Interés legítimo y datos personales: ¿Herramienta empresarial o riesgo para la privacidad?

1. ¿El interés legítimo será realmente una excepción o corre el riesgo de convertirse en una cláusula amplia que permita a las empresas tratar datos personales casi sin consentimiento?

Creo que la pregunta debería plantearse al revés. El riesgo real para Chile no es que el interés legítimo se use de manera excesiva, sino que se interprete de forma tan restrictiva que termine siendo inaplicable en la práctica.

El interés legítimo no es una «excepción» al consentimiento: es uno de los pilares del sistema. Pretender que toda actividad de tratamiento de datos requiera consentimiento expreso ignora cómo funciona la economía digital. Muchas actividades cotidianas y socialmente valiosas —como prevenir fraudes, proteger la ciberseguridad, mejorar productos y servicios, gestionar redes empresariales o comunicarse con clientes— simplemente no pueden operar bajo un modelo basado solo en el consentimiento.

Por otro lado, el interés legítimo no es un cheque en blanco. Para invocarlo, se debe demostrar que existe un interés real y concreto, que el tratamiento es necesario para satisfacerlo y que no prevalece sobre los derechos y libertades del titular. Si esta base legal se reduce a una cláusula residual o excepcional, no solo se irá contra el texto y la historia de la ley, sino que se impondrá una rigidez capaz de paralizar todo el sistema.

2. Cuando la ley prohíbe afectar los derechos y libertades del titular, ¿basta con que éste pierda el control sobre sus datos para entender vulnerada la norma, o habrá que demostrar además un daño concreto?

Si cualquier afectación a los datos se equipara automáticamente a una vulneración de derechos, el sistema se paraliza. Pensémoslo así: si el solo hecho de que el titular no haya dado su consentimiento bastara para considerar afectados sus derechos, el interés legítimo como base de licitud pierde todo sentido, ya que existe precisamente para habilitar tratamientos sin consentimiento previo.

La ley chilena utiliza la fórmula «siempre que con ello no se afecten los derechos y libertades del titular». Esto supone un ejercicio de ponderación, no una prohibición absoluta. El análisis debería considerar si existe un impacto concreto o razonablemente previsible sobre el titular, no un perjuicio abstracto derivado de la sola ausencia de consentimiento.

Es indispensable exigir un daño concreto —o al menos un riesgo sustancial y demostrable— para que la norma funcione. Una mera incomodidad o disgusto subjetivo no debería ser suficiente. De lo contrario, se le otorgaría a cada titular un poder de veto sobre cualquier tratamiento de datos, vaciando de contenido todas las demás bases de licitud que el legislador reconoció.

3. ¿Puede una empresa invocar simplemente su interés en vender más, captar clientes o personalizar publicidad para tratar datos sin consentimiento, o aceptar eso vaciaría de contenido la regla del consentimiento?

Es importante distinguir entre trivializar el interés legítimo y aplicarlo razonadamente al ámbito comercial. Que un interés sea económico no lo convierte automáticamente en ilegítimo.

Lo que debe restringirse no es el tratamiento comercial de datos, sino aquel tratamiento que afecte los derechos y libertades del titular. La pregunta correcta no es si la empresa busca vender más —porque toda empresa lo busca—, sino si el tratamiento concreto respeta los principios de necesidad, proporcionalidad, transparencia y minimización, y si es compatible con las expectativas razonables del titular.

Excluir todo interés comercial del interés legítimo equivaldría a someter a la industria chilena a un régimen innecesariamente restrictivo. El verdadero riesgo no es que las empresas invoquen esta base, sino que una interpretación excesivamente rígida obligue a reconducir al consentimiento tratamientos perfectamente legítimos. Esto genera fatiga de consentimiento, ineficiencia regulatoria y barreras que perjudican tanto a las empresas como a los usuarios.

4. Cuando se vende una empresa o una línea de negocio, ¿pueden transferirse también las bases de datos de clientes como si fueran un activo más, o los datos personales no pueden cambiar de manos sin autorización de sus titulares?

El artículo 15 del texto modificado de la Ley N° 19.628 reconoce fuentes de licitud autónomas para la cesión de datos que no requieren consentimiento del titular, incluyendo el interés legítimo del cedente o del cesionario. Negar que una fusión, adquisición o venta de activos pueda amparar la transferencia de bases de datos bajo esta norma significaría ignorar el texto legal y obstaculizar gravemente la dinámica del mercado de capitales y el emprendimiento.

Exigir el consentimiento individual de cada cliente como condición para cerrar una operación no solo es impracticable, sino que encarecería las transacciones de forma artificial, reduciría el valor de las empresas chilenas y desincentivaría la inversión. Los derechos del titular quedan adecuadamente protegidos mediante la información oportuna, la limitación de finalidad, la seguridad de los datos transferidos y el pleno respeto de sus derechos.

5. ¿Hasta dónde puede una empresa escudarse en el secreto empresarial para no explicar el interés legítimo que invoca? ¿La protección del know-how puede terminar debilitando el derecho del titular a saber por qué se utilizan sus datos?

La tensión entre transparencia y secreto empresarial es real, pero tiene solución. La Ley N° 21.719 establece el principio de transparencia: el titular puede exigir que se le informe sobre el tratamiento que lo afecta y cuál es el interés legítimo que lo sustenta. Esta obligación es clara y no admite una invocación genérica del secreto comercial. Pero la norma tampoco exige revelar algoritmos propietarios ni modelos de negocio detallados.

El equilibrio se logra así: el responsable debe explicar con claridad qué interés persigue, qué categorías de datos trata, con qué finalidad y por cuánto tiempo. Lo que no se le puede exigir es que divulgue la arquitectura interna de sus sistemas, las variables específicas de sus modelos predictivos o la estrategia comercial que sustenta su diseño competitivo.

El riesgo más preocupante no es la falta de transparencia, sino que una interpretación maximalista de este deber se use como herramienta de ingeniería inversa competitiva o como mecanismo de presión que desincentive la adopción del interés legítimo —o directamente, la actividad económica y la innovación—. Una empresa que teme tener que revelar su know-how simplemente descartará esta base de licitud y lo reconducirá todo al consentimiento, con los efectos adversos que eso tiene para el usuario y para el mercado.

6. ¿Es suficiente permitir que el titular se oponga después de que sus datos ya comenzaron a ser tratados, o ese modelo termina trasladando al ciudadano una carga que debería asumir quien utiliza la información?

Este modelo no es una concesión a la industria. Es la consecuencia lógica de un sistema que reconoce bases de licitud distintas del consentimiento. Cuando la ley autoriza el tratamiento basado en interés legítimo, la intervención previa del titular es innecesaria por definición: la licitud no depende de su voluntad, sino de la ponderación objetiva que debe realizar el responsable. El artículo 8°, letra a), de la ley modificada reconoce al titular el derecho de oponerse «en cualquier momento» cuando el tratamiento se funde en interés legítimo, y obliga al responsable a cesar el tratamiento salvo que acredite «motivos legítimos imperiosos».

Lo determinante no es cuándo se ejerce el derecho, sino qué tan efectivo resulta. Un mecanismo de oposición sencillo, accesible, gratuito y sin consecuencias adversas para el titular no traslada una carga irrazonable: le reconoce un poder real de control después de iniciado el tratamiento. En cambio, un modelo de consentimiento previo generalizado colapsaría la interacción digital bajo una avalancha de solicitudes de autorización que, paradójicamente, el usuario promedio acepta sin leer.

7. ¿Debe permitirse a las empresas construir perfiles de consumo y comportamiento sin consentimiento sólo porque no utilizan datos sensibles, o el perfilamiento comercial constituye por sí mismo una intromisión que exige mayores resguardos?

Afirmar que todo perfilamiento comercial es, por sí solo, una intromisión inaceptable ignora los matices que la propia Ley N° 21.719 introduce. La ley distingue entre datos personales y datos personales sensibles, y reserva un régimen reforzado para estos últimos. El perfilamiento con datos no sensibles —como historial de compras, preferencias declaradas o patrones de navegación anónimos— no involucra categorías de información que el legislador haya considerado merecedoras de protección especial.

Esto no significa que el perfilamiento comercial quede libre de todo control. La ley consagra el derecho de oposición. Lo que importa no es si el perfil existe, sino cuál es su impacto: un perfil que determine el acceso a crédito, la empleabilidad o la cobertura de un seguro exige resguardos mucho mayores que uno que simplemente sugiere productos en una tienda en línea.

La postura que equipara todo perfilamiento a una intromisión prohibida lleva a consecuencias extremas. Implicaría, por ejemplo, que una librería no puede recomendar libros a un cliente habitual sin su consentimiento expreso, o que un servicio de streaming no puede sugerir contenido basado en el historial de reproducción. El enfoque correcto no es prohibir el perfilamiento comercial con datos no sensibles, sino regularlo de forma proporcional al riesgo efectivo que genera.

8. ¿Debe la futura Agencia de Protección de Datos Personales privilegiar la protección estricta de los titulares, aunque ello imponga mayores costos a las empresas, o flexibilizar sus criterios para no frenar la innovación y la competitividad digital?

La futura Agencia debería rechazar esta falsa disyuntiva entre protección e innovación. La Ley N° 21.719 le confiere funciones de supervisión, fiscalización, interpretación y sanción, pero también se espera razonabilidad y proporcionalidad en su actuar, lo que es inherente a toda actuación administrativa en un Estado de Derecho.

La Agencia deberá emitir instrucciones generales, criterios interpretativos y guías prácticas que permitan a las empresas cumplir razonablemente con la ley sin incurrir en costos desproporcionados. Una regulación basada en el riesgo efectivo —que concentre su rigor en los tratamientos que verdaderamente amenazan derechos fundamentales y otorgue márgenes razonables para los tratamientos de bajo riesgo— será más eficaz que una aplicación uniforme y maximalista que termine siendo incumplida o que expulse del mercado a los actores más pequeños. Chile tiene la oportunidad de aprender de los aciertos y errores de jurisdicciones con años de experiencia en marcos normativos similares. Desperdiciar esa ventaja por un afán de rigor normativo teórico y abstracto sería un error que, en última instancia, pagarían los propios titulares.