Serie: Ley 21.719, pieza por pieza — Parte 2
Hay una pregunta que aparece una y otra vez cuando una empresa empieza a mirar la Ley 21.719:
“¿Pero necesito el consentimiento del cliente para guardar sus datos?”
La respuesta corta es: no.
Y entender esto cambia bastante la forma en que una empresa debería pensar su cumplimiento.
Porque una cosa es que la ley proteja los datos personales y otra muy distinta es que, para cada dato que una empresa quiera tratar, alguien tenga que firmar un papelito diciendo “sí, acepto”.
No funciona así.
La Ley 21.719 establece distintas bases de licitud que permiten tratar datos personales. El consentimiento es una de ellas. Es probablemente la más conocida, la más visible y la que más casilleros hemos marcado durante años.
Pero no es la única.
Y muchas veces, ni siquiera es la correcta.
La pregunta equivocada
Cuando una empresa empieza a revisar sus datos, normalmente la primera pregunta es:
“¿Tenemos consentimiento?”
Yo empezaría por otra:
“¿Cuál es la base de licitud que permite este tratamiento?”
Parece un cambio pequeño. No lo es.
Porque si una empresa necesita el RUT de un trabajador para pagarle el sueldo, pedirle consentimiento para procesar su remuneración no tiene mucho sentido.
Si necesita determinados datos para cumplir una obligación tributaria, tampoco.
Si una persona contrata un servicio y la empresa necesita sus datos para ejecutar ese contrato, pedir un consentimiento adicional para poder cumplir lo que acaba de contratar tampoco necesariamente corresponde.
La pregunta no es siempre “¿me dieron permiso?”.
La pregunta es “¿por qué tengo derecho a tratar este dato?”
Y ahí entramos al artículo 13.
Las puertas del artículo 13
La Ley 21.719 establece distintas situaciones en las que es lícito tratar datos personales sin consentimiento del titular.
Vamos pieza por pieza.
a) Obligaciones económicas, financieras, bancarias o comerciales
Esta base permite determinados tratamientos relacionados con información económica, financiera, bancaria o comercial.
Es el mundo de los créditos, obligaciones comerciales y otros tratamientos que la propia ley contempla.
La idea importante es que no todo tratamiento relacionado con información personal necesita transformarse en una casilla de consentimiento.
La ley establece cuándo existe una habilitación para hacerlo.
b) Cumplir una obligación legal
Esta es probablemente la más fácil de entender.
Si una norma obliga a la empresa a realizar un tratamiento, no tiene sentido que el cumplimiento de esa obligación dependa de que el titular diga que sí.
Una empresa procesa información de sus trabajadores para cumplir obligaciones laborales, previsionales o tributarias.
No necesita preguntarle a cada trabajador:
“¿Consientes que cumplamos la ley?”
Por suerte, no funciona así.
La base jurídica está en la propia obligación legal.
c) Ejecutar un contrato
Esta es otra situación cotidiana.
Una persona contrata un servicio y, para prestárselo, la empresa necesita determinados datos.
Nombre.
Dirección.
Datos de contacto.
Información necesaria para facturar.
Información necesaria para entregar el producto o prestar el servicio.
Si el tratamiento es necesario para ejecutar el contrato, el contrato puede ser la base de licitud.
No necesitas poner encima otra capa de “consentimiento” solo porque estás tratando datos personales.
De hecho, hacer eso indiscriminadamente puede terminar confundiendo dos cosas distintas: lo que la empresa necesita para cumplir el contrato y aquello para lo que realmente está pidiendo una decisión adicional al titular.
d) Interés legítimo
Y aquí aparece una de las piezas más interesantes de la nueva ley.
El interés legítimo permite determinados tratamientos cuando existe un interés legítimo del responsable o de un tercero, siempre considerando los derechos y libertades de la persona.
No significa:
“Tengo un interés, así que puedo hacer lo que quiera.”
Ojalá fuera tan fácil.
La lógica es precisamente la contraria: hay que poder justificar que existe un interés legítimo y que ese interés no termina desplazando injustificadamente los derechos de la persona.
Un ejemplo bastante más razonable que el típico “quiero vender más” es la seguridad.
Una empresa puede tener un interés legítimo en proteger sus instalaciones, prevenir determinados incidentes o reforzar la seguridad de sus sistemas.
Pero eso no significa que pueda utilizar cualquier dato obtenido por seguridad para cualquier otra finalidad.
Porque aquí aparece una distinción fundamental:
tener una base de licitud no significa tener carta blanca.
e) Ejercer o defender un derecho ante tribunales u órganos públicos
Hay situaciones en las que una empresa necesita tratar determinados datos para ejercer o defender derechos ante tribunales u organismos públicos.
Una demanda.
Una defensa.
Una reclamación.
Una fiscalización.
Una actuación ante una autoridad.
En esos casos, nuevamente, el tratamiento puede estar permitido por una base distinta del consentimiento.
La prueba no necesita pedir permiso a la propia prueba para existir.
Entonces, ¿para qué sirve el consentimiento?
Para las situaciones en que realmente corresponde.
Por ejemplo, piensa en un programa de fidelización.
Una tienda quiere que sus clientes se inscriban para recibir ofertas, beneficios o comunicaciones comerciales.
La persona puede querer hacerlo.
O puede no querer.
Ahí tiene sentido que exista una decisión del titular.
Y esa decisión debe cumplir las condiciones que establece la ley.
El consentimiento debe ser:
Libre.
No debería estar disfrazado de obligación cuando el tratamiento no es necesario para prestar el servicio.
Específico e informado.
La persona tiene que saber para qué está entregando sus datos.
“Para fines comerciales” no debería convertirse en un comodín que permita hacer cualquier cosa.
Inequívoco y previo.
Tiene que existir una manifestación clara de voluntad. El silencio, la ambigüedad o una casilla previamente marcada no deberían transformarse mágicamente en un “sí”.
Y hay algo especialmente importante:
Dar consentimiento y retirarlo deben ser procesos razonables
La persona puede retirar su consentimiento.
Y la ley establece que debe poder hacerlo en cualquier momento, sin necesidad de justificar su decisión y mediante medios similares a los utilizados para otorgarlo.
Si suscribirse a una comunicación toma un clic, darse de baja no debería requerir tres formularios, una llamada telefónica y una visita presencial.
El botón de salida debería ser tan accesible como el botón de entrada.
Y además existe otra obligación que para las empresas es fundamental:
la carga de demostrar que el consentimiento existió es del responsable.
No basta con decir:
“Sí, alguna vez nos autorizó.”
Hay que poder demostrarlo.
Cuándo.
Cómo.
Para qué.
Y bajo qué condiciones.
Ahí el consentimiento deja de ser solamente un concepto jurídico y se convierte en un problema de gobierno de datos.
La base de licitud no es carta blanca
Este punto merece quedarse grabado.
Puedes tener una base legal para tratar un dato y, aun así, estar tratándolo incorrectamente.
Porque la base de licitud responde una pregunta:
¿Por qué puedo tratar este dato?
Pero la ley también exige responder otra:
¿Para qué lo estoy tratando?
Ahí entra el principio de finalidad.
Los datos deben recolectarse para fines específicos, explícitos y lícitos, y el tratamiento debe mantenerse dentro de esos fines.
Si tienes el RUT de un cliente porque necesitas emitirle una factura, eso no significa automáticamente que puedas utilizar ese mismo RUT para cualquier otra cosa que se te ocurra.
Tener la pieza no significa que puedas ponerla donde quieras.
Y esta diferencia es especialmente importante para las empresas que están empezando a ordenar sus datos.
Porque muchas veces el problema no es que la empresa no tenga una base legal.
El problema es que nadie sabe exactamente para qué se está usando cada dato.
¿Cómo se ve esto en una pyme?
Pensemos en situaciones bastante normales.
Una constructora tiene trabajadores.
Necesita tratar determinados datos para gestionar remuneraciones y cumplir obligaciones laborales, previsionales y tributarias.
No necesita pedir consentimiento para cada uno de esos tratamientos.
Una empresa vende productos y necesita despacharlos.
Puede necesitar nombre, dirección y datos de contacto para ejecutar el contrato y realizar la entrega.
Nuevamente: no todo depende del consentimiento.
Una empresa implementa videovigilancia para proteger sus instalaciones.
Puede existir un interés legítimo asociado a la seguridad, pero eso no significa que pueda utilizar las imágenes para cualquier otra finalidad.
Una clínica trata información de sus pacientes.
Aquí la cosa cambia, porque estamos hablando de datos especialmente protegidos y la ley establece exigencias adicionales.
No es lo mismo tratar información necesaria para prestar atención sanitaria que utilizar esos mismos datos para enviar campañas comerciales.
Un retail quiere enviar ofertas personalizadas a sus clientes.
Ahí puede entrar el consentimiento, dependiendo de la finalidad y de la base de licitud aplicable.
¿Ves el patrón?
En la operación diaria de una empresa, la ley no está diciendo:
“Pide permiso para todo.”
Está diciendo algo bastante más interesante:
“Cada tratamiento debe tener una razón jurídica que puedas explicar y demostrar.”
La pregunta que debería empezar a hacerse tu empresa
En vez de construir una enorme base de datos y después preguntarse cómo cumplir la ley, una empresa debería poder mirar cada tratamiento y responder, como mínimo:
¿Qué dato tengo?
¿Para qué lo uso?
¿Cuál es mi base de licitud?
¿Puedo demostrarla?
Y después viene la siguiente pregunta:
¿Qué derechos tiene la persona sobre ese tratamiento?
Porque la nueva ley no solamente cambia las reglas sobre cómo las empresas pueden tratar datos.
También amplía las herramientas que tiene la persona para controlar lo que ocurre con ellos.
Y esa es la siguiente pieza del lego.
Acceso. Rectificación. Supresión. Oposición. Portabilidad. Bloqueo.
Seis derechos que obligarán a muchas empresas a dejar de responder los correos de sus clientes con un simple:
“Estimado, no tenemos esa información.”
Porque a partir de ahí ya no basta con tener los datos.
Hay que saber dónde están, qué se hizo con ellos y cómo responder cuando su dueño pregunte por ellos.
Si tu empresa no sabe responder esas preguntas para cada dato que tiene, escribeme: ricardo.soto@datashieldconsulting.cl