Andrea Serrano España: “La intimidad y la vida privada son límites infranqueables para las facultades del empleador”

Por Rocío Andrea López Mora

Las empresas manejan diariamente una enorme cantidad de información de sus trabajadores: antecedentes personales, datos de salud, licencias médicas, información sobre discapacidad, evaluaciones de desempeño e incluso imágenes obtenidas mediante sistemas de videovigilancia. El problema surge al determinar hasta dónde puede llegar el empleador en la recopilación y utilización de esos antecedentes sin afectar la intimidad, la vida privada y el derecho a la protección de los datos personales de quienes trabajan para él.

La entrada en vigencia de la Ley N°21.719 plantea nuevos desafíos en esta materia. Las organizaciones deberán identificar qué datos personales poseen, distinguir cuáles tienen el carácter de sensibles, establecer la finalidad para la que son utilizados y determinar qué fundamento jurídico permite su tratamiento. A ello se suman cuestiones cada vez más complejas, como la videovigilancia, el reconocimiento facial y las decisiones automatizadas mediante inteligencia artificial o algoritmos para evaluar productividad, desempeño o cumplimiento de metas.

Para abordar estos cambios y sus efectos en las relaciones laborales, conversamoscon Andrea Serrano España, abogada socia de Serrano, Foix y Riquelme Abogados y docente de la Universidad de Chile, quien analiza los límites de las facultades de dirección y control del empleador, las nuevas obligaciones en materia de tratamiento de datos y los desafíos que enfrentarán las empresas para adecuarse al nuevo escenario regulatorio.

1. ¿Cómo se concilia el derecho del empleador a organizar, dirigir y controlar la relación laboral con el derecho fundamental del trabajador a la protección de sus datos personales y su vida privada?

Los derechos a la protección de datos personales y a la vida privada de los trabajadores están expresamente resguardados por el artículo 154 ter del Código del Trabajo. El Derecho Laboral parte del supuesto efectivo, por lo demás, de que la parte empleadora accede a información confidencial de las personas trabajadoras, la almacena y la trata. Este acceso a la información puede tener base legal, pero también puede excederla. No debiera obedecer a una finalidad intrusiva, aun cuando en muchos ámbitos de la vida social, y el trabajo es uno de ellos, no reparamos habitualmente en la utilidad ni en la necesidad de la información que pedimos o entregamos. Entonces, asumiendo la asimetría estructural entre la parte trabajadora y la empleadora, desde el año 2001 (con la Ley N°19.759) se establece la obligación de guardar reserva de toda la información a la que el empleador accede con ocasión de la relación laboral.

Por tanto, si bien la parte empleadora mantiene su derecho a organizar, dirigir y controlar, el ejercicio de esas facultades debe respetar siempre las garantías fundamentales de las personas trabajadoras; la intimidad y la vida privada son dos límites infranqueables.

2. ¿Qué límites jurídicos tiene el empleador para recopilar y tratar datos personales de sus trabajadores durante la relación laboral? ¿Son suficientes las normas actuales para establecer esos límites?

El Código del Trabajo brinda regulaciones generales, pero carece de un cuerpo normativo o reglamentario que actúe como guía concreta para la parte empleadora en materia de protección de datos de las personas trabajadoras. Las industrias con áreas dedicadas al compliance podrán definir internamente qué hacer y qué no con la data laboral de que disponen, pero las empresas con estructuras acotadas pueden no contar con el conocimiento ni los recursos para siquiera plantearse la protección y tratamiento de datos de personas trabajadoras. En este punto, la modificación de la Ley N°19.628 fue decisiva. La Ley N°21.719 define nuevos conceptos, obligaciones y responsabilidades, y es de esperar que el reglamento entregue herramientas que faciliten la labor de las pequeñas y medianas empresas. Sin duda, nada será suficiente, pues la puesta en marcha de la ley es ambiciosa, pero también absolutamente necesaria.

3. ¿En qué circunstancias el empleador puede tratar datos personales de un trabajador sin contar con su consentimiento expreso, considerando las obligaciones derivadas del contrato de trabajo y de la legislación laboral?

El consentimiento de la persona trabajadora es solo una de las vías de acceso y tratamiento de la información. Es indispensable para las organizaciones segmentar, enumerar y definir qué información personal manejan, y luego, qué información es además sensible. Con ello, cabe explicitar el propósito desde una lógica de minimización: ¿Necesito contar con esa información? ¿Por qué? Y en esa respuesta, que además puede ser requerida más tarde por el titular o la Agencia de Protección de Datos Personales, se debe definir de antemano qué letra (causal) del artículo 13 de la Ley permite tratar lícitamente el dato: el cumplimiento de una obligación legal; la celebración o ejecución de un contrato; la satisfacción de intereses legítimos de la parte empleadora o de un tercero; o la formulación, ejercicio o defensa de un derecho ante los tribunales de justicia u órganos públicos.

En el caso de datos personales sensibles, también podrían tratarse lícitamente sin autorización previa, pero bajo supuestos de procedencia más restrictivos, por ejemplo: «cuando el tratamiento de datos sea necesario para el ejercicio de derechos y el cumplimiento de obligaciones del responsable o del titular de datos, en el ámbito laboral o de seguridad social, y se realice en el marco de la ley».

Entonces, desde el reconocimiento de la existencia de esos datos personales a que accede la parte empleadora, su segmentación y un análisis previo, surge la necesidad de comprobar si el dato encuadra en alguna de las causales que habilitan a su tratamiento. Si la causal es legal, el paso siguiente es precisar qué norma laboral o previsional concreta sustenta esa premisa.

4. ¿Cómo debería abordarse el tratamiento de datos personales sensibles de los trabajadores, especialmente información relativa a su salud, antecedentes médicos, discapacidad o licencias médicas?

Los datos relativos a la salud de los trabajadores, o condiciones físicas, son datos personales sensibles. Si la persona trabajadora informó voluntariamente una discapacidad, adjuntando el certificado correspondiente, la parte empleadora tendrá acceso a la información y la tratará —por ejemplo— para cumplir el artículo 157 bis del Código del Trabajo, incorporado por la Ley N°21.015, que obliga a las empresas de 100 o más trabajadores a contratar al menos el 1% de personas con discapacidad o asignatarias de una pensión de invalidez. Acá la fuente que autoriza el tratamiento será legal. Pero la parte empleadora puede conocer la condición de inmunodeficiencia de una persona trabajadora porque esta le comunicó voluntariamente su situación para no desempeñar una función que considera incompatible o de cuidado, o acreditó con antecedentes médicos que padece de vértigo y por ello no puede subir escaleras. Esa también será información sensible y, pese a haberse entregado con anterioridad a la entrada en vigencia de la ley (actualmente fijada para el 1 de diciembre de 2026, mientras no se apruebe el proyecto que la prorroga), para continuar utilizándola y tratándola, deberá requerirse expresamente la autorización de la persona trabajadora.

El artículo 16 y siguientes contemplan estas hipótesis; entre ellas, el tratamiento necesario para la «formulación, ejercicio o defensa de un derecho ante los tribunales de justicia o un órgano administrativo», para «el ejercicio de derechos y el cumplimiento de obligaciones del responsable o del titular de datos, en el ámbito laboral o de seguridad social», o cuando «lo autorice o mandate expresamente la ley».

5. ¿Hasta dónde puede llegar la videovigilancia en el lugar de trabajo? ¿Cómo deben ponderarse las necesidades de seguridad de la empresa con la intimidad, dignidad y protección de datos personales del trabajador?

La videovigilancia es una de las formas de limitación de los derechos fundamentales de las personas trabajadoras, no hay mayor novedad al respecto. Es por ello que la Dirección del Trabajo ha sido enfática y reiterativa en que esta medida debe superar el test de proporcionalidad, desarrollado por la doctrina y recogido por la propia Dirección: fin legítimo, idoneidad, necesidad y proporcionalidad en sentido estricto (o ponderación).

Si existe un medio menos gravoso de lograr el mismo fin de protección a los trabajadores o clientes, o asegurar los bienes de la parte empleadora, entonces la procedencia del sistema de videovigilancia se verá restringida. Desde el punto de vista de la ley de datos personales, en cambio, el mero hecho de utilizar estos sistemas no necesariamente involucra un tratamiento biométrico como tal; ello, siempre que luego no se produzca un reconocimiento facial.

La normativa europea sí aborda este caso, a diferencia de la chilena vigente. Bajo el Reglamento General de Protección de Datos (RGPD, Reglamento UE 2016/679), una imagen panorámica pasa a ser categoría especial de datos (art. 9) en el instante en que se le aplica un procesamiento orientado a la identificación única: un tratamiento prohibido por regla general, salvo excepciones tasadas o consentimiento explícito. A ello se suma la Ley de Inteligencia Artificial de la UE (Reglamento UE 2024/1689), que prohíbe por regla general la identificación biométrica remota en tiempo real en espacios de acceso público (art. 5) y clasifica como de alto riesgo otros usos, incluido el análisis posterior (art. 6 y Anexo III). La moraleja para Chile: la amplitud del encuadre no exime del cumplimiento, y aquí el terreno todavía es incierto.

6. ¿Qué responsabilidad puede tener el empleador si divulga o entrega a terceros información privada de un trabajador sin autorización o fundamento legal? ¿Qué acciones o mecanismos de protección tendría el trabajador?

El empleador ya estaba obligado a respetar la vida privada de las personas trabajadoras desde el ámbito constitucional; esto se reforzaba por el artículo 154 ter del Código del Trabajo. El procedimiento para hacer efectiva su exigibilidad o reparación era la acción de tutela de derechos fundamentales de los artículos 485 y siguientes del Código del Trabajo. Ahora, se suman los derechos que tiene cualquier titular de datos personales contra quien los trata. Los derechos ARSOP (acceso, rectificación, supresión, oposición y portabilidad) también pueden ser ejercidos por la persona trabajadora contra la parte empleadora. En caso de vulneración por esta, los reclamos o solicitudes son resueltos preliminarmente por la Agencia de Protección de Datos Personales, y en caso de desacuerdo con la resolución del ente, tanto el titular como el responsable podrán acudir a la Corte de Apelaciones mediante el respectivo reclamo de ilegalidad.

7. ¿Puede el empleador utilizar información obtenida durante la relación laboral para una finalidad distinta de aquella para la cual fue recopilada? ¿Cómo opera en este ámbito el principio de finalidad del tratamiento de datos?

Es fundamental que el empleador tenga claridad y señale explícitamente la finalidad de los datos personales que trata. Desde esa finalidad, su procedimiento interno de tratamiento debiera indicar también el plazo durante el cual se almacenará el dato, siempre en coherencia con la finalidad o la justificación que habilita mantener su almacenamiento y tratamiento. Ese plazo no debiera definirse al recibir una solicitud del titular o de la Agencia; es una tarea que la parte empleadora ya debe haber realizado previamente, al definir su política interna sobre la materia.

El asunto se complejiza si recordamos que la prescripción extintiva, por regla general, debe ser alegada y declarada judicialmente. Por ello, borrar datos personales por el solo transcurso de los plazos de prescripción será complejo mientras la parte empleadora no cuente con la sentencia que la declare. Este es uno de tantos aspectos que habrá que resolver.

8. ¿Cómo debiera regularse el uso de datos personales de los trabajadores en contextos de inteligencia artificial y algoritmos, por ejemplo, para evaluar productividad, desempeño, selección de personal o determinar riesgos laborales?

El tratamiento de datos personales, conforme a su definición normativa, también puede ser automatizado. De hecho, la elaboración de perfiles es, por definición legal, eminentemente automatizada. En este ámbito, el artículo 8° bis de la Ley reconoce que, frente a «decisiones individuales automatizadas, incluida la elaboración de perfiles», «el titular de datos tiene derecho a oponerse y a no ser objeto de decisiones basadas en el tratamiento automatizado de sus datos personales que produzcan efectos jurídicos en él o le afecten significativamente».

Hay excepciones vinculadas a la «celebración o ejecución de un contrato entre el titular y el responsable», al «consentimiento previo y expreso del titular» o a que la fuente sea legal, «en la medida en que esta disponga el empleo de salvaguardas a los derechos y libertades del titular».

Esto obliga a revisar, por mencionar un asunto, los procedimientos de cumplimiento de metas anuales (que permiten devengar bonos asociados a performance personal) que puedan contener decisiones automatizadas, donde en principio, la fuente de autorización sería contractual, pero, ¿qué ocurre cuando hay modificaciones unilaterales de las metas por parte del empleador? ¿Puede considerarse que esa carencia de consentimiento de la persona trabajadora la saca de la hipótesis de procedencia? Recordemos, además, que conforme al artículo 9° del Código del Trabajo, el contrato de trabajo es consensual: podría existir un contrato redactado, pero alguno de sus términos podría no constar en el documento formal y fundarse en una práctica reiterada (derecho adquirido o cláusula tácita). En ese escenario, ¿seguimos sosteniendo que la autorización para automatizar una decisión es de fuente contractual? Deberá resolverlo la Agencia o los Tribunales, según el caso.

9. Considerando la entrada en vigencia de la Ley N.º 21.719, ¿qué cambios cree que serán más relevantes para las relaciones laborales en Chile y qué desafíos tendrán las empresas para adecuar sus políticas de tratamiento y protección de datos de los trabajadores?

Primero, todas las partes empleadoras deberán asumir la relevancia de la ley de protección y tratamiento de datos personales, tomar conciencia de que la generalidad de las organizaciones trata datos personales, y luego de esa constatación, catalogar qué datos son personales y cuáles son sensibles. También, cuál es su finalidad y por qué se requiere o no autorización para continuar su tratamiento, y el plazo de aquello. Asimismo, dotarse de la infraestructura tecnológica que permita responder a la Agencia y a los titulares en los plazos que la ley dispone; y contar con los mecanismos para transparentar la información, comunicar a los titulares y tramitar, resolver y ejecutar internamente la supresión, portabilidad, rectificación, anonimización, entre otras tantas obligaciones.

10. ¿Considera que el ordenamiento jurídico chileno actualmente logra un equilibrio adecuado entre las facultades de dirección y control del empleador y el derecho fundamental del trabajador a la privacidad y protección de sus datos personales, o cree que todavía existen vacíos que deberían ser abordados por el legislador?

Actualmente, el ordenamiento legal transita hacia una necesaria adecuación a las nuevas tecnologías. Si bien el Código del Trabajo se ocupaba de la protección de derechos vinculados a la información personal de las personas trabajadoras en los artículos 5° y 154 ter, existía un desfase operativo respecto de los estándares de protección de datos. La Ley N°21.719 pretende cerrar la brecha, pero deja en suspenso el cómo se coordinará la nueva Agencia de Protección de Datos Personales con la Dirección del Trabajo, y de paso los tribunales de justicia, cómo se ejecutará la fiscalización automatizada de esos entes, y cómo se garantizará que el terreno convergente entre esos dos organismos fiscalizadores resguarde el principio de non bis in idem frente a las sanciones que corresponda aplicar a la parte empleadora.