Por Lucas Chávez*
“Tenemos que ser muy precavidos para que la Ley de Protección de Datos no aumente la mochila regulatoria de las empresas”. Así expresa el subsecretario de Economía y Empresas de Menor Tamaño, Karlfranz Koehler, la preocupación del Gobierno por los costos que la Ley N.º21.719 podría imponer a las pymes. Aunque atendible, esta inquietud lleva a preguntarse si postergar la entrada en vigor es la respuesta más adecuada.
En rigor, la propia ley contempla mecanismos para ajustar las exigencias a las características de cada responsable. Uno de sus artículos encomienda a la Agencia establecer estándares diferenciados para los deberes de información y seguridad, atendiendo, entre otros factores, al tamaño de la empresa, su actividad y la naturaleza y el volumen de los datos tratados. A ello se añaden los modelos de prevención de infracciones, cuya certificación puede producir efectos favorables en materia de responsabilidad, así como la obligación de considerar la capacidad económica del infractor al determinar la multa. A su vez, las sanciones calculadas sobre los ingresos anuales se reservan a empresas que no son de menor tamaño y reinciden en infracciones graves o gravísimas, mientras que, durante el primer año de vigencia, la ley permite sustituir una multa por una amonestación escrita tratándose de empresas de menor tamaño.
Resulta entonces llamativo que el proyecto pretenda extender esta última posibilidad a responsables de cualquier dimensión, desdibujando la distinción trazada por el legislador. Esto no minimiza las dificultades de implementación. Para muchas empresas, el desafío no radica solo en conocer sus obligaciones, sino en comprender su alcance y traducirlo en procedimientos concretos, tarea que se encarece por la falta de asesoría especializada y la incertidumbre interpretativa, sobre todo cuando los recursos son limitados. Una prórroga, por sí sola, concede tiempo, pero no despeja esas incertidumbres ni proporciona herramientas para sobrellevarlas.
Por esto, la discusión debiera tomar un giro y considerar también cómo fortalecer la capacidad de la Agencia para facilitar el cumplimiento de las empresas. Esta debería extender su rol de mero fiscalizador y proveer bienes públicos regulatorios entre los diversos ecosistemas. Por ejemplo, herramientas y orientaciones técnicas que reduzcan los costos de interpretar y aplicar la normativa, evitando que cada empresa deba desarrollar por separado soluciones que serán útiles para el conjunto de los regulados. Entre ellas, modelos de políticas de tratamiento, plantillas para evaluaciones de impacto y diagnósticos dirigidos a las pymes y sectorizado según la industria o giro de referencia. Una herramienta de interés es el de la Agencia Española de Protección de Datos con Facilita RGPD, destinada a empresas y profesionales que realizan tratamientos de bajo riesgo.
En definitiva, alivianar la carga de las pymes requiere algo más que postergar la entrada en vigor de la ley: exige, entre otras cosas, reducir los costos que dificultan su adecuación y dotar a la Agencia de instrumentos para facilitarla. Se trata, en último término, de hacer efectiva la proporcionalidad que el legislador ya incorporó al régimen, mediante una institucionalidad práctica capaz de traducir sus exigencias en obligaciones comprensibles y al alcance de este segmento.
*Lucas Chávez
Abogado
B2SG Legal
