuación normativa, técnica y cultural que exige esta reforma plantea desafíos significativos tanto para organizaciones públicas como privadas, obligándolas a revisar procesos internos, políticas de cumplimiento y modelos de negocio que hasta ahora operaban con estándares menos exigentes.

Para analizar los alcances, desafíos y efectos prácticos de la nueva Ley de Protección de Datos Personales, conversamos con Antonio Leiva Rabael, abogado de AltLegal, profesor de Derechos Fundamentales en el programa LLM de la Pontificia Universidad Católica de Chile y académico de la Universidad Mayor.

1. La nueva Ley de Protección de Datos Personales redefine el derecho a la vida privada en un contexto digital. Desde la perspectiva constitucional, ¿qué transformaciones considera más relevantes para la protección de derechos fundamentales en Chile?

La entrada en vigencia de la ley que usted mencionada, desde luego es un acontecimiento que merece ser conmemorado. Sin embargo, si nos detenemos un instante y observamos con distancia su regulación y el entorno jurídico en que se inserta, llamarla una nueva ley de datos personales expresa una cierta exageración.

Al menos en lo relativo al derecho constitucional, la preocupación por la protección de los datos personales en relación a la privacidad no es realmente novedosa. No debe pasar por alto que en 2018 se modificó la regulación constitucional sobre el derecho a la privacidad para hacer dos cosas. Primero instituir normativamente el vínculo inescindible entre la privacidad y la protección de los datos personales. Por otra, proteger esta materia mediante la reserva legal. Es por ello que la actualización funcional de las reglas sobre el tratamiento de datos personales sólo podría caber -conforme se señaló- en la ley.

En ese orden de ideas, la razón en cuya virtud se debe festejar la regulación por la que me pregunta es de naturaleza restauradora. Como es bien sabido, la función pública y el desenvolvimiento en el mercado, hoy resultan prácticamente impensables sin gestionar permanentemente altos volúmenes de datos sobre la identidad y las cualidades de las personas. Se lo necesita para construir políticas públicas, lo mismo que para modelar bienes y servicios.

Si antes afirmábamos nuestra existencia en el mundo dejando rastro de nuestras ideas, hoy nuestra presencia tiene forma de datos personales. Me parece que actualmente resulta difícil imaginar nuestra interacción social y la satisfacción de nuestra necesidades materiales de subsistencia sin que nuestros datos queden en poder de alguien más. Esta es una cuestión trascendental y que -por razones que habrá que indagar- no ha sido destacada. Si esa hipótesis es correcta, nuestra presencia en la sociedad es inseparable de los datos que nos singularizan, pues ellos son la expresión de lo que somos y de cómo nos ven.

Entonces la regulación que moderniza la protección de los datos personales restablece el deber del Estado de mantener las condiciones necesarias para participar en la vida nacional, obtener nuestro desarrollo, respetando los derechos de los ciudadanos, en este caso la privacidad.

2. La normativa incorpora el principio de responsabilidad proactiva, que exige a las organizaciones adoptar medidas preventivas y justificar sus decisiones de tratamiento de datos. ¿Cómo valora este enfoque considerando su experiencia en organismos públicos y en sectores regulados?

Si se piensa en que la responsabilidad proactiva se expresa en modelos de prevención de infracciones, parece ser la decisión correcta.

Conforme la experiencia, el cumplimiento basado en la mera sanción es insuficiente. Este esquema -aunque parezca obvio decirlo- presupone que la infracción ya se produjo y que se cuenta con los medios para investigarla lo mismo que demostrarla. Eso -conforme la evidencia y la experiencia- no suele ocurrir.

El camino correcto es diagnosticar los procesos en que se realice el tratamiento de datos personales y detectar la magnitud de los riesgos presentes en la operación. Con ello se podrán tomar medidas de control proporcionales a la magnitud y naturaleza del riesgo.

Desde el punto de vista constitucional esto es de gran valor. Ya se mencionó que la cuestión de los datos personales es inherente al derecho a la privacidad. Esto implica una problemática que hasta ahora no ha sido analizada por los especialistas en protección de datos. La gestión de los datos personales es una cuestión relativa a los derechos fundamentales. Lo que he observado es que quienes demandan servicios de esta naturaleza y -a consecuencia de lo anterior- los especialistas en la materia, han enfatizado desmedidamente a mi juicio en los aspectos legales de la protección de los datos personales, sin prestarle atención a que se trata de un derecho fundamental. Éstos -como si fuera necesario decirlo- están contenidos en normas constitucionales que tienen una estructura particular y sus propios métodos de razonamiento, entre otras peculiaridades. Esas normas, vale la pena no olvidarlo, son directamente aplicables a los conflictos y horizontalmente eficaces.

Adicionalmente, el derecho a la privacidad tiene una dificultad especial en el universo de los derechos fundamentales. Su contenido esencial, su configuración jurídica, es multidimensional. Su incumplimiento se produce por tipos de acciones de naturaleza muy disímil entre sí como son las intrusiones, develaciones, uso falso de imagen o la apropiación, que tienen en común la disrupción del límite cognitivo de la información sobre el titular. Lo que acabo de mencionar es propio del derecho a la privacidad en la Constitución, pero no se desarrolla en la ley.

Por ello, los modelos de prevención de infracciones de la ley en cuestión deben ser también modelos de prevención en derechos fundamentales.

Considerando las especialidades que es posible observar en el sector público y en el privado, donde no abunda especialistas en derechos fundamentales, la disponibilidad de los modelos de prevención con componentes iusfundamentales podrían escasear.

3. Durante su gestión como Fiscal del SERNAC, pudo observar cómo el uso de datos personales influye en la relación empresa–consumidor. ¿Cuáles cree que son los principales desafíos que enfrentarán las empresas en materia de privacidad y transparencia al ofrecer servicios digitales?

Uno de los grandes acontecimientos contemporáneos en la sociedad chilena es la masificación del consumo. Una de las peculiaridades de ese fenómeno es que los ciudadanos despliegan su autonomía y su individualidad también en la selección de los productos. El consumo -para decirlo de otra forma- es un acto de autoafirmación de proyectos de vida. Por lo que el acto de consumo arrastra hasta el mercado elementos de la subjetividad profundamente valiosos para los individuos. Pensar en el consumo como un acto meramente transaccional pasa por alto buena parte de los motivos subjetivos que lo alientan.

Cuando se practica el consumo en sede digital, se tensiona el cuidado de la ciudadanía. No cabe duda que no es deber del mercado proteger los derechos de las personas. Sostener lo anterior importaría no comprender su naturaleza. La responsabilidad social de las empresas es valiosa justamente debido a no es propia de su índole, sino que es una elección. No debe confundirse la tarea de garantizar los derechos que es propia del Estado con el deber colectivo de no vulnerarlos.

Sin perjuicio de ello, la empresa no puede ejercitar actualmente las tareas que le son propias infringiendo los derechos de los consumidores o descuidando el cumplimiento de la ley. Sostener lo contrario sería no entender prácticamente nada de la manera en que contemporáneamente se relaciona el Estado con el mercado, y este último con los consumidores. Hoy -probablemente como nunca antes- lesionar los derechos de los consumidores e incumplir la ley es el peor de los negocios.

Las empresas que sean capaces de diseñar procesos operativos en que el control de su información por el consumidor sea genuino, es decir que exhiban al consumidor una cultura de cumplimiento en la materia, obtendrán ventajas comerciales respecto de quienes no lo hagan. Es esperable que los consumidores dentro de poco prefieran a los proveedores que gestionen mejor sus datos personales.

4. Muchas prácticas comerciales actuales —como personalización, perfiles, segmentación o publicidad dirigida— se basan en datos personales. ¿Qué límites y garantías deberían establecerse para que estas prácticas cumplan los estándares de trato justo y no se transformen en abusos hacia los consumidores?

Ya se mencionó que no es posible imaginar el funcionamiento -en este caso- del mercado sin gestionar permanentemente altos volúmenes de datos personales. Esta gestión de datos de los consumidores no es sólo fuente de riesgos de develación de información cuya administración lastimaría al individuo. Si se la gestiona correctamente -cosa distinta- permitirá al consumidor sobresalir de la masa y ser vislumbrado por el proveedor sin que importe demasiado cuán sumido se encuentre en el colectivo. Esta es una paradoja que no se ha subrayado.

El gran desafío que el comercio electrónico impone al derecho a la privacidad es permitir que el consumo siga siendo una manifestación de la autonomía individual sin depreciar la limitación cognitiva que es estructural a este derecho.

En ese orden de ideas, es posible imaginar que el equilibrio pende de tomarse en serio el derecho de las personas a controlar la información que se dispone de ellas. Si los individuos son capaces de tomar decisiones de consumo basadas en las condiciones que el proveedor le suministre para el control de su información, desechando aquellos que estén por debajo de sus expectativas en la materia, el mercado tendrá los incentivos para incluir este derecho en su oferta agregada.

Es fácil imaginar que las empresas que hagan bien el trabajo de gestionar los datos personales bajo los estándares exigidos por el consumidor serán más exitosas que las que no lo hagan. Para decirlo de otra forma, un consumidor autónomo y seguro de sí, tendrá una menor inclinación a perdonar a la empresa que lo lastime en la protección de su información.

5. Desde el punto de vista del derecho del consumidor, ¿cómo evalúa el equilibrio entre innovación digital y protección de datos? ¿Qué buenas prácticas deberían adoptar las empresas para cumplir con ambos regímenes regulatorios sin afectar sus modelos de negocio?

El gran desafío que enfrenta el cumplimiento normativo, también en esta materia, es armonizar la necesidad de prevenir conductas de riesgo con la capacidad de las empresas de hacer negocios. Esto es crucial si se considera que Chile tiene las condiciones para que la innovación tecnológica empuje la economía.

La calidad del internet disponible -amplios sectores del territorio tiene 5G-, la inserción de la IA en la actividad económica, entre otros, constituyen un ambiente propicio para hacer más negocios. Esas condiciones no deben ser minimizadas. Ellas permiten prospectar que el desarrollo de negocios en ambiente digital -como las firmar legales IA- no serán socialmente excluyentes. Para un país tan concentrado demográficamente es una oportunidad cuyo valor es difícil de exagerar.

Aquí la competencia en materia de protección de datos es la respuesta. Como mencioné, es posible estimar que los individuos tomarán decisiones de consumo también basados en la calidad de la conducta empresarial en la gestión de sus datos personales. Por ello, las empresas tenderán a incorporar y retener talento profesional que comprenda esos requerimientos, de manera tal que puedan diseñar procesos operativos y productos que en su totalidad satisfagan las expectativas de los clientes en la materia.

Por ello, una empresa que quiera ser exitosa en el futuro debe empatizar con el cliente en esta materia. Esa empatía está presente en prácticas como la elaboración de términos y condiciones que enfaticen -con lenguaje simple- el derecho del consumidor para controlar su información.

No menos importante es que dentro de la empresa se habite un ambiente de genuino cumplimiento de las normas. Las meras puestas en escena y los modelos de cumplimiento de «papel y tinta» no sirven de mucho. Desde luego una regulación interna robusta en la protección de datos es crucial. Sin embargo, las instituciones son muy proclives a desarrollar y premiar el «arte de cumplir las reglas» generando verificadores, sin que ello esté acompañado de una genuina convicción de obligatoriedad de las normas.

En ese orden de ideas, los gobiernos corporativos y el liderazgo de la alta dirección de la compañía, son cruciales. Usted podría someter a una empresa a un régimen estricto de capacitaciones periódicas, pero nada será más penetrante en su conciencia ética que una gerencia que resiste la aversión a la pérdida y decide no hacer un negocio para proteger los datos de los consumidores. Si la compañía declina una oportunidad porque le parece dudoso el origen de una base de datos o su potencial contraparte tiene un historial de incumplimientos en la regulación de protección de datos, transmite a su personal un mensaje que no cabe ni en una vida plagada de capacitaciones.

6. La creación de la Agencia de Protección de Datos supone un cambio institucional significativo. ¿Cuáles serán, a su juicio, los desafíos iniciales más relevantes para su implementación, tanto en capacidades técnicas como en criterios de fiscalización?

En el ámbito administrativo, no debe olvidarse que en materia de consumo, el SERNAC puede ejercer sus atribuciones en materia de protección de datos personales en lo que no sea competencia de la Agencia de Protección de Datos Personales («APDP»). Ello ocurrirá -por ejemplo- en las vulneraciones a las normas de protección de datos que al mismo tiempo incumplan los deberes del proveedor o vulneren los derechos de los consumidores.

En lo que respecta a la APDP, es esperable que sus primeros desafíos sean en materia regulatoria. Debe recordarse que la ley le entrega potestades para dictar instrucciones y normas generales, lo mismo que para interpretar administrativamente la regulación sectorial. Conforme la experiencia acumulada en el resto de los sistemas de referencia, esa regulación es la que terminará siendo primariamente fiscalizada y -consecuencialmente- dará lugar a los procesos sancionatorios.

Desde el punto de vista jurídico constitucional, esa regulación es la que deberá ser escrutada en al menos dos sentidos. El primero, es la reserva legal. Es importante reiterar que la Constitución dispone que la regulación sobre protección de datos personales es materia de ley. Por ello, las normas administrativas inscritas en la potestad reglamentaria no pueden invadir la regulación legal. Ello afectaría la supremacía constitucional y -en la misma medida- la separación de funciones. En segundo lugar, las interpretaciones administrativas que se acaban de mencionar no deben afectar los derechos fundamentales de los sujetos regulados. Considerando que el tratamiento de datos desde la perspectiva que se viene analizando incumbe a todos los que hagan tratamiento de datos personales, es fácil imaginar que una interpretación desatenta o excesiva afecte posiciones iusfundamentales relativas -por ejemplo- al derecho de propiedad, a la igualdad ante la ley o -incluso- al contenido esencial de los derechos.

No debe pasarse por alto que los sujetos imperados por la APDP son las personas naturales o jurídicas que hagan tratamiento de datos personales. Como se ha señalado, la masividad del tratamiento de datos y que éste es cualquier operación que se haga con ellos, pone a todo aquel que haga tratamiento bajo las potestades de la Agencia. No logro imaginar una agencia regulatoria | sancionatoria que tenga más sujetos imperados que ésta. Es un asunto que penosamente no se ha destacado lo suficiente.

7. En el sector público, el tratamiento de datos personales está profundamente entrelazado con la provisión de servicios digitales. ¿Cree que los organismos del Estado están preparados para aplicar los nuevos estándares legales? ¿Cuáles son las brechas más evidentes?

Para el Estado, el tratamiento de datos personales cubre espacios mucho más profundos y extensos que la provisión de servicios digitales.

Es una gran noticia la transformación digital del Estado. Si usted conversa con chilenos que hace poco viven en Europa por ejemplo, escuchará un lamento a coro sobre lo analógico y tedioso que es hacer trámites estatales en países tan desarrollados como España, Italia o Alemania. Por cierto que existen excepciones como Estonia que es un líder mundial en la digitalización. Sólo al salir del país advierten la cantidad de trámites no presenciales que gracias a la digitalización del Estado se pueden realizar en Chile. Sin perjuicio de que las municipalidades serán un polo de dificultades para su consolidación, hoy gestionar la relación con el Estado en ambiente digital es una feliz realidad.

Esto es una gran noticia para todo el ciclo de las políticas públicas. Me refiero al diseño, implementación, evaluación y corrección de la iniciativas, no sólo del Ejecutivo, sino del Estado en general. Con el acceso estatal a los datos personales y la transformación digital del Estado, las políticas públicas se pueden monitorear casi en tiempo real.

La paradoja es que mientras mayor sea la penetración de la digitalización de la gestión privada y pública, mayor será la dependencia de servicios de internet. Por ello el Estado, especialmente en materia de telecomunicaciones, tiene un rol esencial en la supervigilancia del suministro continuo de este servicio.

Otro aspecto crítico es el tratamiento de datos dentro del aparataje estatal. Quizás el elemento central en la transformación digital del Estado sea el que justamente imponga mayores riesgos al tratamiento de datos personales: la interoperabilidad. Debe recordarse que el responsable -privado o público- de los datos personales debe guardar secreto acerca de los mismo. Asimismo, los funcionarios públicos tienen obligaciones estatutarias sobre el secreto de la información de que tomen conocimiento en cumplimiento de su función. Por ello podría pensarse que el secreto de los datos personales está a resguardo, por las potenciales sanciones disciplinarias y penales que podrían sufrir los funcionarios públicos. No es así. El problema es la ciberseguridad.

La interoperabilidad permitirá que los datos personales circulen por todo el aparataje estatal. El problema es que los niveles de seguridad y de protección de la infraestructura informática en el Estado es asimétrico en niveles hoy inconmensurable. Un dato personal podría pasar desde una agencia estatal altamente preparada para enfrentar un ciberataque o una filtración a otra que no cuente con ninguna o escasa protección en la materia. Como si lo anterior no fuera bastante, la evidencia indica altos niveles de resistencia institucional en las agencias públicas respecto de la interoperación digital y una modesta cultura de prevención en ciberseguridad.

Esto podríamos tener que tratarlo en otra oportunidad, pero incluso la labor jurisdiccional tendrá la tarea de adecuarse. Hoy prácticamente todos los tribunales tienen disponibles la comparecencia digital. Para el acceso a la justicia esto es una revolución que se destaca poco. Sin embargo, para conocer y fallar los conflictos sobre asuntos jurídicos de índole digital y sobre la protección de datos, se requerirá un período de aprendizaje que podría tardar. Esto está recién comenzando.

8. Desde el derecho administrativo y contencioso-administrativo, ¿qué impacto anticipa en la relación entre ciudadanos, empresas y el futuro órgano fiscalizador? ¿Podremos esperar un aumento relevante de reclamaciones y litigios?

Un poco antes, describí a la sociedad chilena contemporánea como un conjunto de individuos moldeados por la expansión del consumo. A ello debemos agregarle otro elemento singular: la masificación de la educación. Es poco probable que hayamos asistido a otro momento de nuestra historia con niveles tan altos y extensos de instrucción. Ambos procesos cincelan masas altamente seguras de sí y críticas de su entorno. Por supuesto que enfrentar esta nueva textura social con el mismo Estado, no es cosa fácil. Los acontecimientos de los últimos 10 -pero especialmente de los últimos 5- parecen demostrarlo. Sin embargo, ello es una oportunidad para el Estado, que no debemos permitir que se desperdicie.

Una tarea escrita a fuego para el Estado ha sido crear las condiciones para que los ciudadanos encuentren en la vida en común aquello que se necesita para su desarrollo de toda índole. Para el caso que nos ocupa, es crucial que el Estado sume al esfuerzo material de digitalizar su gestión y regulatorio de fijar límites formales al tratamiento de datos personales, otro de naturaleza intelectual. Es imperioso que el Estado ilustre a las audiencias de toda clase, en aquello que es necesario para que el tratamiento de los datos personales sea un medio que contribuya al fortalecimiento del individuo y de la sociedad. Sujetos conocedores tanto de sus derechos como de la conexión de éstos con sus propios intereses vitales, constituyen en sí un aliciente para el cumplimiento normativo.

Una ciudadanía consciente de todo aquello que lo asiste en la protección de sus datos personales es el principal factor protector ante los excesos públicos y privados. Hoy día no es posible imaginar la interacción pública con ciudadanos enemistados o descontentos con el Estado. Esta tarea no puede ser soslayada por la APDP.

Los pronósticos no son un buen método para prepararnos. El comportamiento pasado -aunque no es infalible- resulta ser más racional. Las grandes reformas administrativas regulatorias e institucionales de los últimos 20 años no dieron lugar a masas enfervorizadas que en tropel atosigaron a las agencias administrativas y a los tribunales de justicia. La Ley de Transparencia es un buen ejemplo de ello. Desde dentro de la Administración, en la víspera de su implementación se fantaseaba peyorativamente con una ola de peticiones de acceso a información que detendría la gestión. Nada de eso ocurrió. Por supuesto que nadie quiere que todo quede como está. Este esfuerzo regulatorio, institucional y cultural, debe producir mejoras. Pero conforme nuestra historia y cultura republicana todo debiera suceder en orden.

9. La ley introduce obligaciones sobre consentimiento, derechos ARCO ampliados y deberes de información. ¿Cuáles considera que serán los puntos más complejos de implementar para las empresas y servicios públicos en el corto plazo?

Los factores culturales y operativos son cruciales.

En la técnica del complimiento existe un término muy poco ortodoxo pero elocuente: el cumplimiento de casilla (check box). Si las compañías y los servicios no se toman en serio el cumplimiento de estas reglas, observaremos que los trabajadores y funcionarios se harán expertos -quizá ya lo son- en producir y mover papeles. En sí ello no es cumplir la ley, sino caer en una trampa: cumplir los indicadores.

El éxito de esta regulación depende del factor cultural. Por cierto, una regulación vigorosa y bien construida, lo mismo que una sensibilización sincera y continua, son importantes. Pero sólo trabajadores y funcionarios sensibles y comprometidos con la evitación de los riesgos de incumplimiento, que comprenden la naturaleza de sus acciones, pueden modificar genuinamente los comportamientos con perspectiva de mediano y largo plazo.

La resistencia al cambio es la primera barrera que se debe sortear.

10. Finalmente, profesor, ¿cómo proyecta usted el futuro de la protección de datos en Chile? ¿Estamos frente a un cambio cultural profundo en la forma en que ciudadanos, empresas y el Estado entienden el valor de la información personal?

Los cambios culturales no se producen por el mero establecimiento de una regulación. Por cierto que es importante la calidad (autoridad) de la regulación. Debe transmitirse a la ciudadanía que la regulación alienta valores importantes y que la solución por el Estado a los problemas es mejor que aquella que ellos mismos se podrían suministrar. Pero la experiencia demuestra que eso no es suficiente.

Es posible que la ciudadanía sepa realmente lo que necesita sólo cuando lo enfrente. Es por ello que la difusión de esta nueva institucionalidad tiene una importancia difícil de exagerar. También la acción enérgica y proporcional de las agencias estatales resulta esencial. Las personas cumplen las normas en tanto tengan una convicción de su obligatoriedad. Es por ello que el incumplimiento tiene un efecto multiplicador. Si ellos advierten que esta regulación no se cumple, que la institucionalidad no funciona, seguidamente su convicción sobre la necesidad de observar la regla decaerá. Desde luego esto debe ser evitado. En ello la fiscalización y las sanciones aplicadas por la APDP deben ser oportunas, racionales y bien difundidas.