Protección de DP desde el diseño y por defecto. Parámetros conceptuales para su aplicación en Chile.

El anglicismo que alude al tema es Privacy by Design, y los conceptos usados son el de protección de datos por diseño y por defecto, la privacidad por diseño o simplemente “PpD”. Se consigna, (i) que la privacidad o protección de datos “por diseño”, como originalmente se le denominó, posteriormente y conceptualmente fue complementada con la expresión “por defecto”, y (ii) que se refiere al proceso mediante el cual, las organizaciones abocadas al tratamiento de datos, aplican medidas técnicas y organizativas en las fases iniciales del diseño de las operaciones de tratamiento, de manera de garantizar la privacidad (léase la confidencialidad) y el respeto de los principios basales de la PDP.

En Europa es un principio de la protección de datos recogido en el RGPD, más no en una sola norma o artículo concreto del RGPD, sino que se menciona en diferentes acápites. Se le define como la aplicación de medidas técnicas y organizativas, necesarias y adecuadas, preventivas no correctivas y proactivas no reactivas (cuestión de hecho), “incrustadas en el diseño”, para garantizar la protección “y la confidencialidad”[i] de los datos de los titulares o interesados antes de llevar a cabo el tratamiento. De otra forma, se traduce en que al diseñarse una plataforma, aplicación o medio a través del cual se tratarán datos personales se deben diseñar también las medidas de seguridad necesarias que por ende cubrirán todo el ciclo de vida de loa DP “desde el momento en el que se plantea un diseño para su tratamiento hasta su definitivo despliegue y utilización” por los usuarios. Técnicamente, antes de su puesta en producción o comercialización.

En efecto: (i) el Considerando 78 del RGPD alude a que con el objeto de poder demostrar la conformidad con el Reglamento, el responsable del tratamiento deberá adoptar (es imperativo) políticas internas y aplicar medidas que cumplan en particular los principios de protección de datos desde el diseño y por defecto; (ii) el artículo 25.1 alude a que teniendo en cuenta el estado de la técnica, el costo de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que implique para los derechos y libertades de las personas natrales (físicas), el responsable del tratamiento aplicará, diseñará o establecerá al momento de determinar los medios de tratamiento y al momento del propio tratamiento, “medidas técnicas y organizativas apropiadas”[ii], que deberán ser proporcionales en función de la sensibilidad de los datos que se pretenden recoger o tratar, y concebidas para aplicar de forma efectiva los principios de protección de datos e integrar las garantías necesarias.