Sobre la exclusión de la responsabilidad proactiva o demostrada en la nueva Ley de Protección de Datos Personales (DP) N° 19.628

1. Jurídica y técnicamente el análisis, no obstante el cambio positivo para la futura Ley N° 19.628, nace también el deber de trabajar para subsanar sus deficiencias, sobre todo si son basales o esenciales y se apartan drásticamente de los estándares internacionales. Ya se ha hecho porque la voluntad legal (de la Comisión Mixta del Congreso) pasó por sobre el principio de la autodeterminación informativa, para permitir que los corredores de listas u operadores de carteras comercialicen la información patrimonial positiva de sus titulares sin consentimiento, y eso será trascendente. Toca ahora intentar despejar el porqué, para Chile, ex profeso y a sabiendas se omitió consagrar el Principio de la Responsabilidad Proactiva o demostrada[i].

2. Desinformando directamente se escribe todo lo contrario a nuestra hipótesis, calificando la supuesta pero inexistente consagración del principio de la responsabilidad proactiva o demostrada en la nueva ley de PDP como uno de sus mayores logros[ii]. Contrastado con quienes saben de protección de datos en base a un expertice de años, se releva que en Chile con las modificaciones a la Ley N° 19.628 sobre protección de datos personales –en concreto- se ha pasado desde la ilusión a una gran oportunidad perdida[iii].

Esta modificación, entonces, no ha sido una forma de llamar a las empresas para abrazar estándares más altos de cumplimiento en materia de protección de datos, como también se declara. Antes, muy por el contrario, fue una opción ex profeso del legislador y directamente no garantista, debatida en Comisiones y a instancias de asesores que reivindican la autoría de los cambios, la que vino a perjudicar a los titulares de datos en particular, la que ha menoscabado la nueva institucionalidad de la PDP y la que –a los responsables de los tratamientos- les suprime –drásticamente- una obligación esencial y de muy alto costo para implementarse. Ergo, en caso de brechas de seguridad[iv] o de tratamientos indebidos, la carga permanente e ineludible de la prueba ya no está gravando a quienes operan con el tratamiento de miles de DP y pierden los titulares y propietarios de la información nominativa.

3. Ha quedado consagrado en Chile el Principio de Responsabilidad bajo la definición del artículo 3°, que dispone, de una forma minimalista, que quienes realicen un tratamiento de los datos personales sólo serán legalmente responsables del cumplimiento (i) de los principios contenidos en este artículo y (ii) de las obligaciones y deberes de conformidad a la ley.

**La interpretación jurídica es y será clara y fundada (la lectura de las Actas legislativas lo valida o corrobora): a diferencia de la norma de referencia del Derecho Comparado, en Chile no se mantuvo el tenor literal del RGPD para no exigir el parámetro de la responsabilidad proactiva o demostrada. Incluso más, el texto descartado, aludía a que el responsable del tratamiento sería responsable del cumplimiento de la ley “debiendo ser capaz de demostrarlo”.**Desde esta perspectiva, tienen razón los analistas europeos cuando concluyen que en Chile –nuevamente, igual que en 1999- prevaleció la regulación del uso económico del dato por encima del derecho a la autodeterminación informativa.

Existe una línea de trabajo futuro, que debe ser dogmáticamente abordada, y que se refiere a los fundados cuestionamientos que ya se han hecho, antes de la entrada en vigencia de la Ley N° 21.719, a las modificaciones. Contra el exitismo de la mayoría, en especial de los operadores políticos y jurídicos que las presentan como el resultado de la gestión de la Administración de turno al año 2024, los especialistas europeos levantan el que la LPDP debe ser trasladada desde el ámbito de la ilusión al de la oportunidad perdida. En concreto, se repara directa y asertivamente el que una cosa es la necesidad de tener una nueva ley que consagre y dé lustre al derecho fundamental a la protección de datos personales, y otra cosa muy distinta es que, aprovechando la iniciativa, se menoscabe a los ciudadanos la potencialidad de una ley moderna.

4. La definición de una actividad de tratamiento es un paso fundamental, que exige tener claridad a la hora de determinarse las finalidades del tratamiento de datos personales. Se afirma que puede llegar a considerarse una de las mayores exigencias que se derivan del Reglamento General de Protección de Datos. El supuesto base debería ser que corresponde a cada corporación, de acuerdo con el principio de responsabilidad proactiva o accountability -establecido en el artículo 5.2 del RGPD más no –ex profeso- en la letra e) del artículo 3° de la Ley N° 19.628[v]-, decidir responsablemente el nivel de agregación o segregación (la cantidad de datos especificados o detallados) para elaborar el registro de actividades de tratamiento[vi], y debiendo valorarse hasta qué punto esa agregación o segregación se corresponde con la identificación de finalidades, bases jurídicas y grupos de individuos distintos. Uno de los objetivos basales del llamado RAT (o el Registro de Actividades de Tratamiento) es que tanto el responsable como los titulares de DP puedan tener, en su caso, un conocimiento efectivo de aquellos que una organización realiza.

5. Respecto al Principio de responsabilidad, entendida y establecida como proactiva, comprende la necesidad de que el responsable del tratamiento aplique medidas técnicas y organizativas de seguridad apropiadas[vii], a fin de garantizar y poder demostrar (se tiene la carga jurídica y de gestión) que el tratamiento se realiza conforme con la normativa. También se le denomina (es el caso de Colombia) de “responsabilidad demostrada”[viii], porque obliga a los responsables a mantener diligencia debida de manera permanente para proteger y garantizar los derechos y libertades de las personas naturales (o físicas) cuyos datos son tratados en base a un previo análisis de los riesgos (probabilidad + nivel de impacto), que el tratamiento representa para el Derecho Fundamental a la Protección de Datos Personales.

Precisamente en Colombia, el deber del responsable se enmarca bajo el principio de “accountabillity”, y se considera que su adecuada implementación no sólo beneficia la protección de los derechos de titulares de los datos personales, sino que además a las organizaciones responsables de tratamientos. Estas pueden, por ejemplo, (i) maximizar el uso inteligente de la información, (ii) aumentar su nivel de competitividad y (iii) consolidar una buena reputación empresarial o institucional[ix]. Explica Londoño que “…los responsables y los encargados del tratamiento de datos en Colombia tienen la obligación de demostrar la implementación de medidas efectivas e idóneas para garantizar el respeto de los derechos de los titulares de datos”, medidas que además son sujetas de revisión y evaluación por parte de la autoridad nacional de protección de datos.

Ha sido un Decreto colombiano N° 1377 de 27 de junio de 2013, incorporado en el Decreto marco N°1074 de 2015, el que establece obligaciones para aquellos responsables del tratamiento de datos personales, los que deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012. Y ha sido la Superintendencia de Industria y Comercio la autoridad de protección de datos en la República de Colombia, la que por medio de la delegatura de datos personales desarrolla el entendimiento que debe dársele al principio. En esencia, que la obligación consiste en implementar medidas apropiadas, efectivas y verificables que permitan evidenciar la observancia de las normas, en definitiva, “…un escenario de menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales”.

6. El trabajo es complejo y por eso debían exigirse altos estándares para cumplirse en forma demostrada. En términos concretos de gestión, técnicamente y desde la perspectiva de la SI o seguridad de la información, siempre debe existir un equipo que asuma el desarrollar, implementar, verificar y supervisar la gestión del tratamiento de datos personales de la(s) entidad(es) bajo su ámbito, garantizando la adecuación a la legislación y normativa vigente en materia de protección de datos y, por extensión, en materia de seguridad de la información. Previo a ello, es necesario entonces entender con claridad los contenidos y alcances del marco regulatorio, al menos de las Leyes N° 19.628 y N° 21.663, y para hacerlo en forma idónea era esencial (como en todas las normas de Derecho Comparado) el piso mínimo de la responsabilidad proactiva o demostrada.

Todo puede referirse o la proactividad se describe en forma conceptual. En efecto y por ejemplo: (i) los responsables corporativos, sea en una empresa privada o en un servicio público, deberán velar y garantizar que se implantan las normas de seguridad y de tratamiento de DP, sea mediante cláusulas informativas de clientes, proveedores y empleados, contratos de encargos de tratamiento, compromisos de confidencialidad; etc.; (ii) deberán ser capaces de supervisar y asesorar en el análisis, diseño e implantación de medidas de protección adecuadas para mitigar los riesgos en los tratamientos en cualquiera nueva aplicación, sistema o proyecto, garantizando lo que anteriormente se ha explicado como la confidencialidad desde el diseño y por defecto[x]; (iii) tendrán que asumir la mantención y el control de las comunicaciones de datos personales y transferencias internacionales de datos, garantizando que se cumplen con las garantías que establece la normativa; y, (iv) serán responsables de garantizar, en colaboración con las áreas de negocio afectadas, el desarrollo y revisión de normas, procedimientos operativos y de control, necesarios para llevar a cabo la implantación de las medidas relacionadas con la protección de datos de carácter personal y la normativa relacionada con la seguridad de la información.

7. Más ampliamente, la real voluntad de regular para validar el uso comercial o económico de los DP por sobre la verdadera tutela de la Autodeterminación Informativa, ha quedado en evidencia, además: (i) porque se buscó permitir el desarrollo económico del mercado; (ii) porque la Agencia estará bajo la tutela y súper vigilancia del Ministerio de Hacienda y no del de Justicia; (iii) porque se ofrece una opción de certificación, registro y supervisión de los modelos de prevención de infracciones en base a los criterios reglamentarios del mismo Ministerio; y, (iv) porque el artículo 3°en materia de Principios sólo alude –ex profeso y no en forma imputable a un error terminológico o a una omisión casual ante lo esencial del tema- a una responsabilidad legal general por el cumplimiento de las normas (principios, obligaciones y deberes), y omite aludir expresamente a la responsabilidad proactiva o demostrada que exige el Derecho Comparado[xi].

8. En definitiva, se repite el mal karma y el errado diseño de la norma anterior[xii], en el sentido de suprimir uno de los pilares esenciales del GDPR y de toda ley moderna de DP. Marrero alude a que la historia parece condenada a repetirse nuevamente en Chile[xiii].

Para relacionar temas, cuando el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativo a la protección de las personas naturales en lo que respecta al tratamiento de datos personales, tiene como objetivo alinear la protección de los datos personales con la evolución de actividades de tratamiento, que son cada vez más complejas, ello suponía implementar un modelo de cumplimiento denominado “accountability” o “de responsabilidad proactiva”, orientado a tratamientos y donde su gestión está basada –precisamente- en el enfoque al riesgo , para facilitar la integración de gestionarlos en los procesos y en la gobernanza de las entidades.

Parafraseando, lo que debía establecer con claridad el futuro artículo 3° de la Ley N° 19.628 modificada era (i) que responsables y encargados del tratamiento de datos tendrían la obligación de demostrar la implementación de medidas efectivas e idóneas para garantizar el respeto de los derechos de los titulares de datos; (ii) que estas medidas estarían sujetas a la revisión y evaluación permanente por parte de la autoridad de protección de datos; y, (iii) que la implementación del principio se traduciría en una atenuante en la imposición de sanciones[xiv]. (Santiago, 3 de mayo de 2025)

[i] El paso siguiente, será evidenciar que existe en el artículo 49 de la nueva LPDP una prueba concluyente de la lejanía con el claro enfoque a riesgos que no tiene como objeto principal, el enfoque a riesgos a derechos y libertades y la correspondiente rendición de cuentas que trae consigo el modelo del RGPD. En efecto, la medida estrella que la reforma de la Ley N° 19.628 ha traído consigo en el artículo 49, de invitar a la implantación de un modelo de prevención de infracciones, en el propio título del artículo pone el foco desde el punto de vista de los obligados a su cumplimiento, no tanto en el riesgo a las personas y a sus derechos y libertades sino en la protección de posibles sanciones por incumplimiento formal de los requisitos y principios de la normativa. Es decir, es la perspectiva del compliance corporativo.

[ii] ILLANES, Carla (2025): Ley N° 21.719 y el futuro de la protección de datos en Chile: El desafío de elevar los estándares. Disponible en la URL https://lexlatin.com/opinion/ley-21719-proteccion-datos-chile-desafio-elevar-estandares. En concreto, se alude a que sus disposiciones exigirían que las organizaciones adopten una visión proactiva y preventiva en el manejo de datos, integrando el principio de responsabilidad proactiva o accountability en sus procesos, algo completamente novedoso en la regulación chilena. Y a que de esta forma un pilar fundamental de esta ley es el principio de responsabilidad proactiva.

[iii] MARRERO TRUJILLO, Leocadio (2025): La Ley de Protección de Datos Personales en Chile: de la ilusión a la oportunidad perdida. Disponible en Revista LA LEY Privacidad Número 23, enero-marzo, ISSN 2659-8698, LA LEY. Sobre la norma original acota: “…la regulación nació, en el fondo, para regular el uso económico del

dato y no pensando en la consagración del derecho a la autodeterminación informativa; …el resultado ha sido la instauración de un marco jurídico altamente permisivo, débil en cuanto a las posibilidades de control que pueden realizar tanto los titulares de datos como terceros y limitado en cuanto a la posibilidad de aplicar sanciones a las infracciones a los deberes que la ley establece”.

[iv] La ley N° 21.663 define “incidente de ciberseguridad” como todo evento que perjudique o comprometa la confidencialidad o integridad de la información, la disponibilidad o resiliencia de las redes y sistemas informáticos, o la autenticación de los procesos ejecutados o implementados en las redes y sistemas informáticos. Y claro, otra cosa es un ciberataque, también definido legalmente como el intento de destruir, exponer, alterar, deshabilitar, o ex filtrar u obtener acceso o hacer uso no autorizado de un activo informático.

[v] Resulta más que relevante, por ende, el proceder a la definición adecuada de las actividades de tratamiento y a la documentación de los análisis realizados, dejando trazabilidad de los mismos y de las conclusiones que los soportan, para poder garantizar dicha accountability.

[vi] Sin mencionar el término “RAT”, suele aludirse al primer y necesario paso para realizar un diagnóstico interno, identificar qué datos se están recolectando, cómo se gestionan, quiénes tienen acceso a ellos y qué medidas de protección y control concretas (a la manera de la ISO 27002) se están implementando.

[vii] El también deber de seguridad determina que, en el tratamiento de los datos personales, el responsable debe garantizar estándares adecuados de seguridad, protegiéndolos contra el tratamiento no autorizado o ilícito, y contra su pérdida, filtración, daño accidental o destrucción. Y determina que las medidas de seguridad deben ser apropiadas y acordes con el tratamiento que se vaya a efectuar y con la naturaleza de los datos.

[viii] LONDOÑO, Alejandro (2021): El principio de responsabilidad demostrada: su desarrollo en la Superintendencia de Industria y Comercio. Disponible en https://gecti.uniandes.edu.co/el-principio-de-responsabilidad-demostrada-su-desarrollo-en-la-superintendencia-de-industria-y-comercio/.

[ix] Incluso más, la autoridad de datos ha venido implementando el principio de Responsabilidad Demostrada como un criterio de disminución de la sanción impuesta a las compañías infractoras de los principios y deberes que impone la Ley 1581 de 2012. Es el caso de la Resolución Nª 27708 de 2017, en la que se deja en evidencia la disminución de treinta (30) salarios mínimos legales mensuales vigentes a la sanción, por adelantar un proceso “tendiente a cumplir las obligaciones” legales. Pero claro: la crítica –formulada- es que no puede ser sujeto de una reducción de sanción aquel responsable que realizó esfuerzos pero no logró la implementación de verdaderos mecanismos (efectivos e idóneos) para garantizar la protección del derecho de habeas data.

[x] Sobre el particular, puede revisarse lo analizado en https://www.academia.edu/128161979/PROTECCI%C3%93N_DE_DP_DESDE_EL_DISE%C3%91O_Y_POR_DEFECTO_Par%C3%A1metros_conceptuales_para_su_aplicaci%C3%B3n_en_Chile

[xi] Técnicamente, se ha eliminado así el llamado accountability principle por el de responsability, que en modo alguno son similares.

[xii] De la ley de 1999 se dice: “…su tibieza fue su gran pecado y pasó al lado oscuro, es decir, al baúl de los recuerdos y a ser una norma desconocida y no ocupada para la toma de decisiones en las organizaciones públicas y privadas; no tenía relevancia y no aparecía, ni aparece, en las matrices de riesgos legales a satisfacer por las organizaciones obligadas a su cumplimiento”. Nada de seguir responsabilizando a las nuevas opciones tecnológicas como Internet y a calificarla de “pionera”.

[xiii] Señala en concreto, que “…una cosa es la necesidad de tener una nueva ley que consagre y dé lustre de forma valiente a este derecho fundamental y otra cosa distinta es que, aprovechando la iniciativa, se hurte, con habilidad, a los ciudadanos de la potencialidad de una ley moderna”

[xiv] Remolina Angarita, Nelson. Álvarez Zuluaga, Luisa Fernanda. (2018): Guía GECTI para la implementación del principio de responsabilidad demostrada –accountability– en las transferencias internacionales de datos personales. Recomendaciones para los países latinoamericanos. Universidad de los Andes (Bogotá, Colombia). Facultad de Derecho. GECTI, 1-58.