Principales deficiencias en la aplicación de la Ley Nº 19.628

Por Francisco Javier Sanz Salguero

Como lo comentamos al analizar los orígenes de las fallas en materia de protección de la información personal (desde la perspectiva de la Ley Nº 19.628 de 1999, ver columna anterior), en el ámbito jurídico interno ha sido permanente la preocupación por el resguardo de la vida privada o privacidad y, consecuentemente, por la tutela de la información personal.

A pesar del interés expresado, en la práctica observamos un atraso significativo al comparar este tratamiento normativo con el que se ha desarrollado en otras latitudes. A este respecto, no solo hacemos referencia al caso de la Unión Europa, en donde con la reciente entrada en vigencia del Reglamento General de Protección de Datos (norma comunitaria  aprobada el 14 de abril del 2016, pero que comenzó a ser aplicada formalmente el 25 de mayo del 2018), esta comunidad política construye la legislación más moderna y estricta sobre el tema.

En efecto, también hay una desactualización importante en comparación con las normas de otros países de la región. Para destacar, tenemos los casos de Uruguay y Argentina, únicos Estados de América Latina que han sido declarados países con un adecuado nivel de protección de datos, según lo expresado en la Directiva 95/46 del Parlamento Europeo y del Consejo, agregando que Uruguay incluso cuenta con un organismo dedicado exclusivamente a la tutela de este tipo de información (o Unidad Reguladora y de Control de Datos Personales URCDP). Igualmente, tenemos los casos de México (Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales INAI) y Perú (Dirección General de Transparencia, Acceso a la Información Pública y Protección de Datos Personales), sistemas en donde se estructuran instituciones a las que se les reconoce expresamente el rol conjunto de controlar la transparencia y la protección de la información personal, situación que no ocurre con el Consejo para la Transparencia chileno.

Finalmente, de los 34 países que conforman la OCDE, sólo Chile y Turquía aún no perfeccionan su legislación en el ámbito analizado.    

En este contexto, no obstante que esta problemática merece un análisis más extenso, inicialmente es posible identificar una deficiencia de carácter general y otras de carácter particular dentro del marco de aplicación de la Ley Nº 19.628. Mientras se perfecciona esta normativa, principalmente podemos establecer la vigencia de las siguientes falencias en la Ley analizada:

1. 1. Deficiencia de carácter general: viene desde el origen de la aprobación de la Ley, ya que la norma se enfoca en el tratamiento de los datos, relegando el derecho que tiene un individuo como dueño de su información personal a controlar los mismos. Por eso, en la práctica se privilegia el tratamiento de los datos por parte de las empresas (por ejemplo las empresas de marketing que conocen nuestra información: negocio de las empresas responsables de bases de datos). En cambio, para cualquier persona natural es complejo restringir el tratamiento de su información personal que se encuentra en los medios de comunicación social (o redes sociales).
   2. Definición de “fuente accesible al público”: hoy en día, la regla general es que, para tratar un dato personal, se requiere el permiso de su titular (artículo 20, Ley Nº 19.628). Sin embargo, como excepción a esa regla general, es posible acceder a esa información cuando el dato se encuentra en una “fuente accesible al público” (artículo 4º inciso 5º, Ley Nº 19.628). El problema identificado, es la definición que la Ley otorga a esta fuente. En efecto, la norma define como fuentes accesibles al público “los registros o recopilaciones de datos personales públicos o privados, de acceso no restringido o reservado a los solicitantes”. Lo anterior, en palabras simples, determina que salvo que el titular de los datos permita su divulgación, o a menos que la ley prohíba expresamente su divulgación, cualquiera puede dar tratamiento a la información que se encuentra en estas “fuentes accesible al público”. Por tanto, y aplicando las definiciones y excepciones de la normativa chilena vigente, la redes sociales, y en general la información contenida en internet, es considerada una información accesible al público. En este sentido, nos encontramos ante una excepción tan amplia que termina transformando la desprotección en la regla general, generando como consecuencia la proliferación de sitios web que exponen nuestros datos o de empresas que los utilizan para entregar inteligencia de negocio a campañas políticas.
   3. No existe una autoridad que encargada de controlar el tratamiento de los datos personales: Ante esta realidad, son los propios titulares de la información quienes deben velar por el resguardo de los mismos, debiendo acudir a la presentación de una demanda ante la jurisdicción ordinaria del domicilio del demandado.
   4. En muchas ocasiones, una persona natural o empresa requiere legítimamente acceder a información de carácter personal (como por ejemplo, cuando un investigador requiere de datos con fines exclusivamente históricos, estadísticos, científicos o de estudios). En la normativa actual, no se establece la posibilidad de que un interesado argumentado ese “interés legítimo” pueda tratar esos datos personales.
   5. Por último, como ya explicamos hoy en día la regla general es que, para tratar un dato personal se requiere el permiso de su titular. Sin embargo la ley no establece mecanismos  legales de protección cuando exista un desequilibrio ostensible entre el titular de los datos personales y la persona o empresa que pretende tratar esa información.

* Francisco Javier Sanz Salguero es abogado por la Universidad Externado de Colombia y doctor en Derecho por la  Pontificia Universidad Católica de Valparaíso. Actualmente es investigador y profesor de Derecho Constitucional en la Facultad de Derecho de la Pontificia Universidad Católica de Valparaíso.