¿Podrá ahora Chile contar con una regulación “adecuada” para recibir transferencias de datos personales desde Europa?

Por Oliver Ortiz*.

Hasta antes de la publicación de la nueva Ley de Protección de Datos Personales (Ley N°21.719 o la “LPD”), Chile no contaba con una normativa que se acercara al “nivel adecuado” de protección legal para efectos de recibir datos personales desde Europa. La pregunta ahora es: ¿podrá Chile, mediante su nueva normativa en la materia, lograr obtener una declaración favorable de la Comisión Europea respecto a la adecuación de su nivel de protección de datos personales?

En el año 2016, mediante la dictación del Reglamento General de Protección de Datos de la Unión Europea (“RGPD”), la Unión Europea (“UE”) adoptó un enfoque global para asegurar un nivel adecuado de protección para las personas involucradas en el intercambio internacional de datos personales. En primer lugar, dispuso una regulación uniforme y obligatoria para todos los estados miembros de la UE, dotando de legalidad la transferencia de datos entre países de la UE. En segundo lugar, el RGPD exigió que para transferir libremente datos personales fuera de la UE, el país receptor de los datos contara con una “decisión de adecuación” de parte de la Comisión de la Unión Europea (“CE”), que básicamente tiene la función de acreditar que el país cumple con ciertos criterios que permiten declarar que el nivel de protección del país receptor es adecuado. Los criterios incluyen aspectos relacionados con el Estado de Derecho del país receptor, el respeto de los derechos humanos y las libertades fundamentales, la legislación pertinente en la materia, el reconocimiento de derechos efectivos, la existencia de una autoridad de datos personales autónoma, así como también los compromisos internacionales asumidos por dicho país.

¿Por qué es importante obtener la declaración de adecuación por parte de la CE? Actualmente, Chile no cumple con los criterios mencionados, y no ha sido declarado como “adecuado”. Sin embargo, una decisión favorable de adecuación podría ser importante, ya que permitiría la libre transferencia de datos personales entre la UE y Chile (sin necesidad de salvaguardas especiales o  de esperar decisiones de autoridades competentes), impactando positivamente la inversión extranjera y la reputación internacional del país. Además, las relaciones de intercambio y transacciones en general entre países considerados con una legislación “adecuada” en datos personales y estados miembros de la UE suele resultar más fluida.

¿Cuál es la situación actual en nuestra región? En Sudamérica, solo Argentina y Uruguay han recibido una declaración favorable de adecuación de la CE  (Argentina tiene una madura legislación de datos que se remonta al año 2000, y además es parte del Convenio 108 del Consejo de la UE; por su parte, Uruguay posee una legislación de protección de datos desde 2008). Ningún otro país de la región cuenta con esta declaración, aunque la nueva Ley N° 21.719 de Chile cumple con gran parte de los requisitos del RGPD, al menos “en el papel”.

Pero, ¿es suficiente con tener una normativa adecuada en “el papel”? En la práctica, vemos que la respuesta es no. Si vemos a nuestros países vecinos vemos que el tener una normativa compatible con el RGPD, ni contar con un organismo independiente que controle el cumplimiento de la normativa de datos personales ha sido suficiente. A modo de ejemplo, Perú tiene la Autoridad Nacional de Protección de Datos Personales, y Brasil tiene la Autoridad Nacional de Protección de Datos de Brasil, sin embargo aún no han obtenido la referida declaración.

¿Qué se requiere entonces? En conclusión, a primera vista se vislumbra que Chile podría contar en un futuro (idealmente cercano) con una calificación sobre su regulación de datos personales como adecuada”, pero para que esto ocurra, al menos las siguientes cosas deberían suceder primero:

• Que la nueva normativa sea debidamente observada “en la práctica” por los obligados dentro del territorio nacional.
• Que la Agencia de Protección supervise el cumplimiento, controle y sancione las infracciones.
• Contar con un compromiso político e institucional del Estado de largo plazo (considerando que el proceso es extenso, y suele conllevar negociaciones internacionales), estrechando y manteniendo las relaciones políticas y económicas bilaterales sólidas con la UE, e invirtiendo tiempo y esfuerzos en un proceso que en ocasiones puede llegar a durar años.

*Oliver Ortiz, Gerente de Intangibles, Datos y Tecnología en Deloitte Legal.