Responsables y encargados de tratamiento de datos personales.

1. De cara al Derecho Fundamental a la protección de datos personales, e intentando visualizar aplicaciones concretas, cabe preguntarse acerca de ¿qué tienen en común el Servicio de Registro Civil, Latam, las clínicas prestadoras de servicios de salud y los bancos que aperturan cuentas corrientes subcontratando empresas que operan con biometría y reconocimiento facial?. En esencia, (i) las cuatro son responsables de bases de datos, “del registro o banco de datos”, o de tratamiento de datos personales, que la ley 19.628 define como la persona natural o jurídica privada o el organismo público a quien compete las decisiones relacionadas con el tratamiento de los datos de carácter personal; (ii) las cuatro obtienen una autorización de tratamiento[i], de los titulares y propietarios de los datos personales o de la ley; y, (iii) las cuatro -sin realizar una cesión de datos- encargarán a un proveedor de servicios un tratamiento específico, que en Chile a esta fecha calza en el vínculo jurídico de lo que sería la relación contractual mandante/mandatario[ii]. ¿Y cuál sería la responsabilidad de los responsables en caso de afectación de los datos?.

2. Sólo un análisis muy parcial entendería que obtenida una autorización de tratamiento –amplísima, como se configura en Chile- el responsable tiene carta blanca para hacer cualquier cosa con la información nominativa, porque desde el año 2018 está en juego un Derecho Fundamental. Sólo un análisis no ajustado a derecho olvidaría que se deben respetar los principios de finalidad, confidencialidad, de seguridad, de diligencia e incluso “de proporcionalidad” (en el contexto del Derecho Constitucional); que el consentimiento expreso, escrito e informado tuvo que haber sido concreto, comprensible y completo; y, que en caso de afectación no desaparecerá con un encargo o mandato –en ningún momento- la obligación de ser diligente del responsable de cara a los titulares cuyos datos recopiló y luego compartió con un prestador de servicios que contrata.

Entonces, para volver a los ejemplos anteriores, (i) si el Registro Civil externaliza el tratamiento de los datos de los documentos públicos en los sistemas de una empresa extranjera no basta, de modo alguno, el que afirme que “la empresa ganadora de una licitación no va a administrar la base de datos” biométricos de los chilenos; (ii) si Latam ha externalizado en una empresa y una red denominadas SITA la realización de los tratamientos de datos de sus pasajeros, no puede a priori declarar eximirse de responsabilidad por el hackeo que afectó al servidor de la empresa en EEUU si no demuestra –como mínimo- suma diligencia en las condiciones exigidas para el tratamiento antes de compartirle los datos de los chilenos a una empresa extranjera; (iii) las clínicas de salud, que son las que prestan los servicios y a las cuales el titular le entrega sus datos personales con un fin muy específico, no pueden obligar –consentimiento no libre o una base jurídica no legítima- a que so pretexto de autenticarlas –en paralelo, con el hecho de que se capture una huella dactilar- se le confiera una autorización y se realice una cesión de datos biométricos a una tercera empresa extranjera, a la cual la mandataria/“encargada” local le ha vendido sus activos[iii]; y, (iv) los bancos que autentican on line y biométricamente la identidad de sus nuevos cuenta correntistas no pueden no restringir y dejar de controlar el posterior uso (o posible mal uso) que se haga por un tercero, prestador de servicios, de datos personales sensibles o, como los denomina el GDPR, “especialmente protegidos”.