¿Está cumpliendo su Organización las nuevas medidas en cuanto a protección de datos personales?

Durante 2020 se modificó la normativa referida a las obligaciones que tienen las empresas en relación al deber de protección de los datos personales. Dicha normativa incluye actualmente las leyes N° 18.331 de Protección de Datos Personales y Acción de Habeas Data y N° 19.670, los decretos N° 414/009 y el más reciente N° 64/020, así como otras normas complementarias. Los cambios introducidos en 2020 generaron nuevas obligaciones, las que repasamos a continuación.

Datos personales y datos sensibles

Todas las empresas manejan en mayor o menor medida, datos personales. Éstos comprenden información de cualquier tipo referida a personas físicas o jurídicas determinadas o determinables, lo que implica a modo de ejemplo nombre, dirección, RUT, documento de identidad, teléfono, fotografía, etc.

La normativa también refiere a lo que debe considerarse un dato sensible, definiéndolo  como datos personales que revelen origen racial y étnico, preferencias políticas, convicciones religiosas o morales, afiliación sindical e informaciones referentes a la salud o a la vida sexual.

Deber de protección

Las Organizaciones están obligadas a velar por la protección de los datos personales -especialmente los sensibles- tomando las medidas necesarias para evitar toda posible utilización de los mismos por parte de terceros no autorizados.

Nuevas obligaciones

A quiénes aplica

Las nuevas obligaciones aplican a quienes estén en situaciones donde pueda:

• Utilizarse datos sensibles como negocio principal.
• Proyectarse un tratamiento permanente o estable de datos especialmente protegidos.
• Implicar una evaluación de aspectos personales de los titulares con el fin de crear o utilizar perfiles personales, particularmente la predicción del rendimiento en el trabajo, situación económica, salud, preferencias o intereses personales, fiabilidad de comportamiento y solvencia financiera y localización.
• Llevarse a cabo el tratamiento de datos de grupos de personas en situación de especial vulnerabilidad y, en particular, de menores de edad o personas con discapacidad.
• Producirse un tratamiento de grandes volúmenes de datos personales. Se considera grandes volúmenes de datos cualquier actividad en la que se realice un tratamiento de datos personales de más de 35.000 personas.
• Transferirse datos personales a otros Estados u organizaciones internacionales respecto de los que no exista nivel adecuado de protección.
• Darse otras situaciones que determine la Unidad Reguladora y de Control de Datos Personales.

Evaluación del impacto de la protección

De acuerdo con la actual normativa, las empresas deberán efectuar una evaluación del impacto de la protección de datos que realizan, en forma previa al inicio del tratamiento. Esto implica, como mínimo:

• Una descripción sistemática del tratamiento a realizar y su finalidad.
• Una evaluación del tratamiento con relación al cumplimiento de la normativa de protección de datos personales.
• Una evaluación de los riesgos para los derechos de los titulares de los datos.
• Un detalle de las medidas de seguridad y de los mecanismos para demostrar el cumplimento de la normativa de protección de datos personales.
• Contar con un delegado de protección de datos.

Delegado de protección de datos

De acuerdo con la normativa, deberán designar un delegado de protección de datos personales:

• Entidades públicas, estatales o no estatales y las privadas total o parcialmente de propiedad estatal.
• Entidades privadas que traten datos sensibles como negocio principal.
• Entidades privadas que realicen tratamiento de grandes volúmenes de datos. Se considera tratamiento de grandes volúmenes de datos cualquier actividad en la que se realice un tratamiento de datos personales de más de 35.000 personas.
• La Unidad Reguladora y de Control de Datos Personales, de oficio o ante gestión realizada ante la misma, podrá expedirse sobre la pertinencia de que una entidad privada cuente con un delegado de protección de datos.

Las funciones principales de los delegados de protección de datos serán:

• Asesorar en la formulación, diseño y aplicación de políticas de protección de datos personales.
• Supervisar el cumplimiento de la normativa sobre dicha protección en la entidad o entidades para las que preste servicios.
• Proponer todas las medidas que entienda pertinentes para adecuarse a la normativa y a los estándares internacionales en materia de protección de datos personales y verificar su realización.
• Actuar como nexo entre su entidad y la Unidad Reguladora y de Control de Datos Personales.

El delegado de protección de datos podrá desempeñar sus funciones a través de cualquier modalidad contractual, sea que implique dependencia o no.

Reflexiones finales

La nueva normativa ha impuesto la necesidad de realizar formalmente un análisis de riesgos completo relacionado con la protección de los datos. Más allá de esto, en la medida en que la metodología que debe seguirse es la misma que para efectuar el análisis de riesgo de cualquier otro aspecto del negocio, en los casos en que la empresa cuente con un sistema de gestión de riesgos (ERM) ya existente, será cuestión de incorporarlo al mismo. Pero en casos en que la compañía aun no cuente con un ERM, puede ser una excelente oportunidad para incursionar en el tema, como un puntapié inicial para extender dicho sistema al resto de la compañía. En conexión con lo anterior, es importante recordar que los marcos de gestión de riesgos modernos apuntan a tratar los mismos partiendo desde los objetivos del negocio que se pueden ver afectados. Esto representa una gran ventaja, en la medida en que las decisiones que se toman en relación al manejo de los riesgos, incluyendo las inversiones para mitigarlos, están directamente asociadas a la consecución de los objetivos del negocio y no son acciones “aisladas” de difícil comprensión.

Si necesita mayor información sobre la normativa actual sobre protección de datos o manejo de riesgos empresariales, no dude en contactarnos.