Reglamento General de Protección de Datos de la Unión Europea RGPD y su vocación de eficacia extraterritorial: efectos de esta vocación.

A nivel universal, ha sido permanente la preocupación por la protección de la información personal. Este interés, va de la mano con los avances alcanzados dentro de la esfera de las telecomunicaciones y el mundo digital, elementos que en conjunto han tenido un impacto en el desarrollo de las prácticas negociales, en los cambios organizacionales del Estado, y en la modificación de la conducta de los individuos dentro del espectro del Internet. En la vida cotidiana, las clínicas prestadoras de salud, tiendas de retail, gimnasios, establecimientos bancarios, empresas de telefonía, recintos deportivos, administraciones de edificios y otros entornos, aplican como estándar ordinario al cliente el “deme su RUT”, “ponga su huella” o “mire la cámara”[1]. No hay duda: la información personal de la que somos titulares (ya sea por la aparente debilidad de las normas, o gracias a nuestro propio descuido) suele estar dispersa, lo que permite que esta pueda ser interceptada, almacenada y analizada por cualquiera. Ahora bien, junto con las leyes nacionales, hay un estatuto jurídico externo con la capacidad de incidir en el destino de nuestros datos personales: hacemos referencia, al Reglamento General de Protección de Datos de la Unión Europea RGPD[2]. Para justificar esta afirmación, debemos tener en cuenta las siguientes consideraciones.

En Chile, recientemente fue aprobada la Ley Nº 21.719 de 2024 que “regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales” (en adelante Ley 21.719)[3]. Esta normativa, constituye un avance frente a las debilidades atribuidas a la Ley Nº 19.628 de 1999 sobre protección de la vida privada (en adelante Ley 19.628)[4]. Si bien la Ley 21.719 se encarga de actualizar a la Ley 19.628, el primer estatuto tiene una vigencia diferida hasta el 1º de diciembre del 2026. La preocupación por salvaguardar la información personal adquiere mayor relevancia, teniendo en cuenta el estatus de derecho fundamental que le concede el artículo 19 numeral 4 de la Constitución Política.

La Ley 21.719 se encuentra fuertemente influenciada por el RGPD (vigente desde el año 2018), Reglamento al que se le reconoce, en su artículo 3º, una vocación de eficacia extraterritorial. En la praxis, esta vocación se traduce en que el RGPD posee una efectividad que va más allá del espacio de la Unión Europea, con la posibilidad de afectar los intereses de personas o sociedades ubicadas dentro y fuera de la órbita comunitaria. Frente a esos alcances del RGPD, a nivel práctico y académico surgieron diversos interrogantes: ¿Qué ocurre cuando una persona o sociedad que haga parte de la Unión Europea, realiza un tratamiento de la información personal fuera esta comunidad de naciones?, ¿En qué situaciones el RGPD se aplica a personas establecidas fuera de la Unión Europea?, ¿En qué casos definitivamente no se aplica el alcance extraterritorial del RGPD? Ante la necesidad de resolver estas (y otras) preguntas, llevamos a cabo un trabajo de investigación patrocinado por la Agencia Nacional de Investigación y Desarrollo ANID[5], proyecto cuyo propósito central consistió en identificar los efectos extraterritoriales del Reglamento de protección de datos europeo. Como resultado de ese esfuerzo investigativo, establecimos diversos alcances de la vocación de eficacia extracomunitaria del RGPD: