Lo perfecto es enemigo de lo bueno

Por María Paz Canales y Pablo Viollier

En los últimos meses, y en relación al proyecto de ley que regula la protección de datos personales, la Comisión de Constitución, Legislación, Justicia y Reglamento del Senado ha avanzado en votar la gran mayoría de los artículos del proyecto relativos a temas de fondo, con algunos resultados no del todo satisfactorios desde nuestro punto de vista. En las próximas semanas es posible que se revise el articulado relativo a la Agencia de Protección de Datos Personales, su institucionalidad, atribuciones y recursos.

Al tratarse de la creación de un nuevo organismo público, este aspecto de la ley sólo puede modificarse por iniciativa del presidente de la República. Sin embargo, al no existir un claro consenso respecto a cual organismo público debe convertirse en la nueva Agencia de Protección de Datos, es probable que se genere un intenso debate.

Las alternativas parecen ser dos: un nuevo organismo público especializado en protección de datos personales, pero dependiente de un ministerio, o entregarle ésta atribución al Consejo para la Transparencia – CPLT. Como todo en la vida, ambas opciones tienen cosas a favor y en contra.

La creación de un organismo nuevo, dependiente de algún ministerio, tiene la fortaleza de que sería de carácter especializado, compuesto exclusivamente por expertos en materia de protección de datos personales. En este sentido, se podría asegurar que las decisiones tomadas serían fundamentadas bajo criterios técnicos y por profesionales del área.

Sin embargo, en cuanto al nivel de autonomía del organismo, sólo contaría con un nivel de “independencia funcional”, similar a la que cuenta la Fiscalía Nacional Económica respecto del Ministerio de Economía. Es posible argumentar que ese nivel de independencia es suficiente, después de todo la Fiscalía Nacional Económica ha funcionado bastante bien. Sin embargo, hay una diferencia fundamental entre ambos organismos: a la Agencia de Protección de Datos Personales le corresponderá conocer, decidir y sancionar casos concretos donde haya una contienda respecto al cumplimiento de la ley de datos personales por parte de un responsable de bases de datos. Por ello tiene sentido que la Agencia de Protección de Datos Personales tenga un nivel de autonomía más similar al Tribunal de Defensa de la Libre Competencia, que el que cuenta la Fiscalía Nacional Económica.

Esto es particularmente relevante si tenemos en consideración que el mayor recolector, almacenador y procesador de datos personales es el Estado. No sólo en términos de cantidad de datos, también es quien maneja más datos de carácter sensible y muchas veces el más negligente en el resguardo y manejo de esos datos. Por lo mismo, se vuelve esencial que la labor de la agencia este exenta de eventuales presiones políticas externas. Si el día de mañana un importante organismo público sufre una filtración de datos personales, que le signifique una multa millonaria, necesitaremos un organismo de control que sea inmune al telefonazo de su superior jerárquico.

Optar por el CPLT implica enfrentar el problema contrario. El Consejo cuenta con altos niveles de independencia y autonomía, y una legitimidad asentada frente a la ciudadanía y el poder político, pero desde su creación su labor ha estado enfocada en materializar los principios de acceso a la información pública y la transparencia en la actuación del Estado. Si bien es cierto que el acceso a la información pública y la protección de datos personales no son materias necesariamente excluyentes, sí es cierto que se trata de áreas del derecho que tienen sus propios principios y particularidades. Los expertos que han sido formados profesionalmente en una de ellas, pueden contar con un sesgo profesional natural hacia el área de su especialidad.

Creemos que esto puede evidenciarse en algunas decisiones del Consejo, en las que no concordamos con la ponderación que se ha realizado entre el resguardo de los datos personales de los titulares y el derecho de los ciudadanos de acceder a la información pública. Entre ellos, la entrega de información estadística por parte del INE, el acceso a los correos electrónicos de funcionarios públicos y la entrega del listado de nombres de dominios https://estadodiario.com/wp-content/uploads/2018/02/im4-1.jpgistrado por NIC Chile.

Sin embargo, no corresponde juzgar a un órgano fuera de sus competencias encomendadas, pero tomar posición en este momento por la mejora en la protección de los datos personales, pasa necesariamente por priorizar una independencia que vaya acompañada de un reforzamiento de la especialidad. En este sentido, nos parece crucial asegurar que la futura autoridad de Protección de Datos Personales pueda operar con autonomía y exenta de presiones en sus pronunciamientos. Un criterio similar puede encontrarse en el Reglamento General de Protección de Datos de la Unión Europea, donde al momento definir cuando un país cuenta con un “nivel adecuado de protección”, parece priorizar que estos cuenten con una agencia independiente.

Para lograr este objetivo, el mecanismo de conformación de la institucionalidad del CPLT requiere ser modificado, con el fin de adecuarse a sus nuevas atribuciones. Como propuesta, sería positivo que el número de consejeros se aumentara a seis, de forma tal que se convocara a tres expertos en protección de datos personales y tres expertos en acceso a la información pública. Así, el Consejo podría operar con dos salas especializadas de funcionamiento permanente, y para poder mantener un criterio unificado al momento de ponderar privacidad y transparencia, cada sala podría integrarse por tres consejeros: dos de ellos de la competencia de la especialidad de la sala y un tercero de la especialidad de la otra sala ,que pudiera ir rotando. De esta forma se puede fortalecer el criterio técnico en la disciplina respectiva de cada sala, favoreciendo la uniformidad en la aplicación e interpretación de la ley.

Por último, para evitar que consejeros provenientes del mundo privado queden implicados por conflictos de interés -en materia de fiscalización de empresas que tratan datos personales-, también es necesario un régimen de inhabilidades como el contenido en el proyecto de ley.

Por otro lado, siempre existe la posibilidad de transformar los desafíos en una oportunidad. Tener una misma institucionalidad encargada de velar por el acceso a información pública y la protección de datos personales -como sucede en Inglaterra- permitiría contar con un criterio unificado en esta materia. Por el contrario, contar con dos instituciones separadas podría generar el riesgo de decisiones contradictorias.

No cabe duda de que será un desafío importante que el CPLT alcance un equilibrio, al momento de decidir casos que enfrenten la protección de los datos personales de los ciudadanos vs el derecho a acceder a la información pública. Sin embargo, es un objetivo que se puede alcanzar con el tiempo y con los reforzamientos en presupuesto y capacidades para el CPLT que hemos enfatizado más arriba. Por el contrario, una institucionalidad que no cuente con independencia y autonomía desde su concepción no podrá sacudirse nunca esta falencia, y por tanto no podrá dejar a las ciudadanas en mejor situación de protección de la que gozan hoy sus datos personales.

Extracto del artículo “Chile necesita una regulación de protección de datos con dientes”, publicado originalmente en la web de Derechos Digitales.

* María Paz Canales es Directora Ejecutiva de la ONG Derechos Digitales. Abogada de la U. de Chile y LLM. en Derecho y Tecnología por la University of California, Berkeley – School of Law.
** Pablo Viollier es analista de políticas públicas de la ONG Derechos Digitales. Abogado de la Universidad de Chile, especialista en derecho y tecnología, protección de datos personales yciberseguridad, con varias publicaciones especializadas en la materia. Vasta experiencia en políticas públicas, litigaciónestratégica, incidencia legislativa e investigación.