Identidad Digital y Derecho. Las claves únicas son datos personales y el sistema estatal que las soporta y gestiona no es un bien nacional de uso público

Primero, el contexto. En simple, nos instalamos en el contexto mayor de cómo acreditar la identidad digital (o ID) de personas naturales y de los representantes de las jurídicas o fictas cuando operan en redes y servidores o plataformas. En este ámbito, por ejemplo, sólo mediante credenciales previamente generadas e idóneas (ciberseguras) se debe poder acceder a un sistema de banca digital; y, sólo alguien autenticado previamente debería poder ingresar al sitio web del SII a emitir facturas electrónicas.

Promocionado como un sistema de escala mundial para la autenticación de identidades digitales, sólo cuantitativamente, en base a los 16 millones de usuarios existentes gracias a la pandemia por COVID, nadie reparó –salvo la ICA de Valparaíso[i]– que mediante Claves Únicas (en adelante CU) se eludió la legalidad técnica y jurídica que exigían los permisos de desplazamiento obtenidos en el sistema de comisaría virtual de Carabineros de Chile, siempre generados sin firma electrónica avanzada o sin cumplir con la solemnidad que por ser un instrumento público exige el artículo 4° de la Ley N° 19.799. Pero ya pasó el tiempo de pandemia y su enorme masificación no es sinónimo, en forma alguna, de robustez operativa y jurídica.

Bajo un análisis promocional cuantitativo, se elude reconocer que técnicamente la CU es un sistema no robusto desde el punto de vista de la seguridad, y diversos casos lo siguen demostrando[ii]. Calificado por sus operadores técnicos como un sistema “revolucionario”, ningún sistema comparado lo toma como modelo por sus carencias, en especial, por no poseer un factor adicional de verificación de las credenciales de quien se autentica digitalmente y admitir, por ende, suplantaciones.

Para visualizar, un símil. Cuando en la década de los 70 se desarrolló el RUT, bajo la lógica controladora de los sistemas estatales socialistas, en Chile nadie reclamó por la falta de no contemplarse un factor de verificación, que es per se una debilidad y que en otros ámbitos, por ejemplo el de los sistemas financieros, sería imperdonable y una muestra grave de negligencia operativa. Pero la automatización y la conectividad era baja y su proyección no se podía visualizar. Hoy, las Administraciones Tributarias comparadas, que tienen el gran freno de no poder contar con identificativos exclusivos y centralizados de ID, porque se consideran inconstitucionales y atentatorios contra la privacidad, declaran envidiar el sistema chileno.

Segundo, el origen del sistema de CU. El año 2013 fue esencial. La Administración de turno gatilló que el SRC cediera, sin habilitación legal y mediante una mera resolución exenta, sus competencias jurídicas exclusivas, propias y privativas de Derecho Público con el sistema de claves únicas. La denominada plataforma de OpenID Connect o Clave Única, sin blindaje legal, se traspasa mediante cesión de competencias de Derecho Público –contenidas en su Ley Orgánica- que hace el Registro Civil de Chile en un Decreto Exento Nº 2.466, del 8 de julio de 2013, que aprueba un Convenio de Cooperación para la implementación del sistema Clave Única suscrito con el Ministerio Secretaría General de la Presidencia. La colaboración se tradujo, en definitiva, en una completa sustitución de nuevas funciones públicas, no habilitada por ley expresa. Téngase presente: colaborar y asesorar nunca será lo mismo que reemplazar.

Tercero, posibles interrogantes. ¿Cuál es su marco jurídico base?; ¿se resguarda en la gestión de CU en Chile el Derecho Fundamental a la protección de los datos personales “credenciales de sus titulares”?; ¿el sistema de CU fue transformado válida y digitalmente al modificarse la Ley de Procedimientos administrativos N° 19.880 el año 2020?; ¿el sistema está a la par de los desarrollos de autenticación de ID comparados?; ¿resulta o no idónea su actual implementación?; ¿existe claridad sobre la responsabilidad administrativa asociada a su gestión, sobre todo cuando sus falencias generan fraudes que afectan a los usuarios que son suplantados?; ¿pueden empresas privadas pagar una tarifa para acceder al uso del sistema en beneficio propio (de hecho lo hacen y una Resolución Exenta N° 301 expresamente lo habilita[iii]), validando ellas –con confianza y certeza- las credenciales de quienes se presentan a la puerta de sus propios servidores on line como titulares de CU?; ¿es admisible que se haya construido –para la gestión estatal- un sistema con estándares técnicos no robustos, distintos a lo que se le exigen, regulan y fiscalizan para la banca o el sistema financiero?; etcétera.

Se plantean estas y otras interrogantes, y la hipótesis ahora es argumentar que lo obrado ex profeso amerita la reingeniería del sistema y la adecuación del marco regulatorio. Siempre visualizando dos perspectivas: (i) por una parte, la del sistema que las genera y gestiona y las responsabilidades administrativas asociadas, y, por la otra, (ii) la de la naturaleza jurídica de datos personales de las credenciales que cada titular activa y genera que son las CU.

Cuarto, toda clave única generada y asociada a una persona natural es, en esencia, una credencial parte del Derecho Fundamental a la Protección de Datos Personales. Lo es, porque identifica o hace identificable a una persona natural.

Quinto, la opción ex profeso de masificación y uso del sistema para fines propios por empresas particulares. En Julio del 2020,[iv] el operador político de turno explica que el Registro Civil y Gobierno Digital estaban trabajando *para tener en el cortísimo plazo una identidad digital que también sirva para el mundo privado.*A mayor abundamiento, se hizo declarando que “…la clave única ha estado radicada en el mundo público, sólo en instituciones públicas se hace autenticación con clave única, pero hemos estado avanzando aceleradamente para abrirla al mundo privado, porque las personas tienen una vida que fluye en instituciones públicas y privadas y su carnet de identidad le sirve en ambos lados, no hay ninguna razón para que la identidad digital no les sirva también en ambos mundos”.

Sexto, las tarifas cobradas para el uso del servicio de verificación de las credenciales asociadas a la clave única por empresas particulares y para abrirla a sus fines propios. Por eso, meses después, en agosto del 2020, el Estado asume, sin ley que asigne la competencia específica, el rol de prestador de servicios de certificación de ID. Ello se disfraza bajo la fórmula de la celebración de “convenios con organismos públicos y entidades privadas con el objeto de proporcionar información”. Se toma como base la Ley Orgánica del SRC; se dicta la Resolución N°301; y se deja de lado (se vulnera) la consideración de materializarse por su intermedio el tratamiento/cesión de datos personales de los usuarios y titulares para una finalidad no aprobada ni atribuida por ley específica. Era la lógica declarada de regular sin ley ni trabas parlamentarias, lo que no implica poder eludirse las responsabilidades administrativas ni las restricciones de los artículos 4° y 20° de la Ley N° 19.628 de 1999 vigente.

Por eso es inexacto que los gestores administrativos declaren hoy que el sistema sólo ha existido para su uso en el sector público.

Séptimo, un primer e irregular intento de validación ilegal del sistema. En agosto del 2023, sin ninguna habilitación legal expresa de la Ley N° 19.880, se usa el manto normativo de los procedimientos administrativos transformados digitalmente y que no alude al tema de la ID ni de las CU en su articulado, para mediante una supuesta Norma Técnica N°9, de tercer nivel y complementaria del D.S. N°4 o Reglamento de la ley, autoasignarse MINSEGPRES facultades regulatorias (en el artículo 57) y abordar la determinación exclusiva de las competencias para la gestión del sistema de CU. La CGR lo admite, sin cuestionamientos, al tomar razón de la norma.

El Ejecutivo optó por privarle una competencia exclusiva al Servicio de Registro Civil, y establecer sin base de legalidad que el Ministerio Secretaría General de la Presidencia, a través de su División de Gobierno Digital, administre la plataforma electrónica que permite la habilitación de Clave Única, la infraestructura de la plataforma, el monitoreo de su correcto funcionamiento y la validación de los datos de identificación.

Octavo, un nuevo intento genérico de validación y asignación de competencias en forma disruptiva y contraria al Principio de Legalidad. ¿O el nacimiento de un nuevo Derecho Público?. En Febrero del 2024, una Ley N°21.658 habilita sólo al operador digital del Ministerio de Hacienda para desarrollar y operar plataformas y servicios compartidos, a lo menos, de identidad digital. Pero tal plataforma no ha tenido antes ley base expresa de origen, no alude a la clave única que es competencia privativa de las funciones del SRC en Derecho Público (para que le sea privada su gestión) y no determina nuevas funciones expresas y específicas, como por ejemplo las recién creadas para el sistema y la plataforma de permisos sectoriales[v], o las de la nueva red de ciberseguridad del Estado.

Lo que se omitió en esta ley express, aprobada en sólo dos meses y sin debates jurídicos de fondo, fue establecer, por ejemplo, que “…existirá un sistema de autenticación de claves únicas centralizado o plataforma de autenticación electrónica del Estado, cuya gestión y responsabilidad será de cargo de la Secretaría de Gobierno Digital del Ministerio de Hacienda y de carácter obligatorio para su uso en todos los servicios públicos”. Como corresponde además en Derecho Público, se debía encomendar a una norma reglamentaria subordinada o de ejecución el desarrollo de aspectos concretos, expresos y específicos, no, como se hizo, mandatar para “reglamentarse todo aquello que sea necesario” y permitir hacerlo mediante el recurso de términos o condiciones de uso de una plataforma.

Esta sería la única forma admisible, en Derecho Público y con respeto del Principio de Legalidad, de crear institucionalidad jurídica y atribuir competencias y funciones en el Estado de Chile. Salvo,queda el debate jurídico abierto, que se admita en Chile un nuevo Derecho Público y Administrativo construido de la mano de normas genéricas entregadas en su aplicación al arbitrio de la Administración de turno, como ya se anotó, con facultades genéricas para reglamentar subordinadamente “todo lo que sea necesario” en base a términos y condiciones de sitios web, mismos que se permiten –al extremo- alterar las reglas generales y legales de responsabilidad administrativa.

A esta fecha además, según la ley N° 19.628, el SRC y el operador digital del Ministerio de Hacienda son –de hecho, no en derecho- corresponsables del tratamiento de datos personales de los titulares de CU, lo que requiere una habilitación legal expresa también inexistente, no una entendida como subyacente o tácita. El sistema, por cierto, en este contexto deberá ser fiscalizado por la Agencia de Protección de Datos, y se espera que ella resuelva que, además de la falta de legitimación de base o de licitud, las medidas técnicas y administrativas de seguridad implementadas a esta fecha por los responsables del tratamiento son insuficientes y carentes de idoneidad.

Noveno, las falencias técnicas y de seguridad del sistema. Ningún analista serio y responsable de ciberseguridad admitiría desarrollos de ID sin verificación de multifactor. No la contuvo tampoco el SII en su origen, pero su funcionalidad es sólo para ingresar al sitio corporativo y existen pasos posteriores de validación interna. La opción “contractual” de trasladar toda la responsabilidad por la gestión de la clave al contribuyente titular es indiciaria, para comprometerlos con la seguridad, porque cualquier negligencia administrativa o técnica del SII al momento de autenticar la determinan normas legales y administrativas, que no son negociables ni eludibles por cláusulas eximentes. Igual ocurre con los gestores de la clave única.

*Décimo, los actuales estándares del sector público deben ser similares a los de la banca e instituciones financieras.*El sistema de clave única no los cumple, los que adicionalmente no son fiscalizados o auditados por la CGR.

Décimo primero, si de mirar legislación comparada se trata, EIDAS2[vi], Identifica[vii], el sistema clave[viii] o el reciente marco de autenticación del NIST[ix] no admiten autenticar sin factores múltiples, al menos con un mensaje de aviso y la obtención de una segunda clave enviada a un número telefónico.

Décimo segundo, las claves únicas, en concreto el sistema estatal que las soporta, no son, en modo alguno, bienes jurídicos nacionales de uso público[x], como no lo son el carné de identidad, los pasaportes o la clave tributaria. Tal calidad no la determina el simple parecer interpretativo de los operadores de la Administración de turno, lo que no es base jurídica de Derecho Público al efecto.

A la letra, “…los bienes nacionales de uso público son aquellos cuyo dominio pertenece a toda la nación y cuyo uso está destinado a todos los habitantes, como son las calles, plazas, puentes, caminos, y las playas de mar, ríos y lagos, de acuerdo con la ley del artículo 589 del Código Civil chileno. Estos bienes se caracterizan por ser inalienables (no se pueden vender), imprescriptibles (no se pueden adquirir por el paso del tiempo) e inembargables (no se pueden rematar o embargar). Su propiedad pertenece a la nación en su conjunto, no a un individuo o una entidad privada; el goce y la utilización de estos bienes están a disposición de todos los habitantes de la nación.; y su función es satisfacer necesidades comunes”.

Las claves únicas no son bienes de uso público de titularidad estatal, que están destinados al uso general de todos los habitantes de una comunidad, sino al de cada uno de los ciudadanos individualmente considerados e identificados.

Décimo tercero, las CU, tanto en cuanto datos personales y credenciales gestionadas por sus titulares o tratadas por ello, son o cedibles o susceptibles de ser encargadas para su tratamiento por mandatarios. Es lo que desde 1999 permite y legitima el artículo 8° de la Ley N° 19.628. Ergo, por un padre la usan sus hijos, se usan entre cónyuges, la gestiona un contador por sus clientes, se le cede en forma cotidiana por los cuentacorrentistas a sus ejecutivos de cuenta.

En forma muy reciente, si el titular y propietario de la CU que en forma confidencial la ha generado se la habilita a un tercero, al que mandata (habría un encargo de tratamiento) para que en su nombre consulte diversas plataformas o bases de datos y luego le genere (nominadamente) un documento comercial o un certificado que resuma y concentre perfiladamente sus antecedentes, carece de fundamento jurídico el cuestionarse su legalidad[xi]. La empresa no obliga a la habilitación para el uso de la CU, el titular u propietario lo permite contractual y libremente.[xii](Santiago, 14 de octubre de 2025)

[i] Puede consultarse en https://www.youtube.com/watch?v=p0VIOUYSvCw y https://www.diarioconstitucional.cl/2021/05/15/corte-de-valparaiso-sobreseyo-a-imputada-por-desplazarse-con-un-permiso-modificado-irregularmente/. En concreto, para descartar un delito de falsificación documental se consideró que “…el documento de que aquí se trata no es público, pues es pacífico que carecía de firma electrónica avanzada y por ende, como no se ha imputado siquiera de manera potencial la producción de un perjuicio patrimonial en contra de nadie, es de toda evidencia que el hecho por el cual se ha formalizado a la imputada es atípico, por lo que debe decretarse de inmediato el sobreseimiento definitivo y parcial que la defensa ha reclamado”.

[ii] Pueden verse en https://www.cronup.com/chile-en-alerta-fraudes-millonarios-a-traves-de-clave-unica-y-tributaria-en-aumento/

[iii] La norma, dictada por el Ministerio de Justicia, puede verse en https://www.bcn.cl/leychile/navegar?idNorma=1149400. En concreto, permite que el Director Nacional de del Servicio pueda suscribir un tipo de convenio que permita la implementación del servicio de Clave Única en los portales de las Instituciones Privadas, con la finalidad de proveer de un servicio de autenticación ya no sólo para la realización de trámites en línea del Estado.

[iv] Puede verse lo declarado en https://dflive.cl/gobierno-avanza-en-identidad-digital-unica-para-instituciones-publicas-y-privadas-2/.

[v] La ley de permisos sectoriales se refiere a la Ley N° 21.770 de Autorizaciones Sectoriales (LMAS), promulgada en Chile en septiembre de 2025, que busca modernizar y agilizar los procesos para la obtención de permisos necesarios para proyectos y actividades. Esta ley simplifica trámites, establece plazos máximos para su tramitación y crea expresamente una plataforma digital única, sin disminuir los estándares regulatorios ambientales ni técnicos.

[vi] La referencia puede consultarse en https://clientify.com/blog/crm/eidas-2-tipos-firma-electronica

[vii] La referencia puede consultarse en https://www.comunidad.madrid/identifica

[viii] La referencia puede consultarse en https://clave.gob.es/registro

[ix] La referencia puede consultarse en https://learn.microsoft.com/es-es/entra/standards/nist-authentication-basics

[x] La tesis contraria, defendida por la actual Administración, puede verse en https://www.youtube.com/watch?v=SeeJ6cCfRjo

[xi] En el caso del sistema de certificación comercial de la empresa Cualiffy, esta no asume por cuenta propia el acceso mediante clave única a diversos sitios web: el contrato supone el consentimiento previo y la habilitación para el uso de CU por sus titulares. Y su base de licitud está en la Ley N° 19.628

[xii] La opinión contraria y desinformada, no sólo referida al uso de la marca clave única, puede verse en https://www.emol.com/noticias/Economia/2025/07/24/1173093/ministerio-hacienda-clave-unica.html. No se entiende que la plataforma de la clave no era usada por la entidad privada en base a un habilitante normativo expreso para ello, para determinados casos de uso especialmente regulados, bajo determinadas condiciones de seguridad y sujeto a la fiscalización o supervisión de una entidad pública: se ingresa a ella a nombre y en representación de la persona natural.