“Te cuento una cosa, pero no te puedo decir quién es, porque se va a enojar.”
Y aun así te la cuentan. Que fue el martes pasado. Que en tal calle, a la salida del trabajo. Que llevaba puesta una chaqueta roja y el celular pegado a la oreja. Detalle tras detalle, mientras el nombre queda cuidadosamente guardado bajo llave.
Nunca te dieron el nombre. No hace falta: a la tercera frase tú ya sabes exactamente de quién se hablaba.
Guárdate esa escena, porque es toda la Ley sobre Protección y Tratamiento de los Datos Personales en miniatura.
¿Qué cuenta como dato personal según la Ley 21.719?
La Ley 21.719 define dato personal como toda información vinculada a una persona natural identificada o identificable (está en el artículo 2, para el que le gusta ir a la fuente). Léelo despacio: identificada o identificable. Identificada es lo obvio, tu nombre, tu RUT, tu foto; identificable es donde está toda la ley escondida.
Identificable quiere decir que no hace falta que el dato te nombre. Basta con que, con él, se pueda llegar hasta ti. Igual que con la chaqueta roja.
Y ahí va la primera herramienta, la que te puedes llevar a tu empresa esta misma semana:
El test de identificabilidad: ¿puedo llegar a una persona concreta con este dato, solo o cruzándolo con otra cosa? Si la respuesta es sí, es dato personal. Da lo mismo si se ve inofensivo.
Una planilla de correos laborales. Un listado de patentes. El registro de quién entró a qué hora. Aplícale el test a cada cosa que tu empresa guarde y te vas a sorprender de cuántas respuestas son “sí”.
El problema no es conseguir los datos. Es juntarlos.
Hace unos años armamos un programa que entraba al registro público de vehículos y sacaba quién era dueño de cada auto de cierta marca en el país. Cruzado con otro programa que sacaba de un portal de autos usados, salía una base de datos completa: nombre, dirección, teléfono, de cada dueño.
Lo mismo se hacía en otros países, con el registro equivalente. Y ojo con esto: nada de eso venía de una filtración ni de un hackeo. Todo público, todo suelto en sitios distintos, todo disponible para cualquiera con ganas de ordenar.
El problema era juntarlo.
Por separado, cada fuente contaba una parte de la historia. Pero al cruzarlas nació un perfil que ninguno de los dos sitios, por su cuenta, habría podido construir. El dato personal no siempre existe de antemano: a veces se construye.
Y por supuesto, nadie usó esa base solo para vender autos. En algún momento alguien terminó jugando con ella, a ver quién tenía un Tesla, en Lo Barnechea, del año que fuera. Ese es el chiste negro de los datos: la mayoría de las veces no hace falta ninguna proeza técnica. Solo hay que ser ordenado.
Ahí va la segunda enseñanza, la que casi nadie internaliza: el riesgo no está en el dato, está en el cruce. Cuando evalúes qué guarda tu empresa, no mires cada planilla por separado. Míralas juntas, como las miraría alguien con tiempo y una hoja de cálculo.
No se necesita tu nombre para saber quién eres.
Las cámaras de un mall leen tu patente al entrar. No tu nombre: tu patente. ¿Es eso dato personal?
Aplica el test. La patente, en el registro de vehículos, lleva a un dueño. El horario de entrada y salida dice cuándo estuviste. Ninguno de esos datos lleva tu nombre escrito, pero todos te señalan con el dedo. La ley los trata como lo que son: datos personales. Porque la identificabilidad no se mide por lo que el dato dice, sino por lo que el dato permite saber. Una patente es tu nombre con otro traje.
A mí me cargan las defensas tipo “es que nosotros no guardamos nombres, solo códigos”. Felicidades, guardas identificadores. Que es exactamente lo mismo con pasos extra.
Tu Excel también está regulado.
Ahora bajemos del mundo de los programas informáticos y las cámaras al mundo real de la mayoría de las empresas chilenas: la planilla.
En cualquier trabajo existe un archivo con el RUT, la dirección y el horario de cada persona. Vive en un Drive compartido con más gente de la que te imaginas. No me extrañaría que en tu empresa exista uno o varios similares
Aquí la enseñanza es corta y tajante: el soporte no importa. La ley no distingue entre un CRM enterprise de millones de dólares y ese Excel con fórmulas rotas. Si tiene datos personales, está igual de regulado. El papel también, por si acaso: esa carpeta con copias de contratos en la oficina es lo mismo que el Drive, solo que con olor a tinta.
Y el riesgo no es el hacker de película, encapuchado frente a seis pantallas. He visto el riesgo y es mucho más aburrido: que el link del Drive esté con “cualquiera con el enlace puede ver”, y que lo vea quien no debe. Un ex trabajador que todavía tiene acceso. Un proveedor al que le compartieron la carpeta entera para pasarle un archivo.
Eso no es un ciberataque. Es un martes.
¿Qué pasa cuando un dato puede cambiar cómo te tratan?
Sigamos en el mall. Junto a las cámaras y las patentes, existen los reportes internos de accidentes: alguien se resbaló en el nivel dos, se golpeó con una puerta, se cayó de la escalera. Y en esos reportes a veces aparece el nombre completo de la persona accidentada. A veces, el de un niño. Ese detalle, por si acaso, cambia la magnitud del problema.
Ahora la historia que de verdad me explicó la magnitud y la diferencia no pasó en un mall. Pasó después de unos tornados, cuando trabajaba para un banco gringo.
Me tocó un proyecto de no pago post-tornados: clientes en zonas destruidas que debían plata. Con la data que teníamos, sabíamos quién probablemente no iba a pagar ese mes. Y uno piensa lo obvio: fácil, se les baja la tasa, les damos un respiro. No se podía. Las leyes de protección de datos, cruzadas con las de no discriminación, te frenan en seco justo ahí: no puedes decidir a quién ayudar basándote en zona, edad o nivel socioeconómico, aunque la intención sea buena.
Raya para la suma, dimos vuelta el análisis: en vez de decidir a quién ofrecerle qué, estimamos la cantidad de plata que se iba a recuperar y en cuanto tiempo. Mismo problema, resuelto sin pisar el palito.
De esa experiencia me quedó grabado un punto clave: los datos sensibles no son peligrosos solo cuando alguien quiere hacerte daño. Son datos con los que se puede discriminar incluso queriendo ayudar. Por eso la ley les da una protección especial.
¿Qué datos son sensibles y por qué la ley los protege distinto?
Y hay datos con los que este problema se vuelve todavía más delicado.
El listado es: datos de salud, datos biométricos, origen étnico o racial, afiliación política, sindical o gremial, convicciones ideológicas o filosóficas, creencias religiosas, situación socioeconómica, vida sexual, orientación sexual o identidad de género. Mira el listado de nuevo y nota el patrón: no son solo datos que permiten saber quién eres. Son datos que pueden revelar aspectos especialmente íntimos, privados o sensibles de tu vida. Y por eso el daño potencial también es distinto.
A veces el daño es el juicio: que alguien decida quién eres antes de conocerte, que te cueste un trabajo, un seguro, un trato distinto. Cosas que no deberían cambiar cómo te tratan, y sin embargo lo cambian todos los días.
A veces el daño no es que te juzguen: es que te expongan. Un resultado médico que implica algo grave es tuyo. Tú decides si se lo cuentas a tu familia, a tus hijos, a tu pareja o a nadie. Si eso se filtra, nadie tuvo que discriminarte: te quitaron la decisión. Y eso ya es el daño.
Una precisión que importa: sensible no es una opinión, es una categoría legal. No basta con que a ti te parezca delicado un dato para que la ley lo trate distinto. Pero hay una pregunta que explica por qué esos datos específicos están en la lista, y que sirve para reconocerlos al tiro: ¿qué pasa si este dato se usa para juzgarte o para exponerte? Cada categoría está ahí porque la respuesta es “nada bueno”. Y cuando estás frente a una de ellas, la vara sube de inmediato.
¿Cuánto sube? La regla general es el consentimiento expreso, no basta el clic genérico perdido entre cuarenta casillas, que es básicamente decorativo. Las excepciones existen, pero son pocas y están escritas una por una en la ley; esa discusión completa va en el capítulo de datos sensibles de esta serie. La idea de fondo es simple: no es “ten más cuidado”. Es “necesitas una base legal válida para hacerlo, y cuando la base sea el consentimiento, tiene que ser expreso”.
Lo del niño en el reporte del mall es doble: es dato personal de un menor y, si además contiene información de salud u otra categoría especialmente protegida, puede ser también dato sensible. Ese es otro tema que da para un capítulo entero, así que hoy solo queda dicho que cuando hablamos de niños, niñas y adolescentes, la ley agrega reglas especiales y pone el interés superior y la autonomía progresiva en el centro.
Tener acceso a un dato ≠ tener permiso para usarlo como quieras.
Una universidad tiene tus notas, tu RUT, tu dirección, todo legítimo, todo necesario para que estudies. Pero algunas también revisan qué comentas o a qué le das “me gusta” en redes sociales: postulantes, alumnos, a veces sin fijarse siquiera en si la cuenta pertenece a alguien menor de edad.
Tu diras: ¿Y? El perfil es público, dirá más de uno. Cualquiera puede verlo.
Cualquiera puede verlo, sí. Pero fíjate en el salto que hay entre “este dato existe y yo puedo acceder a él” y “yo puedo usar este dato para decidir si te acepto, si te beco, si te miro distinto en una entrevista”. Son dos cosas distintas, y la ley las trata como dos cosas distintas.
La chaqueta roja, otra vez
Esa pregunta queda abierta a propósito. Mientras tanto, vuelve al principio. La chaqueta roja, la calle, el martes. Nadie dijo un nombre, y sin embargo tú ya sabías de quién se hablaba.
Así funciona el mundo de los datos: nadie te preguntó nada, y aun así saben quién eres. Porque casi nunca hace falta que alguien se robe tu identidad de una vez. Basta con juntar las pistas que tú y todos vamos dejando, la patente, el horario, la planilla, el me gusta y ser ordenado.
El dato personal casi nunca se roba: se junta.
Y por eso la ley no llegó a proteger tu nombre, que al final es lo de menos. Llegó a proteger la posibilidad de que esas pistas se crucen y, de pronto, aparezcas tú.