La Paradoja del Dato

La frase el conocimiento es poder, es una de aquellas frases que al principio me parecía vacía, aún no entraba a estudiar derecho, ni me había enfrentado al mundo laboral real. Mi primer trabajo fue realizar background checks, o verificación de antecedentes. El trabajo se resumía en acumular datos personales de clientes, para entender el nivel de riesgo de contratar con una u otra persona, llamativamente esa tarea se llama Know Your Costumer, KYC, o conocimiento del cliente. Sir Francis Bacon probablemente no sabía en el momento que escribió “Nam et ipsa scientia potentia est” 1 , que las empresas tendrían este proceso como base de sus contrataciones.

La información que una empresa maneja es sin duda un activo, y uno importante. Les permite adelantarse a las tendencias, al mercado, aumentar sus ganancias, mitigar pérdidas, anticipar y prevenir riesgos.
Sin embargo, la información dejó de ser sólo un activo, para muchas empresas incluso el más importante y, a su vez, el más riesgoso. Para entender esta antítesis del dato, cabe entender cómo se está abordando la protección de datos en Chile.

Chile ha experimentado una de las reformas más grandes en materia de protección de datos personales, instando a las empresas a elevar sus estándares de tratamiento, establecer modelos de cumplimiento, y disponibilizar espacios para ejercer derechos. La ley no se refiere a cualquier dato, se refiere a datos personales, es decir de personas naturales, de seres humanos, como tú y como yo, datos que están protegidos por derechos fundamentales en la Constitución de Chile.

El tratar datos personales inexactos, sin contar con una base de legalidad, el no disponer de espacios de reclamación de derechos ARSOP 23 , vulnerar el deber de secreto o confidencialidad, tratar datos personales de forma fraudulenta, entre otras actividades, expone a la empresa a sanciones que pueden llegar hasta 1,300,000 USD aproximadamente 4 .
Más allá de las multas millonarias impuestas por el regulador, existe un costo oculto que a menudo resulta ser aún más devastador: el daño reputacional. Cuando una empresa sufre una vulneración de datos, no solo se enfrenta al pago de indemnizaciones, sino que quiebra la confianza de sus usuarios. En una era hiperconectada, la noticia de una filtración se difunde en minutos. Un cliente que confió su información personal y la ve expuesta, rara vez vuelve a contratar los mismos servicios. Así, el dato mal gestionado tiene el potencial de dañar profundamente y, de un día para otro, el activo intangible y más valioso de cualquier organización, su credibilidad y prestigio en el mercado.

¿La forma de mitigarlo? Establecer modelos de prevención de infracciones. Consisten en hacer un análisis de riesgos, identificando qué datos personales se recopilan, dónde se almacenan, y qué peligros o amenazas externas e internas existen, qué incumplimientos se pueden generar en las diversas actividades de tratamiento; realizar capacitaciones al personal para favorecer el manejo de información de manera cuidadosa, y reconocer amenazas, y; el establecimiento de políticas internas claras sobre la materia.

Esto por supuesto para evitar las sanciones. Y a pesar de que es una liberalidad de las empresas el establecer o no modelos de prevención de infracciones, y en general el cumplir o no la ley, y que todo depende del apetito de riesgo le la empresa desee asumir. Lo cierto es que no es tan fácil eludir el cumplimiento. Como parte de esta gran reforma, más allá de la eventual postergación de su vigencia 5 , está en proceso de instalación la Agencia Nacional de Protección de Datos Personales, encargada de fiscalizar y resguardar el cumplimiento de estas nuevas reglas, y también de imponer sanciones para aquellos que no lo hagan.

Además, este nuevo escenario no opera en el vacío, sino que se inserta en un ecosistema de cumplimiento corporativo que es cada vez más exigente. Hoy en día, la gestión de datos debe dialogar necesariamente con las matrices de riesgo que las empresas ya manejan bajo la Ley 20.393 6 de Responsabilidad Penal de las Personas Jurídicas y la Ley 21.595 7 de Delitos Económicos.

El tratamiento de la información cruza transversalmente todos los procesos de la compañía. Un modelo de prevención de infracciones de datos personales debe hablar el mismo idioma que el modelo de prevención de delitos. Si un incidente de seguridad deriva, por ejemplo, en un fraude informático o en la alteración de bases de datos, las consecuencias escalan rápidamente al ámbito penal. Por lo tanto, la protección de datos dejó de ser un “problema del área de TI” para convertirse en un pilar estructural del gobierno corporativo moderno, exigiendo a la alta dirección tomar un rol activo.

Para lograr esta adaptación, el cambio de mentalidad debe ser profundo. Atrás quedó la época de la recolección ávida bajo la premisa de “guardemos todo por si acaso”. Hoy impera el principio de minimización: recopilar exclusivamente lo estrictamente necesario para la finalidad informada. Esto nos lleva al concepto de Privacidad desde el Diseño (Privacy by Design), que implica que la protección de la información debe integrarse desde la concepción de cualquier proyecto, servicio o plataforma, y no como un parche legal de última hora. Asimismo, los modelos de cumplimiento actuales requieren que lo legal y lo tecnológico operen como un engranaje perfecto. Las políticas y manuales escritos en papel son absolutamente insuficientes si no se traducen en controles de acceso reales, sistemas de encriptación, anonimización y medidas de ciberseguridad aplicadas al día a día de la operación.

Desde ahora para resguardar la protección de datos personales no basta con tener políticas o solo con pedir un consentimiento genérico, se necesita tomar resguardos concretos que tiendan a la prevención de conductas riesgosas, y a proteger a este activo que es tan importante. No se puede usar o solicitar datos por el solo afán de poseer esa información, debe hacerse teniendo finalidades específicas, consentimiento voluntario, inequívoco e informado.

Mirando en retrospectiva mis primeros días haciendo background checks, la ironía de la paradoja del dato se vuelve evidente. En aquel entonces, el proceso de Know Your Customer (KYC) tenía un norte unilateral: que la empresa conociera al cliente para protegerse a sí misma. Hoy, la balanza se ha equilibrado. La nueva normativa exige una responsabilidad recíproca donde es el titular de los datos quien tiene el derecho y las herramientas legales para exigir total transparencia sobre el uso de su información. “El conocimiento es poder”, decía Bacon, pero en la era digital actual, ese poder viene con una carga de responsabilidad ineludible. El dato puede seguir siendo tu mayor activo, sí, pero solo si estás verdaderamente preparado para protegerlo.

Elaborado por: Loreto Osorio