Pierino Stucchi: Nueva regulación sobre datos personales

Los datos personales pueden consistir en los nombres, teléfonos y direcciones electrónicas o físicas de las personas, así como también en su imagen, datos biométricos y en todo aquello que permita identificarlas, segmentarlas, contactarlas o producir información sobre ellas. Las empresas necesitan no sólo asegurarse de que cumplen con las novedades de la nueva regulación, sino también de que están cumpliendo con todas las obligaciones en esta materia.

LEA TAMBIÉN: Fiscalización a empresas por protección de datos: ¿cuándo se genera una obstrucción?

Fundamentalmente, las empresas deben:

• Revisar sus procesos para identificar los bancos (bases) de datos personales que manejan y sus características, de modo que cumplan con la obligación de inscribirlos ante la autoridad, indicando los flujos transfronterizos que realicen.
• Asegurarse de que los datos personales que recopilen sean de fuentes lícitas, así como proporcionales con la finalidad legítima que persiguen con su utilización. No deben recopilar datos en exceso.
• Implementar mecanismos para obtener el consentimiento libre, previo, informado, explícito e inequívoco de las personas que les entregan sus datos, pues ellas son consideradas dueñas de su información. El nuevo reglamento prevé la posibilidad de realizar un primer y único contacto (por ejemplo, vía llamada telefónica) con la finalidad de obtener este consentimiento. Existen excepciones. No se requiere consentimiento, por ejemplo, para cumplir la obligación de dar información a un cliente o cumplir con obligaciones en favor de un trabajador.
• Implementar medidas legales, organizativas y técnicas que garanticen la confidencialidad y seguridad de los datos personales, así como eviten su alteración, pérdida, tratamiento o acceso no autorizado. El nuevo reglamento ha establecido, en ciertos casos, la obligación de designar un Oficial de Datos Personales, así como de reportar a la autoridad y a los titulares de los datos los incidentes de seguridad. Asimismo, establece que la implementación de un Código de Conducta será una atenuante de la responsabilidad empresarial en caso de que se cometa una infracción en esta materia.
• Contar con un canal que permita atender adecuada y oportunamente los derechos de acceso, rectificación, cancelación y oposición. El nuevo reglamento regula el derecho de revocación del consentimiento y establece el derecho de portabilidad de datos en favor de las personas.

Finalmente, se fortalece la capacidad de fiscalización y sanción de la autoridad (que puede imponer multas de hasta 100 UIT por infracción). Sin embargo, lo más importante siempre será que una empresa garantice a sus clientes, trabajadores y demás personas relacionadas, que utiliza y conserva sus datos asegurando su privacidad.