Interés legítimo y datos personales: ¿Herramienta empresarial o riesgo para la privacidad?

1.¿El interés legítimo será realmente una excepción o corre el riesgo de convertirse en una cláusula amplia que permita a las empresas tratar datos personales casi sin consentimiento?

Por regla general, no debería convertirse en una cláusula amplia, porque el interés legítimo no opera libremente: exige superar ciertos requisitos copulativos. Ahora bien, hay que ser honestos: en la práctica muchas empresas invocarán esta base para justificar tratamientos ligados a su giro comercial en específico, sin hacer un ejercicio previo de ponderación, simplemente porque es más sencillo que estructurar un consentimiento válido, es esto último, lo que podría generar un riesgo concreto. El verdadero contrapeso no es exigir consentimiento, eso sería negar la existencia misma de esta base, sino los derechos afectos del titular y la obligación de transparencia sobre ese tratamiento en específico. Invocar interés legítimo sin haber hecho ese análisis, o sin poder acreditarlo ante un requerimiento, sí puede constituir una infracción aplicable por la Agencia de Protección de Datos.

2. Cuando la ley prohíbe afectar los derechos y libertades del titular, ¿basta con que éste pierda el control sobre sus datos para entender vulnerada la norma, o habrá que demostrar además un daño concreto?

Depende de la vía. Para que la Agencia de Protección de Datos sancione administrativamente, basta con acreditar la infracción a la norma, la sola vulneración del dato personal activa su fiscalización, sin que se exija probar un daño adicional. Distinto es el caso de la acción civil: ahí sí rige la regla general de responsabilidad, y el titular deberá acreditar el daño concreto y el nexo causal con el tratamiento indebido, con todas las reglas exigidas en nuestro Código Civil. No obstante lo anterior, bajo la Ley 19.628 (Sobre protección a la Vida Privada y Datos Personales), la jurisprudencia solía limitarse a retrotraer al titular al estado anterior a cuando se cometió la inobservancia del derecho; la Ley 21.719 que la modifica, fortalece esta lógica, permitiendo tanto la fiscalización sin necesidad de probar el daño como la reparación en sede civil cuando esta exista, por tanto, la nueva ley protege apenas se pierde el control sobre el dato sea esta total y/o parcial.

3. ¿Puede una empresa invocar simplemente su interés en vender más, captar clientes o personalizar publicidad para tratar datos sin consentimiento, o aceptar eso vaciaría de contenido la regla del consentimiento?

En principio, la empresa sí puede. Así se puede interpretar el art. 13, letra D de la Ley. De hecho, el marketing es uno de los ejemplos que el derecho comparado reconoce expresamente como un interés legítimo válido y que no constituye una invocación abusiva per se. Sin embargo, como comenté anteriormente esa base de licitud no opera de forma automática: le exige a la empresa un ejercicio previo de ponderación real entre su interés comercial y las expectativas razonables del titular respecto del uso de sus datos, además de la obligación legal de informar con transparencia al mismo desde el primer contacto.

Lo determinante es la intensidad y finalidad de ese tratamiento. Una cosa es ofrecer productos afines a un segmento específico y otra muy distinta es construir un perfil detallado de comportamientos y/o segmentar grupos sociales en función de datos sensibles, en este punto, el interés legítimo resulta insuficiente y corresponde exigir el consentimiento expreso e inequívoco del titular. La pregunta más importante es, ¿tienen las empresas la infraestructura técnica para gestionar consentimientos y oposiciones a escala? Yo tiendo a pensar que no. En cualquier caso, debe garantizarse siempre el ejercicio de los derechos del titular, en particular, el de oposición.

4. Cuando se vende una empresa o una línea de negocio, ¿pueden transferirse también las bases de datos de clientes como si fueran un activo más, o los datos personales no pueden cambiar de manos sin autorización de sus titulares?

Pueden transferirse, pero con ciertas limitaciones. La ley no las trata como un activo cualquiera. El art. 15 de la Ley los enmarca dentro de la figura de una cesión de datos personales, con su propia base de licitud exigida. (Un tema aparte, que da para otra discusión, es si un mismo tratamiento puede sostenerse en más de una base de licitud a la vez, o si el responsable debe fijar una sola desde el inicio.)

Lo importante acá es determinar desde un principio si el titular consintió, al momento de la recolección originaria del dato, en que pudieran cederse en un escenario como este (compra de la empresa). De no ser así, la ley obliga a recabar un consentimiento nuevo antes de que la cesión se materialice, tratándola como si fuera una recolección de datos completamente distinta. Por eso el interés legítimo termina siendo, en la práctica, la vía más usada en este tipo de operaciones, que no quiere decir que sea la mejor. Ahora bien, la consecuencia de saltarse este paso no es menor: si la cesión requería consentimiento y no lo tuvo, la ley la declara nula y obliga al comprador a eliminar todos los datos recibidos, sin perjuicio de las responsabilidades legales que correspondan.

5. ¿Hasta dónde puede una empresa escudarse en el secreto empresarial para no explicar el interés legítimo que invoca? ¿La protección del know-how puede terminar debilitando el derecho del titular a saber por qué se utilizan sus datos?

Acá conviven dos marcos normativos distintos, cada uno protegiendo algo diferente. Por un lado, tenemos la Ley de Propiedad Industrial, que en sus arts. 86 y 87 define y protege el secreto empresarial. Por otro lado, está la Ley 21.719, que protege al titular de los datos personales. Ambas responden a objetos distintos, pero se cruzan justo en el punto que plantea la pregunta.

Sin perjuicio de ello, la Ley 21.719 no deja esto a la interpretación. El titular puede exigir siempre ser informado sobre cuál es el interés legítimo de base. Y el art. 14 ter refuerza esto obligando al responsable a mantener públicamente disponible cuáles son esos intereses legítimos.

Por eso, en mi opinión, el secreto empresarial no debilita este derecho, porque protege un objeto distinto. Lo pongo en un ejemplo concreto: Un buró de crédito puede negarse legítimamente a explicar cómo funciona su algoritmo de scoring; no puede, en cambio, negarse a decir que lo usa para evaluar riesgo crediticio y que ese es el interés legítimo que invoca.

6. ¿Es suficiente permitir que el titular se oponga después de que sus datos ya comenzaron a ser tratados, o ese modelo termina trasladando al ciudadano una carga que debería asumir quien utiliza la información?

No del todo. La oposición traslada al titular una carga real: debe advertir qué dato está siendo tratado, identificar el interés legítimo invocado y, si recurre a la causal general del art. 8, letra a), fundamentar brevemente su solicitud (art. 11). La ley no lo exime de ese trámite.

Con todo, el modelo no carece de contrapesos ex ante. El responsable debe acreditar la licitud del tratamiento desde un inicio (art. 13), mantener pública, sin requerimiento previo, la base de legitimidad invocada (art. 14 ter) y realizar una evaluación de impacto cuando el tratamiento suponga un riesgo alto para los titulares (art. 15 ter). El problema no es si es suficiente que el titular se oponga después ni la ausencia de exigencias previas, sino que su eficacia depende del cumplimiento y de la fiscalización efectiva de la Agencia; a falta de ello, el costo terminará recayendo siempre en el titular.

7. ¿Debe permitirse a las empresas construir perfiles de consumo y comportamiento sin consentimiento sólo porque no utilizan datos sensibles, o el perfilamiento comercial constituye por sí mismo una intromisión que exige mayores resguardos?

En mi opinión, considero que no. El art. 8 bis le da al titular del dato el derecho a oponerse a cualquier perfilamiento que le genere un efecto jurídico significativo, por ejemplo, la negación automatizada de un crédito, sin importar si los datos usados eran sensibles o no. Que un perfil se construya solo con datos de consumo, estadísticos o probabilísticos no lo vuelve automáticamente inofensivo: lo que activa la exigencia es el efecto que tiene sobre el titular, no la naturaleza del dato como tal. Y esa exigencia recae sobre la empresa desde un inicio.

8. ¿Debe la futura Agencia de Protección de Datos Personales privilegiar la protección estricta de los titulares, aunque ello imponga mayores costos a las empresas, o flexibilizar sus criterios para no frenar la innovación y la competitividad digital?

Debe privilegiar la protección estricta. Su mandato legal (arts. 30 y 30 bis) es fiscalizar el cumplimiento de los derechos de los titulares, no fomentar la competencia entre actores, no es el foco de sus atribuciones. Aún así, la propia ley incorpora la gradualidad; el art. 14 septies exige diferenciar estándares distintos según sea el tamaño de la empresa y naturaleza del tratamiento, así que flexibilizar el criterio de fondo no es la vía; ajustar la exigencia al riesgo real, sí.