Tratamiento de datos personales tendrá nuevo marco legal
El texto, derivado a tercer trámite, regula los principios rectores de la normativa, sus definiciones esenciales, marco de derechos y deberes, situaciones especiales y la autoridad encargada de velar por la efectiva protección de los derechos que garantizan la vida privada de las personas y la fiscalización de estas normas.
Perfeccionar las normas relativas al tratamiento de los datos personales es el objetivo del proyecto (boletines 11092 y 11144) aprobado hoy por la Sala de la Cámara y despachado a tercer trámite, al Senado.
La propuesta busca que el tratamiento se realice con el consentimiento del titular de dichos datos o en los casos que lo autorice la ley. Además, procura que se aseguren estándares de calidad, información, transparencia y seguridad.
Por otra parte, crea la Agencia de Protección de Datos Personales. Este organismo público estará encargado de velar por la protección de los datos personales.
De acuerdo a los informes de las comisiones de Constitución y de Hacienda, rendidos por los diputados Leonardo Soto (PS) y Miguel Mellado (RN), el texto define que todo tratamiento de datos personales que realice una persona natural o jurídica, incluidos los órganos públicos, debe respetar los derechos y libertades de las personas y quedará sujeto a las disposiciones de esta ley.
Este régimen no se aplicará al tratamiento de datos que se realice en el ejercicio de las libertades de emitir opinión y de informar. Tampoco al uso de antecedentes que efectúen las personas naturales en relación con sus actividades personales.
Tratamiento territorial
Esta ley se aplicará al tratamiento de datos personales que se realice bajo cualquiera de las siguientes circunstancias:
- Cuando el responsable o mandatario esté establecido o constituido en territorio nacional.
- Si el mandatario, con independencia de su lugar de establecimiento o constitución, realice las operaciones de tratamiento de datos personales a nombre de un responsable establecido o constituido en territorio nacional.
- Cuando el responsable o mandatario no se encuentren establecidos en el territorio nacional, pero sus operaciones de tratamiento de datos personales estén destinadas a ofrecer bienes o servicios a titulares que se encuentren en Chile.
Luego, la iniciativa considera un amplio marco de definiciones y de principios rectores. Estos últimos consideran que los datos sólo pueden tratarse de manera lícita y leal; deben ser recolectados con fines específicos, explícitos y lícitos; y limitarse estrictamente a aquellos que resulten necesarios, adecuados y pertinentes en relación con los fines del tratamiento.
Otros principios son: calidad, responsabilidad, seguridad, transparencia e información y confidencialidad.
Derechos
La propuesta define que toda persona tiene derecho de acceso, rectificación, supresión, oposición, portabilidad y bloqueo de sus datos personales. Tales derechos son personales, intransferibles e irrenunciables y no pueden limitarse por ningún acto o convención.
En caso de fallecimiento del titular de datos, los derechos que reconoce esta ley pueden ser ejercidos por sus herederos. Con todo, estos no podrán acceder a los datos, ni solicitar su rectificación o supresión, cuando la o el fallecido lo hubiese prohibido expresamente. Tampoco si así lo establece una ley.
Más en particular, se describen los derechos de acceso; rectificación; supresión; y oposición, incluyendo decisiones individuales automatizadas y la elaboración de perfiles. También habrá derecho a bloqueo y a portabilidad de los datos personales. Junto a ello, se establecen la forma y medios de ejercer los derechos del titular de datos y los procedimientos a seguir.
Tratamiento de los datos personales
El proyecto determina que es lícito el tratamiento de los datos personales que le conciernen al titular, cuando otorgue su consentimiento para ello. Este debe ser libre, informado y específico en cuanto a su/s finalidad/es. Asimismo, debe manifestarse en forma previa y de manera inequívoca, mediante una declaración verbal, escrita o expresada a través de un medio electrónico equivalente. Otra opción es mediante un acto afirmativo que dé cuenta con claridad de la voluntad del titular.
Cuando el consentimiento lo otorgue un mandatario, éste deberá encontrarse expresamente premunido de esta facultad.
En todo caso, el titular puede revocar el consentimiento otorgado en cualquier momento y sin expresión de causa. Se utilizarán medios similares o equivalentes a los empleados para su otorgamiento. La revocación del consentimiento no tendrá efectos retroactivos.
Igualmente, es lícito el tratamiento de datos personales, sin el consentimiento del titular, en los siguientes casos:
- Respecto de obligaciones de carácter económico, financiero, bancario o comercial.
- Cuando sea necesario para la ejecución o el cumplimiento de una obligación legal o lo disponga la ley.
- Si es necesario para la celebración o ejecución de un contrato entre el titular y el responsable, o para la ejecución de medidas precontractuales adoptadas a solicitud del titular.
- Para la satisfacción de intereses legítimos del responsable o de un tercero, siempre que con ello no se afecten los derechos y libertades del titular.
- Para la formulación, ejercicio o defensa de un derecho ante los tribunales de justicia u órganos públicos.
Obligaciones del responsable de datos
El responsable de datos tiene las siguientes obligaciones:
- Informar y poner a disposición del titular los antecedentes que acrediten la licitud del tratamiento de datos que realiza. Asimismo, deberá entregar de manera expedita dicha información cuando le sea requerida.
- Asegurar que los datos personales se recojan de fuentes de acceso lícitas con fines específicos, explícitos y lícitos.
- Comunicar o ceder información exacta, completa y actual.
- Suprimir o anonimizar los datos personales del titular cuando fueron obtenidos para la ejecución de medidas precontractuales.
- Cumplir con los demás deberes, principios y obligaciones que rigen el tratamiento de los datos personales previstos en esta ley.
Junto a lo anterior, se especifican una serie de deberes, entre ellos: secreto o confidencialidad; información y transparencia; protección desde el diseño y por defecto; y adoptar medidas de seguridad y reportar las vulneraciones a estas.
Datos personales sensibles
El tratamiento de los datos personales sensibles sólo puede realizarse cuando el titular de estos manifiesta su consentimiento en forma expresa. Para ello se deberá otorgar una declaración escrita, verbal o por un medio tecnológico equivalente.
Sin perjuicio de lo anterior, será lícito el tratamiento de estos datos, sin el consentimiento del titular, en casos específicos. Por ejemplo, cuando el titular ya los hizo públicos; cuando resulte indispensable para salvaguardar la vida o salud del titular o de un tercero; y en materia judicial.
A seguir, el texto describe en forma particular el tratamiento de datos personales sensibles relativos a la salud y al perfil biológico humano. También los de carácter biométrico y los referentes a niños, niñas y adolescentes.
De igual modo, se norma la forma de abordar los datos con fines históricos, estadísticos, científicos y de estudios o investigaciones. Además, se regulan los de geolocalización y el tratamiento de los datos personales por parte de los órganos públicos, entre otras áreas.
Autoridad de control y sanciones
El proyecto crea la Agencia de Protección de Datos Personales. Será una corporación autónoma de derecho público, de carácter técnico, descentralizado, con personalidad jurídica y patrimonio propio. Se relacionará con el Presidente a través del Ministerio de Economía.
La Agencia tendrá por objeto velar por la efectiva protección de los derechos que garantizan la vida privada de las personas y sus datos personales. Paralelamente, fiscalizará el cumplimiento de sus disposiciones. Junto a esto, se especifican sus funciones y atribuciones; su dirección; miembros del Consejo Directivo; y personal, entre otros puntos.
Por último, entre otras normas, la iniciativa comprende un marco de infracciones y sanciones; así como de responsabilidades administrativa y civil.
Debate
En la discusión participaron Daniel Lilayu (UDI), Boris Barrera (PC), Mónica Arce (IND), Jaime Naranjo (PS), Fernando Bórquez (UDI), Carmen Hertz (PC), Miguel Mellado (RN), Alejandro Bernales (PL), Karol Cariola (PC), Leonardo Soto (PS) y Hotuiti Teao (Ind).
En general, todas las opiniones estuvieron por apoyar la iniciativa. Se estimó que va en la línea correcta, conforme a las sugerencias planteadas por la OCDE. Así, se destacó que nos pone a la altura de países más avanzados, particularmente, respecto del uso de datos transfronterizos y del derecho a la privacidad.
Pese a lo anterior, igualmente hubo algunas observaciones. Por ejemplo, se alertó que no hubo modificaciones en la materia durante 24 años y que ya podemos estar atrasados con esta actualización. Otras objeciones se buscaron zanjar mediante votaciones separadas, empero, ninguna de ellas prosperó, quedando el texto despachado por las comisiones.