Los tres nudos de la Ley de Protección de Datos. Parte 1: los datos socioeconómicos no pueden ser datos sensibles

Por Paulina Silva*

A pocos meses de la entrada en vigencia de la ley 21.719, el peso creciente de su realidad muestra una ley con muchos tintes auspiciosos (nuevas bases de legalidad, un modelo de prevención que estimula el cumplimiento, la existencia de una agencia dedicada), y unos pocos nudos donde nos encontramos con una redacción errada, poco previsora, desprolija. Eso último hace que, bajada la pelota a la cancha, existan modelos de negocios y tipos de tratamiento muy importantes en el tráfico comercial y jurídico chileno que podrían quedar proscritos, o amarrados a camisas de fuerza innecesarias. Todo esto, solo como consecuencia de una mala decisión de redacción legislativa.

Como toda obra humana, esta ley es adecuada en su gran parte, y también mejorable – horrible eufemismo – en muchísimos aspectos. Sin embargo, en tres materias, el “mejorable” queda corto: ahí, la ley fue mal redactada.

Primer Nudo. Datos socioeconómicos como datos sensibles: restricción práctica a tratamientos del día a día servicios financieros y medios de pago.

La Ley innova -equivocadamente- incluyendo a los datos “socioeconómicos” dentro de la definición de datos sensibles (GDPR no lo hace). La Ley no define el dato socioeconómico, pero puede entenderse sin mayor debate que debe integrar factores económicos y un componente social determinante. Así, un dato puramente económico como la capacidad crediticia, o el sueldo bruto de una persona, se transforma fácilmente en dato socioeconómico (y por lo tanto en sensible) al combinarlo con información de domicilio, de nivel de escolaridad o incluso de score crediticio.

En ese sentido, se tratan datos socioeconómicos en el análisis de riesgo crediticio, en la prospección de clientes, en la identificación de productos que una institución está preparada para ofrecerle a una persona determinada, en el análisis del comportamiento de pagos para ofrecer beneficios o facilidades de pagos, entre muchas otras acciones.

El tratamiento de los datos sensibles es notoriamente más complejo, lo que se justifica por ser merecedores de una protección aumentada. Esa complejidad se muestra en que el “permiso” para tratar del dato – la base de legalidad – es mucho más restringido.

Si un dato socioeconómico no se concibiera como sensible (así es en Europa), las bases de legalidad del tratamiento de estos datos serían las de la regla general. En Europa las instituciones financieras, al tratar datos, pueden calificar si ciertos tratamientos se justifican bajo cumplimiento de un contrato, bajo autorización legal, o bajo interés legítimo. Solo aquellos tratamientos que no pueden alojarse en estas bases de legalidad deberán justificarse a través del consentimiento (que es una base feble, por ser esencialmente revocable, e involucra el costoso acto de “levantar” el consentimiento), el que deberá recogerse solo para aquellos propósitos.

¿Cómo es bajo nuestra ley más compleja la cancha para los datos personales sensibles, y por lo tanto a los datos socioeconómicos?

16. No pueden tratarse por “cumplimiento de un contrato”, que desaparece de la lista del articulo 16.
17. No pueden tratarse por “interés legítimo”, que es aplicable solo a instituciones sin fines de lucro

• La base de legalidad “obligación legal” se restringe, pues el ser “necesario para la ejecución o el cumplimiento de una obligación legal o lo disponga la ley” (art 13 letra b) de los datos no sensibles, se transforma en cuando “lo autorice o mandate expresamente la ley”.

La consecuencia práctica es que pareciera existir una prohibición al tratamiento de datos socioeconómicos sin consentimiento, ignorando que en el día a día de la actividad de las instituciones financieras (incluyendo las fintec) existen un sinnúmero de instancias que deberían poder ser amparadas, ya sea por ser necesarios para el cumplimento de una obligación legal, por interés legítimo y, evidentemente, por el cumplimiento de un contrato. Los ciegos defensores del consentimiento podrán aplaudir ilusionados, pero no sé qué tantas ganas queden en los aplausos cuando los créditos a los buenos pagadores se hagan innecesaria e inevitablemente más caros.

En el debate parlamentario se argumentó, equivocadamente, que estos datos de todas maneras estarían amparados por la base de legalidad “tratamiento de datos relativos a obligaciones de carácter económico, financiero, bancario o comercial” del articulo 13, ignorado que ese artículo no puede ser aplicable a datos sensibles, sino solo a datos personales corrientes.

No quiero dejar de mencionar que el proyecto de ley Boletín 18060-07, de enero de este año, propone modificar la ley N° 21.719 para solucionar este mismo nudo. En mi opinión, ese proyecto de ley incluye varios cambios innecesarios que pueden eternizar una discusión que no llegue a puerto. Pero acierta lúcidamente con la eliminación de la “situación socioeconómica” a la definición de dato sensible del artículo 2 (g). Esta modificación no me parece solo adecuada, sino imprescindible y urgente.

*Paulina Silva, Socia de Bitlaw