Los desafíos de la portabilidad financiera a la protección de datos personales

Por Marco Correa *

Hace unos años la portabilidad numérica, consagrada por la Ley N°20.471 de 2010, vino a revolucionar el mercado de la telefonía móvil, al permitir que los usuarios pudieran cambiarse de compañía telefónica sin perder su número. Ahora, es la portabilidad financiera la que ofrecerá las mismas perspectivas de movilidad para los titulares de productos y servicios de bancos, compañías de seguros y otras entidades financieras. Tal como en el ámbito de la telefonía, esta podría significar mayor competencia en el mercado financiero y bancario.

El proceso de portabilidad financiera fue introducido en nuestra legislación por la Ley N° 21.236 (la “Ley de Portabilidad”) publicada en el Diario Oficial el pasado martes 9 de junio. Esta ley entrará en vigencia noventa días después de su publicación, es decir, desde el 8 de septiembre de 2020.

El objetivo de esta portabilidad es facilitar a los clientes, ya sean consumidores (de acuerdo con la Ley N° 19.496) o micro y pequeñas empresas (de acuerdo con la Ley N° 20.416), una transición expedita de sus productos o servicios financieros vigentes. Con esto, pueden poner término a sus contratos con el proveedor inicial, y quedar habilitados para contratar nuevos productos y servicios con un proveedor distinto en un solo proceso y sin necesidad de duplicar sus productos o servicios en el intertanto.

Para nadie es un misterio que las instituciones financieras y bancarias procesan gran cantidad de información sensible relativa a sus clientes: datos de identificación y contacto, obligaciones financieras y comerciales, patrones de consumo, y las relaciones financieras de los clientes con terceros, entre otros. Con la vigencia de la Ley de Portabilidad, la información antes señalada, considerada como datos personales por la Ley N° 19.628 (la “Ley de Protección de Datos”), pasará de un proveedor financiero a otro, de ahí que la nueva regulación presente interesantes desafíos desde una perspectiva de la protección de datos.

Portabilidad vs. Protección de Datos: encuentros y desencuentros

Un punto a destacar de la Ley de Portabilidad en materia de protección de datos, es que se hace cargo del tratamiento de los datos personales en su artículo 25. En este, señala que el proceso de portabilidad debe cumplir con la Ley de Protección de Datos. Sin embargo, en este punto surge el primer desafío a la nueva regulación, pues, como ha sido advertido y alertado por expertas y expertos en este ámbito, la Ley de Protección de Datos, en sus términos actuales, es insuficiente para el estado actual de la gestión de datos personales. Por otra parte, su reforma continúa estancada en el Congreso Nacional.

Cabe señalar que la reforma a la Ley de Protección de Datos incorporará un principio homólogo al de la portabilidad financiera, -el de la portabilidad de los datos-, que permitirá a las personas solicitar a cualquier entidad que haga tratamiento de sus datos personales, una copia de los mismos para transferirlos a un tercero. Según el texto actual de la reforma, se exigirá que la institución que provee los datos utilice los medios más expeditos, menos onerosos y sin poner trabas u obstáculos para el ejercicio de la portabilidad, lo cual también aplicará para los proveedores financieros cuando dicha reforma esté vigente. Ojalá ello ocurra pronto.

El mencionado artículo 25, también exige que los proveedores implementen las medidas necesarias para garantizar la seguridad y la reserva en el tratamiento de datos, con especial resguardo respecto de los fines para los cuales fueron autorizados por su titular. En este punto, surge un segundo desafío para este proceso, pues la normativa de la Comisión del Mercado Financiero (CMF), en su Capítulo 20-9, ya establece obligaciones a sus regulados (como lo son los bancos, entidades financieras, etc.) en relación con la gestión de datos. Sería recomendable entonces, que los estándares de la CMF sirvieran para orientar un eventual reglamento de la Ley de Portabilidad respecto a este punto, de tal manera que exista una regulación armónica para las instituciones financieras, y que se otorgue mayor certeza a clientes y proveedores.

¿Qué pasa con mis datos después de la portabilidad?

Por último, el artículo 25 de la Ley de Portabilidad exige que los datos recabados para un proceso de portabilidad que no prospere deberán ser eliminados del sistema del oferente, y no podrán ser utilizados para otros fines. Lamentablemente, el legislador no abordó en este punto qué ocurre con los datos personales cuando el proceso de portabilidad es exitoso. Entonces, ¿tiene el proveedor inicial justificación legal para mantener los datos personales del cliente en su sistema tras la terminación de la relación?

Alguna luz nos podría dar el artículo 6 de la Ley de Datos Personales, que establece el derecho de cancelación, según el cual los datos personales deberán ser eliminados o cancelados cuando su almacenamiento carezca de fundamento legal o cuando hayan caducado. Sin embargo, para hacerlo inequívoco, hubiese sido interesante que, así como el artículo 25 de la Ley de Portabilidad establece el otorgamiento implícito de consentimiento del titular de los datos para el tratamiento de los mismos; también se hubiese regulado que la finalización exitosa del proceso de portabilidad significara también, el fin del consentimiento para tratar los datos personales respecto del proveedor inicial. Por último, se podría haber otorgado alguna excepción para que el proveedor pueda conservar dichos datos, especialmente para efectos de cumplir con requerimientos regulatorios, particularmente aquellos emanados de entidades como la CMF.

Lo anterior, no solo sería beneficioso para los clientes, con el objeto de reforzar la protección de sus datos personales, sino que también para los proveedores, porque podría evitar una futura judicialización de esta materia ante las Cortes de nuestro país. Lo anterior, considerando que la exigencia del derecho de cancelación de los datos personales y la acción que la cautela (“habeas corpus”) son procedimientos casi inutilizados y han sido reemplazados por la acción de protección, de fácil tramitación para sus titulares.

* Marco Correa es asociado del equipo de Propiedad Intelectual y Protección de Datos en Morales & Besa. Abogado de la Universidad de Chile y diplomado en Ciberseguridad de la misma casa de estudios.