¿Puede el Consejo para la Transparencia pedir la entrega de datos a los organismos públicos “encargados de tratamiento”?

Por Carlos Reusser Monsálvez*

El caso es real, aunque cambiaré los nombres de las instituciones para hacerlo más fácil de explicar. Supongamos que el Hospital San Juan de Dios entrega a la Universidad de Santiago una masa de datos desordenados —números de cédula de identidad, patentes de ambulancias y listados de equipamiento médico— para que los depure y organice. La USACH empieza a cumplir ese encargo.

Más tarde aparece un ciudadano que, en nombre de la Ley de Transparencia y el acceso a la información pública, exige que la Universidad le entregue esos datos, porque fueron procesados con recursos públicos. La Universidad se niega, pero el Consejo de la Transparencia da lugar al inicio de un procedimiento de amparo en favor del ciudadano. Aquí comienza el debate.

Y partiremos diciendo que hay una distinción elemental en protección de datos que, pese a parecer técnica, tiene enormes consecuencias prácticas: no es lo mismo tener acceso a unos datos que tener derecho a decidir qué hacer con ellos.

La diferencia puede entenderse fácilmente con una analogía. Una empresa de mensajería puede tener físicamente una carta en sus manos, transportarla, clasificarla y entregarla en el domicilio indicado. Pero nadie sostendría seriamente que, por esa sola circunstancia, puede abrirla, copiarla o decidir entregársela a un tercero.

Aquí ocurre algo parecido.

El Derecho distingue entre el responsable de los datos, que decide para qué se utilizan los datos, bajo qué condiciones y con qué fundamento jurídico, y el encargado del tratamiento, que los procesa por cuenta del primero y siguiendo sus instrucciones.

La distinción no es un capricho terminológico inventado por abogados aficionados a multiplicar categorías (que los hay), sino que es uno de los pilares sobre los que se construye todo el sistema moderno de protección de datos personales.

Y, sin embargo, empieza a producirse en Chile una situación preocupante: en procedimientos vinculados al acceso a la información pública se están formulando exigencias respecto de datos a organismos que no son responsables de ellos, sino meros encargados de su tratamiento. Y el problema no es menor.

Supongamos que un organismo público posee determinados datos (porque tiene las facultades y competencias legales para ello) y encarga a otro organismo su procesamiento tecnológico: almacenarlos, cruzarlos, transmitirlos o aplicar sobre ellos una determinada herramienta informática. El segundo organismo puede, por razones puramente técnicas (por ejemplo, para verificar la calidad del resultado), acceder a esa información.

Pero esa posibilidad técnica no lo convierte en dueño jurídico de las decisiones. El encargado sabe qué operaciones le han sido encomendadas, y en ese contexto puede recibir los datos, procesarlos, interconectarlos, transmitirlos e incluso destruirlos si esa es la instrucción recibida. Lo que no puede hacer es inventarse encargos que no le han hecho.

Y en ese contexto, es absolutamente improcedente que el Consejo para la Transparencia le exija que entregue esos datos personales (respecto de los cuales no tiene facultades de disposición) a un tercero.

El error de confundir posesión con potestad

Aquí aparece una confusión bastante frecuente en el mundo digital: pensar que quien puede acceder técnicamente a los datos puede también disponer jurídicamente de ellos, cuando en realidad son cosas completamente distintas.

Un proveedor de servicios en la nube puede almacenar millones de fichas clínicas sin poder decidir quién puede conocerlas. Una empresa que procesa las remuneraciones de sus clientes puede tener acceso a los sueldos de miles de personas sin adquirir por ello la facultad de revelarlos. Un organismo público que presta servicios de interoperabilidad puede transportar datos entre instituciones sin transformarse mágicamente en autoridad competente para decidir sobre su publicidad.

En todos estos casos existe acceso material, pero no necesariamente poder jurídico de disposición: precisamente por eso existe la figura del encargado del tratamiento, quien se limita a ejecutar el mandato que ha recibido.

Su legitimación es derivada y limitada. Puede tratar los datos porque alguien jurídicamente competente se lo ha encomendado y solo puede hacerlo dentro de los límites de ese encargo.

 El Consejo debe dirigirse a quien puede responder jurídicamente

Esto tiene una consecuencia bastante sencilla: cuando una solicitud de acceso a la información involucra datos personales, la pregunta decisiva no debería ser solamente ¿quién tiene técnicamente los datos?, sino que la pregunta correcta es ¿quién es jurídicamente responsable de ese tratamiento?

Es ese organismo el que puede explicar por qué se recopilaron los datos, para qué finalidad, cuál es la norma que autoriza su utilización, cuánto tiempo deben conservarse, qué derechos de terceros están comprometidos y bajo qué circunstancias podrían eventualmente comunicarse.

El encargado normalmente no puede responder por esas decisiones porque, sencillamente, no son suyas. Puede explicar qué operaciones realiza. Puede describir sus sistemas. Puede acreditar cómo ejecuta el mandato recibido. Puede colaborar con la autoridad y entregar los antecedentes que se encuentren dentro de su esfera de competencia.

Pero no puede reemplazar al responsable de los datos ni responder por él.

De hecho, hay algo jurídicamente extraño en desarrollar un procedimiento sobre la eventual comunicación de determinados datos sin llamar precisamente a quien tiene la responsabilidad jurídica de decidir sobre ellos. Es parecido a discutir la entrega de unos fondos bancarios citando al proveedor informático del banco, pero no al banco.

El problema se agrava con los datos personales en poder de la administración pública

La cuestión es todavía más delicada cuando intervienen organismos estatales, aunque debemos tener presente que un órgano público no puede tratar datos personales simplemente porque técnicamente pueda hacerlo. Al fin, y al cabo, su protección es un derecho constitucionalmente protegido y sólo por ley pueden atribuirse competencias que justifiquen ese tratamiento.

La tecnología ha hecho extraordinariamente fácil copiar, cruzar, transmitir y reutilizar información. Pero el Derecho Administrativo funciona justamente al revés: una institución pública no puede actuar porque algo sea posible, sino porque el ordenamiento jurídico le ha atribuido competencia para hacerlo.

Por eso la distinción entre el responsable de los datos y el encargado del tratamiento de esos datos adquiere una importancia adicional.

El responsable actúa en el ámbito de sus competencias legales. El encargado actúa dentro del mandato que ese responsable le ha conferido.

Si una autoridad obliga al encargado a realizar una operación nueva —por ejemplo, seleccionar determinados datos, cruzarlos, clasificarlos y entregarlos a un solicitante— puede estar ordenándole algo para lo cual nunca recibió mandato.

Y entonces aparece una paradoja bastante curiosa: una institución podría terminar infringiendo las normas de protección de datos precisamente porque una autoridad pública le ordenó cumplir una solicitud de transparencia.

No parece una buena arquitectura institucional.

“Pero los datos pueden anonimizarse”

Frente a esta objeción suele aparecer una respuesta aparentemente tranquilizadora: no habría problema porque la información que se solicita puede entregarse anonimizada.

Tampoco es la respuesta adecuada. Para crear una nueva base de datos anonimizada muchas veces hay que partir de datos personales identificables: buscarlos, seleccionarlos, cruzarlos, clasificarlos, extraer determinadas variables y después eliminar los elementos identificadores.

Todas esas operaciones anteriores a la anonimización siguen siendo tratamiento de datos personales, y nuevamente aparece la misma pregunta: ¿estaba el encargado autorizado para realizar esas operaciones? La anonimización del resultado final no convierte retrospectivamente en lícito cualquier tratamiento realizado para producirlo, particularmente cuando el mandante nunca autorizó esa operación de tratamiento.

Transparencia y protección de datos no son enemigos

Nada de esto significa debilitar el derecho de acceso a la información pública; por el contrario, un sistema serio de transparencia necesita identificar correctamente quién debe responder por la información y la transparencia no mejora obligando a responder al organismo equivocado.

Tampoco la protección de datos puede convertirse en una excusa automática para negar información pública: los dos derechos deben convivir, y precisamente por eso resulta indispensable respetar las reglas que permiten determinar quién puede adoptar cada decisión.

El Consejo para la Transparencia tiene una responsabilidad particularmente importante en esta materia. No solo debe promover el acceso a la información pública, sino también debe cautelar la protección de los datos personales en poder de los órganos del Estado.

Por eso sería especialmente contradictorio que, al resolver conflictos de transparencia, terminara desdibujando la diferencia entre responsable y encargado que constituye una de las piezas básicas del sistema de protección de datos.

La discusión puede parecer técnica, pero en realidad toca uno de los problemas centrales del Estado digital: los datos circulan, las competencias no. Que una institución pueda ver, almacenar o procesar información no significa que pueda disponer de ella. Y mientras más interconectada sea la Administración, más importante será recordar esa diferencia.

Por eso, cuando se pretenda decidir sobre la utilización, comunicación o reutilización de datos personales, la pregunta no puede ser simplemente quién los tiene a mano, sino quién tiene la potestad jurídica para decidir sobre ellos. El encargado ejecuta; el responsable decide. Alterar esa regla no fortalece la transparencia: desordena las responsabilidades y puede transformar una obligación de informar en una infracción a la ley.

*Carlos Reusser Monsálvez es abogado, Universidad de Chile. Doctor en Derecho por la Universidad de Salamanca y Magíster en Derecho Constitucional por la Pontificia Universidad Católica de Chile. Profesor de Derechos Digitales en la Universidad Alberto Hurtado.