¿Es privada la información personal en Chile?

Todo comenzó cuando aparecieron en FayerWayer un par de links a unas bases de datos que contenían información personal de 6 millones de chilenos. La primera reacción fue alerta y preocupación por la filtración de esta información que ahora cualquier persona podría explotar o dar un mal uso. De inmediato, JI Stark se comunicó con la Brigada de Cibercrimen de la Policía de Investigaciones, y la noticia recorrió todos los medios llegando incluso hasta CNN y la BBC. Mayor investigación demostró que muchos de estos datos no eran muy difíciles de obtener y que otros incluso ya eran públicos. Nuestro propio analfabeto tecnológico, el vocero de La Moneda, Ministro Francisco Vidal, aseguró que lo que había ocurrido era “grave” pero que no era responsabilidad del Gobierno. Más allá, dejó claro que su preocupación era si se habían hackeado los servidores de organismos públicos, ya que obviamente “la lista no se obtuvo por licitación pública en ChileCompra”. ¿Licitación pública? ¿Esta lista se podría haber comprado legalmente sin mayores inconvenientes? ¿Nuestra información privada la puede poner a la venta un organismo público? Insólitamente, así es.

Parto por aclarar que no soy abogado, que con suerte entiendo una Ley al leerla, pero después de todo este escándalo, decidí revisar la Ley 19.628 (PDF). Esta Ley es la que trata “Sobre protección de la vida privada o protección de datos de carácter personal”. Al empezar a leerla, parece todo normal como uno espera. Pero a medida que profundizas, te empiezas a dar cuenta que la información privada en Chile no es tan privada.

Partamos por el principio. “Titulo Preliminar”, Artículo 3:

Artículo 3.- En toda recolección de datos personales que se realice a través de encuestas, estudios de mercado o sondeo de opinión pública u otros instrumentos semejantes, sin perjuicios de los demás derechos y obligaciones que esta ley regula, se deberá informar a las personas del carácter obligatorio o facultativo de las respuestas y el propósito para el cual se está solicitando la información. La comunicación de sus resultados debe omitir las señas que puedan permitir la identificación de las personas consultadas.

El titular puede oponerse a la utilización de sus datos personales con fines de publicidad, investigación de mercado o encuestas de opinión.

Es decir, una empresa que obtenga tu información mediante una encuesta o estudio de mercado, no podrá identificar a las personas consultadas — excelente. Adicionalmente, las personas consultadas podrán oponerse a la utilización de sus datos personales, pero para eso deberá… oponerse. Por defecto tu información no está protegida.

Luego nos encontramos con el “Título I – De la utilización de datos personales”. Nuevamente, el Artículo 4 parte dibujando una sonrisa en nuestros rostros:

Artículo 4.- El tratamiento de los datos personales sólo puede efectuarse cuando esta ley u otras disposiciones legales lo autoricen o el titular consienta expresamente en ello. La persona que autoriza debe ser debidamente informada respecto del propósito del almacenamiento de sus datos personales y su posible comunicación al público. La autorización debe constar por escrito.

Vamos bien. El tratamiento de los datos personales (es decir, la recolección, almacenamiento, grabación, organización, elaboración, selección, extracción, confrontación, interconexión, disociación, comunicación, cesión, transferencia, transmisión o cancelación de datos de carácter personal) requiere la autorización por escrito del titular. Es decir, no pueden usar tu información privada sin tu autorización — lamentablemente, no todos leemos la letra chica y muchas veces damos la autorización sin darnos cuenta.

¿Quieren una linda sorpresa? No todos requieren tu autorización para el tratamiento de tus datos:

Artículo 4.- [...] No requiere autorización el tratamiento de datos personales que provengan o que se recolecten de fuentes accesibles al público, cuando sean de carácter económico, financiero, bancario o comercial, se contengan en listados relativos a una categoría de personas que se limiten a indicar antecedentes tales como la pertenencia del individuo a ese grupo, su profesión o actividad, sus títulos educativos, dirección o fecha de nacimiento, o sean necesarios para comunicaciones comerciales de respuesta directa o comercialización o venta directa de bienes o servicios.

¿Pero cuales son las “fuentes accesibles al público”? Según la Ley, son “los registros o recopilaciones de datos personales públicos o privados, de acceso no restringido o reservado a los solicitantes”. No se ustedes, pero yo quedé igual. Sólo entiendo que parte de mi información privada, aparentemente no lo es y hay varios casos en que pueden usar mi información sin mi autorización. Vamos mal.

Por suerte al menos deben hacerse responsables de cualquier cosa que le suceda a tu información personal:

Artículo 11.- El responsable de los registros o bases donde se almacenen datos personales con posterioridad a su recolección deberá cuidar de ellos con la debida diligencia, haciéndose responsable de los datos.

Pasemos al “Título II – De los derechos de los titulares de datos”. Es decir, que derechos tienes tu sobre tus propios datos personales:

Artículo 12.- Toda persona tiene derecho a exigir a quien sea responsable de un banco, que se dedique en forma pública o privada al tratamiento de datos personales, información sobre los datos relativos a su persona, su procedencia destinatario, el propósito del almacenamiento y la individualización de las personas y organismos a los cuales sus datos son transmitidos regularmente.

Por suerte, cada uno tiene el derecho de poder informarse sobre su propia información privada. También especifica que puedes solicitar la modificación de tus datos si son inexactos y la eliminación de los mismos sólo si los entregaste de manera voluntaria.

El “Título III” es un poco aburrido, y más que nada vuelve a insistir que las instituciones de índole “económico, financiero, bancario o comercial” pueden compartir tu información privada entre ellas, con un límite de “siete años desde que la respectiva obligación se hizo exigible”. Por esta razón muchas veces te terminan llamando de una institución financiera a la cual tu no perteneces, ofreciendo un préstamo o tarjeta de crédito, sin que tu jamás le hayas entregado tus datos personales ni autorizado a usarlos. La Ley los autoriza a hacerlo.

Llegamos al “Título IV”, dónde nuevamente la cosa se pone picante: “Del tratamiento de datos por organismos públicos”. Si, el mismo tipo de organismo cuyas bases de datos este fin de semana salieron a conocer el mundo.

Artículo 20.- El tratamiento de datos personales por parte de un organismo público sólo podrá efectuarse respecto de las materias de su competencia y con sujeción a las reglas precedentes. En estas condiciones, no necesitará el consentimiento del titular.

El Servicio Electoral, o la Dirección General de Movilización Nacional, o el Ministerio de Educación, o cualquier otro organismo público podrá recolectar, almacenar, grabar, organizar, elaborar, seleccionar, extraer, confrontar, interconectar, disociar, comunicar, ceder, transferir, transmitir o cancelar datos de carácter personal o utilizarlos en cualquier forma. Así es, podrán hacer lo que quieran con tus datos personales sin tu consentimiento. Por suerte sólo lo podrán hacer dentro de las materias de su competencia. ¿Se imaginan lo que podría pasar si cada uno de esos servicios, únicamente manejando la información de su competencia, decide hacerla pública y luego un tercero decide juntar toda esa información en un archivo fácilmente descargable?

Este artículo es el que permite que el Servicio Electoral venda, en CLP$14.000.000 (US$29.500), su base de datos. Adicionalmente son tan gentiles, que ofrecen un Catálogo de Productos desde el cual puedes elegir cual base de datos de información personal de ciudadanos chilenos deseas adquirir para tu uso particular. Si, tu te inscribiste para votar, pero también lo hiciste para que compartieran tu datos personales, ¿o acaso no lo sabías?

¿Pero que pasas si la información cae en las manos equivocadas? ¿Si alguien aprovecha esa información personal para darle un mal uso? Por suerte tenemos nuestro defensor del pueblo, el “Título V – De la responsabilidad por las infracciones a esta ley”.

Artículo 23.- La persona natural o jurídica privada o el organismo público responsable del banco de datos personales deberá indemnizar el daño patrimonial y moral que causare por el tratamiento indebido de los datos, sin perjuicio de proceder a eliminar, modificar o bloquear los datos de acuerdo a lo requerido por el titular o, en su caso, lo ordenado por el tribunal.

Excelente, ¡indemnización patrimonial y moral para todos! Así es, los organismos privados o públicos responsables de las bases de datos que contienen información personal y que a raíz de su descuido o falta de protección de estos datos permitan que caigan en las manos equivocadas, deben indemnizar a las víctimas por el tratamiento indebido de sus datos personales. Aunque a decir verdad, nos parece poco probable que algo así suceda — a menos que se haga una demanda masiva.

Entonces, ¿que creemos haber aprendido hoy?

1. Tu información personal no puede ser utilizada con fines de publicidad, investigación de mercado o encuestas de opinión — sólo si te opones.
2. Para que una empresa o persona pueda recolectar, almacenar, grabar, organizar, elaborar, seleccionar, extraer, confrontar, interconectar, disociar, comunicar, ceder, transferir, transmitir o cancelar datos de carácter personal o utilizarlos en cualquier forma, primero debes autorizarlos por escrito — como debe ser.
3. Sin embargo hay organismos que no requieren de tu autorización para utilizar tu información personal: Si la obtuvieron de una “fuente accesible al público” o si son de carácter económico, financiero, bancario o comercial. A todos ellos, la Ley los autoriza a utilizar incluso tu dirección y fecha de nacimiento para “para comunicaciones comerciales de respuesta directa o comercialización o venta directa de bienes o servicios”. Todo eso, sin requerir tu autorización.
4. A diferencia de lo que dijo el Ministro Vidal, el “responsable” de las bases de datos donde se almacena la información personal debe hacerse “responsable”.
5. Cada uno podrá solicitar su información personal al organismo que la tenga, solicitando su modificación e incluso eliminación — pero sólo si la entregó de manera voluntaria.
6. Tu información comercial o financiera podrá ser compartida sin requerir tu autorización — por eso te llaman a tu teléfono celular con toda tu información personal perfectamente detallada, para ofrecerte una nueva tarjeta de crédito. La Ley los autoriza a hacerlo.
7. Los organismos públicos podrán utilizar datos de carácter personal en cualquier forma, sin requerir el consentimiento del titular. Por eso aunque te inscribiste en el Servicio Electoral para votar, ellos pueden vender tu información personal. Autorizados por Ley.
8. Por suerte, si estos organismos no protegen bien tu información y esta se filtra llegando a manos equivocadas — como sucedió este fin de semana — puedes solicitar una indemnización patrimonial y moral por el tratamiento indebido de los datos.

Así que ahí lo tienen. Tu pensabas que cada uno era dueño de su información personal, pero resulta que en Chile no es así. Aunque para ciertos casos se requiere de tu autorización para hacer uso de tu información personal, sorprende de la cantidad de maneras que puede ser utilizada tu información personal, sin tu autorización. Lo que es más alarmante, es que el mismo Gobierno, cuya labor es velar por el bienestar del país y sus ciudadanos, pueden utilizar tus datos personales de cualquier forma y sin tu permiso — incluyendo venderla.

Al parecer que hayan aparecido estas bases de datos con información personal circulando por internet, es el menor de nuestros problemas. ¿Y ahora, quién podrá defendernos?

Fuente: LEY Nº 19.628 – SOBRE PROTECCIÓN DE LA VIDA PRIVADA O PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL (PDF)

Actualización: Pedro Huichalaf tiene un análisis más breve, preciso y con mayor experiencia jurídica en su blog: De la protección de los datos personales en Chile.