Datos contenidos en fuentes accesibles al público: de la protección de la privacidad a la consagración de la autodeterminación informativa

Por Pablo Viollier*

La Ley N°21.719, publicada el 13 de diciembre de 2024, no sólo reformó la Ley N° 19.628 sobre Protección de la Vida Privada (LPVP) con el propósito de superar las deficiencias dogmáticas y procedimentales identificadas por la doctrina nacional durante su vigencia, sino que también cambió su nombre a “Ley sobre protección de los datos personales” (LPDP). Este parece un cambio menor, pero refleja un cambio relevante en el derecho fundamental que la ley busca proteger, ya no sólo se resguarda la vida íntima o privada de los individuos, sino que se consagra la autodeterminación informativa como derecho fundamental autónomo, entendiendo esta como el poder o facultad de los individuos para controlar los datos que refieren a su persona, independiente de si estos son de carácter privado.

Bajo la lógica de la LPVP tenía sentido que los datos contenidos en fuentes públicas pudiesen ser procesados sin autorización de sus titulares, puesto que un dato público, por definición deja de ser un dato privado. Sin embargo, bajo la lógica de la autodeterminación informativa los datos contenidos en fuentes públicas todavía pueden ser objeto de protección y control por parte de sus titulares. Ya no se trata de una dicotomía entre dato público y dato privado, sino bajo qué hipótesis legal cada categoría de dato personal puede ser procesada por un tercero.

El régimen bajo la LPVP

Entre las materias más discutidas durante la vigencia de la LPVP se encuentra el estatuto jurídico de las denominadas fuentes accesibles al público, cuya regulación constituía una excepción excesivamente amplia al requisito de contar con el consentimiento del titular para el tratamiento de sus datos personales.

El artículo 4 inciso quinto de la LPVP  disponía que no requería autorización el tratamiento de datos personales que provinieran o se recolectaran de fuentes accesibles al público, definidas por el artículo 2 letra i) como los registros o recopilaciones de datos personales, públicos o privados, de acceso no restringido o reservado a los solicitantes. Esta definición fue objeto de críticas reiteradas por la doctrina nacional, entre ella Anguita (2007), Jijena (2001, 2010) y Alvarado (2014), quienes advirtieron que su amplitud e indeterminación transformaba, en los hechos, la regla general de solicitar autorización del titular en una excepción de aplicación generalizada. La jurisprudencia de la Corte Suprema confirmó esta interpretación amplia. En su sentencia de 3 de junio de 2015 (rol 5243-2015), el tribunal declaró lícito el tratamiento de datos electorales obtenidos del Servicio Electoral y republicados por un tercero sin el consentimiento de los titulares, por tratarse de información previamente hecha pública por un organismo del Estado.

La tramitación legislativa de la LPDP

Durante el primer trámite constitucional en el Senado, la discusión se orientó a restringir la aplicación de la excepción mediante la incorporación de un listado ejemplar de fuentes que podían considerarse de acceso público, manteniendo no obstante su carácter de base de licitud autónoma. La orientación de la discusión cambió sustancialmente en el segundo trámite constitucional, en la Cámara de Diputados, a raíz de una indicación de los diputados Soto y Calisto, aprobada por unanimidad, que suprimió la letra a) del artículo 13, eliminando así a las fuentes accesibles al público como causal habilitante del tratamiento sin consentimiento del titular, así como el hecho de constituir una excepción al principio de finalidad. Esta decisión fue ratificada por la Comisión Mixta en el tercer trámite constitucional, tras un intercambio de posiciones entre representantes de la industria, que advertían sobre eventuales efectos en normativas sectoriales, y académicos y organizaciones de la sociedad civil, que señalaron que la mantención de la excepción resultaba incompatible con el estándar del Reglamento General de Protección de Datos de la Unión Europea (RGPD) y con las condiciones para obtener una decisión de adecuación por parte de dicho bloque.

Alcance de la eliminación

La eliminación de esta figura como excepción a contar con el consentimiento del titular en el texto final de la LPDP no implica una prohibición del tratamiento de datos personales contenidos en fuentes de acceso público. Su efecto consiste en que dicho tratamiento debe fundarse en alguna de las restantes bases de licitud contempladas en la LPDP, sea el consentimiento del titular conforme al artículo 12, o alguna de las excepciones a dicho requisito previstas en los artículos 13, 16, 16 bis o una norma especial, entre las que destaca el interés legítimo como nueva causal incorporada por la reforma. El texto final de la ley conserva, no obstante, diversas menciones a las fuentes de acceso público (en la definición del artículo 2 letra i), en las obligaciones del responsable del artículo 14 letra b), en el deber de confidencialidad del artículo 14 bis y en el derecho de oposición del artículo 8 letra c). Estas menciones buscan reforzar la protección a este tipo de datos y deben interpretarse en armonía con la decisión legislativa de eliminar dicha figura como base de licitud autónoma, sin que puedan servir de fundamento para sostener su subsistencia.

Distinta es la excepción contemplada en el artículo 16 letra a) de la LPDP, aplicable al tratamiento de datos sensibles sin consentimiento cuando el titular los haya hecho manifiestamente públicos y el tratamiento se relacione con los fines de dicha publicación. A diferencia del antiguo artículo 4 inciso quinto de la Ley 19628, cuyo elemento habilitante era el soporte o lugar en que el dato se encontraba disponible, el artículo 16 letra a) exige un acto propio, categórico e intencionado del titular dirigido a hacer pública la información, lo que excluye los casos en que la publicación proviene de un tercero, incluidos los organismos del Estado.

Implicancias para la recolección masiva de datos

La eliminación de la excepción tiene consecuencias directas para las prácticas de raspado web (web scraping) utilizadas en la recolección de conjuntos de datos de entrenamiento para sistemas de inteligencia artificial, actividad que bajo la LPVP podría haberse amparado bajo la excepción de datos obtenidos de fuentes accesibles al público. Bajo la LPDP, los responsables que recolecten información (que muchas veces incluyen datos personales) mediante esta técnica deberán fundamentar dicho tratamiento en una base de licitud distinta, siendo el interés legítimo la alternativa más discutida en la literatura especializada. La experiencia comparada, en particular los pronunciamientos del Tribunal de Justicia de la Unión Europea, del Supervisor Europeo de Protección de Datos y de la Oficina del Comisionado de Información del Reino Unido, evidencia dificultades prácticas para acreditar el cumplimiento de los requisitos del interés legítimo en el contexto del entrenamiento de modelos de inteligencia artificial. Esto ha llevado a que la propuesta de reforma Ómnibus al RGPD se refiera específicamente a la posibilidad de invocar el interés legítimo en esta materia, aunque no aborda satisfactoriamente cómo compatibilizar esta actividad de tratamiento con los principios de finalidad y minimización de datos (proporcionalidad). En nuestro país, recaerá sobre la futura Agencia de Protección de Datos Personales establecer criterios de interpretación clara que entregue a los desarrolladores de sistemas de inteligencia artificial certeza jurídica y criterios claros para compatibilizar el desarrollo de estas herramientas y la protección de los datos de los titulares.

Conclusión

El análisis de la historia legislativa de la LPDP permite concluir que la eliminación de las fuentes accesibles al público como base de licitud autónoma fue producto de una decisión consciente e inequívoca del legislador, motivada por la necesidad de alinear la legislación nacional con el estándar del RGPD y con los requisitos de una eventual decisión de adecuación de la Unión Europea. En consecuencia, el tratamiento de datos personales contenidos en fuentes de acceso público queda sujeto, bajo la nueva ley, al régimen general de bases de licitud, correspondiendo a la futura Agencia de Protección de Datos Personales un rol central en la determinación de los estándares aplicables al interés legítimo como fundamento de dicho tratamiento.

*Pablo Viollier

Candidato a doctor, Universidad Central de Chile y Universidad de Sevilla