A fines de agosto pasado, tuvo lugar una actualización de la Ley 19.628 sobre Protección de la Vida Privada en Chile. Este nuevo marco regulatorio para el procesamiento y la protección de los datos personales obliga a que las empresas diseñen nuevas estrategias de data governance que garanticen el compliance.
La normativa enfatiza la necesidad de obtener consentimiento explícito y bien informado para la recopilación de datos personales, fortaleciendo los derechos de los titulares de datos e instando a la implementación de medidas de seguridad adecuadas.
En este punto, la gobernanza de datos constituye un instrumento clave para que las organizaciones cumplan con la ley y, al mismo tiempo, optimicen la gestión de los datos para mejorar sus resultados de negocio.
En este artículo, repasamos las actualizaciones de la ley de protección de datos chilena y detallamos cuáles son las prácticas de data management que deben ponerse en marcha para cumplir con la norma.
Ley de Protección de datos personales: ¿en qué consisten las actualizaciones?
Promulgada en agosto de 1999, la Ley 19.628 sobre Protección de la Vida Privada sentó las bases iniciales para proteger los datos personales en territorio chileno.
Aunque en su momento su alcance era el indicado, la digitalización, el crecimiento tecnológico y el flujo constante de información que circula en los canales digitales cambiaron el panorama, haciendo necesaria la introducción de un enfoque más robusto que tuviera en cuenta los desafíos de la protección de los datos en la era digital.
Teniendo como antecedente la modificación del artículo 19 N.º 4 de la Constitución chilena, que en 2018 elevó la protección de datos personales al rango de derecho fundamental, la actualización de la Ley 19.628 introduce principios clave como la licitud, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia, información y confidencialidad en el tratamiento de datos personales.
Así, procura conseguir un tratamiento adecuado de los datos personales, a fin de proteger los derechos de los titulares y de facilitar el intercambio seguro de información con aquellos países que operan con modelos similares.
Derechos del titular
La norma reconoce y fortalece los derechos de acceso, rectificación, cancelación y oposición de los titulares de los datos, conocidos como ARCO. A ellos, ahora se les suma el derecho a la portabilidad.
Gracias a estas garantías, los individuos tienen un mayor control sobre sus datos personales, siendo capaces de solicitar acceso a sus datos, corregir información inexacta, oponerse a ciertos usos de su información personal y trasladar sus datos de una entidad a otra de manera segura y conveniente.
- Acceso. Brinda la posibilidad a las personas de saber si sus datos personales están siendo procesados, por qué motivo se está produciendo el procesamiento, y qué categorías de datos se están manejando.
- Rectificación. Habilita a las personas a corregir datos que sean inexactos o incompletos. Es fundamental para asegurar que la información personal manejada por las entidades refleje la realidad actual de los titulares de los datos.
- Cancelación. Más conocido como “derecho al olvido”, permite que los individuos soliciten la eliminación de sus datos personales si ya no existen motivos para retenerlos o cuando han dejado de ser necesarios para los fines para los que fueron recolectados, entre otras situaciones.
- Oposición. Permite que las personas se opongan al procesamiento de sus datos personales en ciertas circunstancias. Esto incluye el procesamiento de datos para fines de marketing, investigación científica o histórica, o elaboración de perfiles.
- Portabilidad. Habilita a los individuos a recibir los datos personales proporcionados a una entidad en un formato estructurado, de uso común y lectura mecánica, así como a solicitar que estos registros sean transmitidos directamente a otra entidad, siempre que sea técnicamente posible. De esta manera, se simplifica la movilidad de los datos personales entre servicios, promoviendo así la competencia y la innovación.
Recopilación de datos y consentimiento
Antes de efectuar cualquier recopilación de información personal, la normativa establece que las entidades deben poseer el consentimiento explícito y bien informado por parte de los titulares de datos.
El consentimiento debe ser otorgado con conocimiento de causa. Esto implica que los titulares tienen que conocer la finalidad específica para la cual se recogen sus datos, a fin de garantizar una base legítima y transparente para su tratamiento.
Procesamiento de datos y seguridad
Las empresas deben implementar medidas técnicas y organizativas apuntadas a proteger los datos personales contra cualquier forma de tratamiento indebido, pérdida o acceso no autorizado.
Esto incluye asegurar la exactitud, relevancia e integridad de los registros en función a los fines para los que se procesan, resaltando la importancia de mantener la información actualizada y segura.
Violaciones de datos e incidentes de seguridad
Si, por diversos motivos, se produjeran violaciones de seguridad que puedan comprometer los datos personales, la ley prevé que las empresas deben notificar los incidentes a las autoridades competentes y a los afectados.
Al mismo tiempo, están obligadas a registrar detalladamente lo ocurrido para facilitar la gestión de la situación y mitigar los riesgos.
Formación y concientización
La norma también prevé el desarrollo de una cultura de protección de datos al interior de las organizaciones.
Para eso, establece la necesidad de crear instancias de formación y concientización continuas en las cuales el personal pueda comprender la importancia de la protección de datos. También determina la importancia de establecer políticas claras sobre el tratamiento de los datos personales, comunicándolas oportunamente a la plantilla.
Multas por infracciones
La ley contempla la imposición de multas significativas para las infracciones relacionadas con el tratamiento indebido de datos personales.
Estas sanciones apuntan a incentivar el cumplimiento de las normativas y subrayar la enorme responsabilidad que tienen las empresas en lo que a protección de la privacidad de los datos respecta.
En este sentido, comprender y aplicar efectivamente esta norma es esencial para garantizar el respeto a la vida privada de los individuos y fomentar la confianza en el ecosistema digital.
Data governance y compliance: 11 prácticas de gestión de datos que garantizan el cumplimiento de la Ley 19.628
La gobernanza de datos implica la gestión estratégica de los registros disponibles en una compañía, asegurando su seguridad, consistencia, legalidad y accesibilidad.
Para garantizar estos principios, incluye diversas tareas, como la creación de catálogos de datos, el seguimiento del linaje de datos, la gestión de su ciclo de vida, el seguimiento de la data quality y la adopción de sólidas medidas de seguridad.
Desplegar un programa de data governance robusto es clave no solo para crear una cultura organizacional que valora y protege la privacidad de los datos, sino también para asegurar el compliance.
A continuación, detallamos algunas prácticas de gestión de datos que ayudan a cumplir lo establecido en la Ley 19.628.
Recopilación de datos y consentimiento
- Descubrimiento y mapeo de datos. Esta iniciativa asegura que todos los datos personales recolectados sean identificados y mapeados dentro de la empresa, facilitando la transparencia y el control sobre la recopilación.
- Data catalogue. La creación de un catálogo de datos brinda la posibilidad de llevar un registro detallado de qué datos se están recolectando y con qué objetivo, aspectos cruciales para gestionar el consentimiento informado.
- Gestión de consentimientos. Por su parte, esta práctica garantiza que el consentimiento se obtenga, gestione y documente de acuerdo con lo que establece la normativa.
Procesamiento de datos y seguridad
- Gestión de datos maestros. Se trata de un ejercicio que asegura la consistencia y precisión de los datos personales, lo que es fundamental para el procesamiento seguro y correcto de la información.
- Data profiling y calidad de datos. Son prácticas que permiten mantener la precisión e integridad de los datos, minimizando errores y riesgos asociados con el procesamiento de registros inexactos o desactualizados.
- Seguridad de datos y gestión de incidentes. Establece medidas robustas de seguridad apuntadas a la protección de los datos personales contra accesos no autorizados y a la gestión eficiente de los incidentes de seguridad.
Derechos del titular
- Gestión de datos maestros y catálogo de datos. Se trata de prácticas que garantizan que los titulares de los datos puedan acceder de manera rápida y precisa a sus registros, permitiendo que ejerzan sus derechos de acceso, rectificación, cancelación y oposición.
- Linaje de datos. Actividad clave para rastrear y documentar el flujo de datos personales, ya que permite que los titulares entiendan cómo se utilizan sus registros y, al mismo tiempo, facilita la auditoría y el cumplimiento de sus derechos.
Violaciones de datos e incidentes de seguridad
- Observabilidad de datos. Estas iniciativas permiten monitorear los datos y detectar anomalías que podrían indicar la presencia de violaciones de seguridad. Así, facilitan el abordaje efectivo de los siniestros.
- Seguridad de datos y gestión de incidentes. Establece protocolos de respuesta ante incidentes, incluyendo la notificación a los afectados y autoridades conforme a lo que exige la ley.
Formación y concientización
- Capacitación y divulgación. Son prácticas esenciales para educar a todos los colaboradores acerca de la importancia de la protección de datos personales y las normativas legales, asegurando que comprendan cómo sus acciones impactan la seguridad y el compliance.
La actualización de la Ley 19.628 sobre Protección de la Vida Privada en Chile exige que las organizaciones desplieguen una estrategia de data governance robusta que respete la legislación que a su vez asegura una política de gestión de datos que optimiza la toma de decisiones e impulse la eficiencia. Si querés saber más sobre cómo garantizar la gobernanza de los datos, contactanos.