La Implementación de la Ley N°21.719 que viene en modificar la actual Ley Nº19.628 sobre protección y el tratamiento de los datos personales y que crea la agencia de protección de datos personales, implementará tanto en órganos públicos como privados, una serie de exigencias en torno a la protección y resguardo de los datos sensibles a los cuales tomen acceso. La Organización Sindical no está exenta de esta nueva normativa, por lo que es necesario advertir adecuaciones relevantes en torno al manejo de los datos personales a los cuales se tiene acceso como Sindicato.
La Ley Nº21.719 afecta directamente a los Sindicatos porque considera la afiliación sindical o gremial como dato personal sensible.
En Resumen
En términos prácticos:
- El Sindicato pasa a tener obligaciones como responsable de datos cuando determinan para qué y cómo se tratan los datos de sus afiliados. Deben acreditar la licitud del tratamiento, utilizar los datos para fines específicos, mantenerlos actualizados, protegerlos y guardar confidencialidad.
- No siempre será necesario obtener consentimiento individual para tratar los datos de los afiliados. El Sindicato, como persona jurídica privada sin fines de lucro y de finalidad sindical, puede tratar datos, incluidos datos sensibles sin consentimiento si:
- Los trata exclusivamente respecto de sus miembros o afiliados;
- El tratamiento es necesario para sus fines sindicales;
- Adopta garantías contra filtraciones, sustracciones o accesos no autorizados; y
- No comunica ni cede los datos a terceros.
- Al terminar la afiliación, los datos del exintegrante deben ser anonimizados o suprimidos, salvo que exista otra base legal que permita conservarlos.
- Los afiliados podrán ejercer derechos sobre sus datos, incluyendo acceso, rectificación, supresión, oposición, bloqueo temporal y, en ciertos casos, portabilidad. El Sindicato deberá responder las solicitudes, por regla general, dentro de treinta días corridos, prorrogables una vez por otros treinta días. En caso de rechazar la solicitud, la respuesta debe ser fundada.
- El Sindicato deberá contar con una política de tratamiento de datos e informar, entre otros aspectos, qué datos recopila, con qué finalidad, cuál es la base de legitimidad, quiénes son los destinatarios, cuánto tiempo los conservará y cómo pueden ejercerse los derechos del titular.
- Deben implementarse medidas de seguridad y respuesta ante incidentes, especialmente porque las bases sindicales contienen datos sensibles. Las vulneraciones que impliquen riesgo para los titulares deben ser reportadas a la Agencia y, tratándose de datos sensibles, también comunicadas a los afectados.
- El incumplimiento puede constituir una infracción leve, grave o gravísima cuya sanción va en un rango de las 5.000 a las 20.000 UTM.
- El empleador debe crear un modelo de prevención de infracciones, el cual podrá impactar en la regulación individual por medio del contrato de trabajo o del RIOHS de la empresa. La forma de impacto de este modelo se debe evaluar conforme su mérito, oportunamente.
- Se recomienda levantar un inventario de las bases de datos disponibles, definir finalidades y plazos de conservación, regular accesos y cesiones, preparar una política de privacidad y establecer un procedimiento para responder solicitudes de afiliados e incidentes de seguridad.
Vigencia
Las modificaciones a la Ley Nº19.628 sobre protección de la vida privada, entran en vigor el primer día del vigésimo cuarto mes posterior a la publicación de la Ley N°21.719; considerando la fecha de su publicación en el Diario Oficial, esto es el 13 de diciembre de 2024, la entrada en vigencia está prevista para el 1 de diciembre de 2026.
Conceptos Relevantes
- Almacenamiento de datos: Es la conservación o custodia de datos en un registro o base de datos.
- Bloqueo de datos: La suspensión temporal de cualquier operación de tratamiento de los datos almacenados
- Comunicación de datos personales: Consiste en dar a conocer por el responsable de datos, de cualquier forma, datos personales a personas distintas del titular a quien conciernen los datos, sin llegar a cederlos o transferirlos.
- Dato caduco: El que ha perdido actualidad por disposición de la ley, por el cumplimiento de la condición o la expiración del plazo señalado para su vigencia o, si no hubiese norma expresa, por el cambio de los hechos o circunstancias que consigna.
- Dato estadístico: El dato que, en su origen, o como consecuencia de su tratamiento, no puede ser asociado a un titular identificado o identificable.
- Dato personal: Es cualquier información vinculada o referida a una persona natural identificada o identificable. Se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante uno o más identificadores, tales como el nombre, el número de cédula de identidad, el análisis de elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.
Para determinar si una persona es identificable deberán considerarse todos los medios y factores objetivos que razonablemente se podrían usar para dicha identificación en el momento del tratamiento.
- Datos personales sensibles: Tendrán esta condición aquellos datos personales que se refieren a las características físicas o morales de las personas o a hechos o circunstancias de su vida privada o intimidad, que revelen el origen étnico o racial, la afiliación política, sindical o gremial, la situación socioeconómica, las convicciones ideológicas o filosóficas, las creencias religiosas, los datos relativos a la salud, al perfil biológico humano, los datos biométricos, y la información relativa a la vida sexual, a la orientación sexual y a la identidad de género de una persona natural.
- Eliminación o cancelación de datos: La destrucción de datos almacenados en registros o bancos de datos, cualquiera fuere el procedimiento empleado para ello.
- Fuentes de acceso público: Todas aquellas bases de datos o conjuntos de datos personales, cuyo acceso o consulta puede ser efectuada en forma lícita por cualquier persona, tales como el Diario Oficial, medios de comunicación o los registros públicos que disponga la ley. El tratamiento de datos personales provenientes de fuentes de acceso público se someterá a las disposiciones de esta ley.
- Anonimización: Procedimiento irreversible en virtud del cual un dato personal no puede vincularse o asociarse a una persona determinada, ni permitir su identificación, por haberse destruido o eliminado el nexo con la información que vincula, asocia o identifica a esa persona. Un dato anonimizado deja de ser un dato personal.
- Seudonimización: Tratamiento de datos personales que se efectúa de manera tal que ya no puedan atribuirse a un titular sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona natural identificada o identificable.
- Base de datos personales: Conjunto organizado de datos personales, cualquiera sea la finalidad, forma o modalidad de su creación, almacenamiento, organización y acceso, que permita relacionar los datos entre sí, así como realizar su tratamiento.
- Responsable de datos o responsable: Toda persona natural o jurídica, pública o privada, que decide acerca de los fines y medios del tratamiento de datos personales, con independencia de si los datos son tratados directamente por ella o a través de un tercero mandatario o encargado.
- Titular de datos o titular: Persona natural, identificada o identificable, a quien conciernen o se refieren los datos personales.
- Tratamiento de datos: Cualquier operación o conjunto de operaciones o procedimientos técnicos, de carácter automatizado o no, que permitan de cualquier forma recolectar, procesar, almacenar, comunicar, transmitir o utilizar datos personales o conjuntos de datos personales.
- Consentimiento: Toda manifestación de voluntad libre, específica, inequívoca e informada, otorgada a través de una declaración o una clara acción afirmativa, mediante la cual el titular de datos, su representante legal o mandatario, según corresponda, autoriza el tratamiento de los datos personales que le conciernen.
- Derecho de acceso: Derecho del titular de datos a solicitar y obtener del responsable, confirmación acerca de si sus datos personales están siendo tratados por él, acceder a ellos en su caso, y a la información prevista en esta ley.
- Derecho de rectificación: Derecho del titular de datos a solicitar y obtener del responsable, que modifique o complete sus datos personales, cuando están siendo tratados por él, y sean inexactos, desactualizados o incompletos.
- Derecho de supresión: Derecho del titular de datos a solicitar y obtener del responsable, que suprima o elimine sus datos personales, de acuerdo a las causales previstas en la ley.
- Derecho de oposición: Derecho del titular de datos a solicitar y obtener del responsable, que no se lleve a cabo un tratamiento de datos determinado, de conformidad a las causales previstas en la ley.
- Derecho a la portabilidad de los datos personales: Derecho del titular de datos a solicitar y obtener del responsable, una copia de sus datos personales en un formato electrónico estructurado, genérico y de uso común, que permita ser operado por distintos sistemas, y poder comunicarlos o transferirlos a otro responsable de datos.
El titular tendrá derecho a que sus datos personales se transmitan directamente de responsable a responsable cuando sea técnicamente posible.
- Cesión de datos personales: Transferencia de datos personales por parte del responsable de datos a otro responsable de datos.
- Elaboración de perfiles: Toda forma de tratamiento automatizado de datos personales que consista en utilizar esos datos para evaluar, analizar o predecir aspectos relativos al rendimiento profesional, situación económica, de salud, preferencias personales, intereses, fiabilidad, comportamiento, ubicación o movimientos de una persona natural.
- Tercero mandatario o encargado: La persona natural o jurídica que trate datos personales, por cuenta del responsable de datos.
- Agencia: La Agencia de Protección de Datos Personales.
- Registro Nacional de Sanciones y Cumplimiento: Es un registro nacional de carácter público administrado por la Agencia, que consigna los modelos certificados de prevención, los responsables de datos que los hayan adoptado y las sanciones que se hayan impuesto a los responsables de datos que hayan infringido la ley.
Principios que Rigen el Tratamiento de Datos Personales
- Principios de licitud y lealtad: Los datos personales sólo pueden tratarse de manera lícita y leal.
El responsable deberá ser capaz de acreditar la licitud del tratamiento de datos personales que realiza.
- Principio de finalidad: Los datos personales deben ser recolectados con fines específicos, explícitos y lícitos. El tratamiento de los datos personales debe limitarse al cumplimiento de estos fines.
En aplicación de este principio, no se pueden tratar los datos personales con fines distintos a los informados al momento de la recolección, salvo que el tratamiento sea para fines compatibles con los autorizados originalmente; que exista una relación contractual o precontractual entre el titular y el responsable que justifique el tratamiento de los datos con una finalidad distinta, siempre que se enmarque dentro de los fines del contrato o sea coherente con las tratativas o negociaciones previas a la celebración del mismo; que el titular otorgue nuevamente su consentimiento, y cuando lo disponga la ley.
- Principio de proporcionalidad: Los datos personales que se traten deben limitarse estrictamente a aquéllos que resulten necesarios, adecuados y pertinentes en relación con los fines del tratamiento.
Los datos personales pueden ser conservados sólo por el período de tiempo que sea necesario para cumplir con los fines del tratamiento, luego de lo cual deben ser suprimidos o anonimizados, sin perjuicio de las excepciones que establezca la ley. Un período de tiempo mayor requiere autorización legal o consentimiento del titular.
- Principio de calidad: Los datos personales deben ser exactos, completos, actuales y pertinentes en relación con su proveniencia y los fines del tratamiento.
- Principio de responsabilidad: Quienes realicen tratamiento de los datos personales serán legalmente responsables del cumplimiento de los principios contenidos en este artículo y de las obligaciones y deberes de conformidad a la ley.
- Principio de seguridad: En el tratamiento de los datos personales, el responsable debe garantizar estándares adecuados de seguridad, protegiéndolos contra el tratamiento no autorizado o ilícito, y contra su pérdida, filtración, daño accidental o destrucción. Las medidas de seguridad deben ser apropiadas y acordes con el tratamiento que se vaya a efectuar y con la naturaleza de los datos.
- Principio de transparencia e información: El responsable debe entregar al titular toda la información que sea necesaria para el ejercicio de los derechos que establece esta ley, incluyendo las políticas y las prácticas sobre el tratamiento de los datos personales, las que además deberán encontrarse permanentemente accesibles y a disposición de cualquier interesado de manera precisa, clara, inequívoca y gratuita.
El responsable debe adoptar las medidas adecuadas y oportunas para facilitar al titular el acceso a toda la información que señala esta ley, así como cualquier otra comunicación relativa al tratamiento que realiza.
- Principio de confidencialidad: El responsable de datos personales y quienes tengan acceso a ellos deberán guardar secreto o confidencialidad acerca de los mismos. El responsable establecerá controles y medidas adecuadas para preservar el secreto o confidencialidad. Este deber subsiste aún después de concluida la relación con el titular.
Derechos del Titular de Datos
Toda persona actuando por si o representada tiene derecho de acceso, rectificación, supresión, oposición, portabilidad y bloqueo de sus datos personales, los cuales no pueden limitarse y son irrenunciables e incluso ejercibles por sus herederos.
Al ejercer el derecho de acceso, el titular puede acceder a la siguiente información por parte del Sindicato:
- Los datos tratados y su origen.
- La finalidad o finalidades del tratamiento.
- Las categorías, clases o tipos de destinatarios, o bien, la identidad de cada destinatario, en caso de solicitarlo así el titular, a los que se les hayan comunicado o cedido los datos o se prevea hacerlo.
- El período de tiempo durante el cual los datos serán tratados.
- Se base en los intereses legítimos del responsable o de un tercero.
- La información significativa sobre la lógica aplicada en el caso de que el responsable realice tratamiento de datos personales automatizados, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente. Lo anterior con las siguientes excepciones:
- Cuando sea necesario para la celebración o ejecución de un contrato entre el titular y el responsable.
- Cuando exista consentimiento previo y expreso del titular en la forma prescrita en esta ley.
- Cuando lo señale la ley, en la medida en que ésta disponga el empleo de salvaguardas a los derechos y libertades del titular.
Las condiciones del derecho de supresión son las siguientes:
- Cuando los datos no resulten necesarios en relación con los fines del tratamiento para el cual fueron recogidos.
- Cuando el titular haya revocado su consentimiento para el tratamiento y éste no tenga otro fundamento legal.
- Cuando los datos hayan sido obtenidos o tratados ilícitamente por el responsable.
- Cuando se trate de datos caducos.
- Cuando los datos deban suprimirse para el cumplimiento de una sentencia judicial, de una resolución de la autoridad de protección de datos o de una obligación legal.
- Cuando el titular haya ejercido su derecho de oposición de conformidad al artículo siguiente y no exista otro fundamento legal para su tratamiento.
Sin embargo, no procederá el ejercicio de este derecho cuando el tratamiento sea necesario para el ejercicio de la libertad de emitir opinión e informar; para el cumplimiento de una obligación legal o la ejecución de un contrato suscrito entre el titular y el responsable; para el cumplimiento de una función pública o para el ejercicio de una actividad de interés público; por razones de interés público en el área de la salud pública, de conformidad con las condiciones y garantías establecidas en la ley; para tratamientos con fines históricos, estadísticos o científicos y para estudios o investigaciones que atiendan fines de interés público; finalmente, para la formulación, ejercicio o defensa de una reclamación administrativa o judicial.
El derecho de oposición puede ejercerse en los siguientes casos:
- Cuando la base de licitud del tratamiento sea la satisfacción de intereses legítimos del responsable, el que se puede ejercer en cualquier momento, en cuyo caso el responsable del tratamiento, es decir, el Sindicato deberá dejar de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del titular, o para la formulación, el ejercicio o la defensa de reclamaciones.
- Si el tratamiento se realiza exclusivamente con fines de mercadotecnia o marketing directo de bienes, productos o servicios, incluida la elaboración de perfiles automatizados.
- Si el tratamiento se realiza respecto de datos obtenidos de una fuente de acceso público y no existe otro fundamento legal para su tratamiento.
No procederá la oposición al tratamiento cuando éste se realice con fines de investigación científica o histórica o fines estadísticos, y siempre que fueran necesarios para el cumplimiento de una función pública o para el ejercicio de una actividad de interés público.
El derecho de bloqueo consiste en el derecho a solicitar la suspensión temporal de cualquier operación de tratamiento de sus datos personales cuando formule una solicitud de rectificación, supresión u oposición en conformidad al procedimiento establecido en esta ley, mientras dicha solicitud no se resuelva. Este derecho el alternativo al de supresión y no afectará el almacenamiento de los datos por parte del Sindicato.
El derecho a la portabilidad de los datos personales se ejerce por medio de una solicitud de una copia sus datos personales, el cual debe ser entregado en un formato electrónico estructurado, genérico y de uso común, que permita ser operado por distintos sistemas, y a comunicarlos o transferirlos a otro responsable de datos, cuando el tratamiento se realice en forma automatizada, y cuando el tratamiento esté basado en el consentimiento del titular.
Del Consentimiento del Titular
Para que el consentimiento del titular sea válido, el consentimiento del titular debe ser libre, informado y específico en cuanto a su finalidad o finalidades y ser otorgado por sí mismo o por un mandatario quien debe estar expresamente facultado para ello. El consentimiento debe manifestarse, además, en forma previa y de manera inequívoca, mediante una declaración verbal, escrita o expresada a través de un medio electrónico equivalente, o mediante un acto afirmativo que dé cuenta con claridad de la voluntad del titular.
El titular puede revocar el consentimiento otorgado en cualquier momento y sin expresión de causa, utilizando medios similares o equivalentes a los empleados para su otorgamiento. La revocación del consentimiento no tendrá efectos retroactivos. Los medios utilizados para el otorgamiento o la revocación del consentimiento deben ser expeditos, fidedignos, gratuitos y estar permanentemente disponibles para el titular.
Obligaciones del Responsable de Datos
El responsable de datos, en este caso, el Sindicato, sin perjuicio de las demás disposiciones previstas en esta ley, tiene las siguientes obligaciones:
- Informar y poner a disposición del titular los antecedentes que acrediten la licitud del tratamiento de datos que realiza. Asimismo, deberá entregar de manera expedita dicha información cuando le sea requerida.
- Asegurar que los datos personales se recojan de fuentes de acceso lícitas con fines específicos, explícitos y lícitos, y que su tratamiento se limite al cumplimiento de estos fines.
- Comunicar o ceder, en conformidad a las disposiciones de esta ley, información exacta, completa y actual.
- Suprimir o anonimizar los datos personales del titular cuando fueron obtenidos para la ejecución de medidas precontractuales.
- Cumplir con los demás deberes, principios y obligaciones que rigen el tratamiento de los datos personales previstos en esta ley.
Con todo, el Sindicato está obligado a mantener secreto o confidencialidad acerca de los datos personales que conciernan a un titular, salvo cuando el titular los hubiere hecho manifiestamente públicos. Este deber subsiste aún después de concluida la relación con el titular o Socio.
Deber de Información y Transparencia
El Sindicato debe facilitar y mantener permanentemente a disposición del público, en su sitio web o en cualquier otro medio de información equivalente, al menos, la siguiente información:
- La política de tratamiento de datos personales que haya adoptado, la fecha y versión de la misma.
- La individualización del responsable de datos y su representante legal y la identificación del encargado de prevención, si existiere.
- El domicilio postal, la dirección de correo electrónico, el formulario de contacto o la identificación del medio tecnológico equivalente de uso común y fácil acceso mediante el cual se le notifican las solicitudes que realicen los titulares.
- Las categorías, clases o tipos de datos que trata; la descripción genérica del universo de personas que comprenden sus bases de datos; los destinatarios a los que se prevé comunicar o ceder los datos; las finalidades de los tratamientos que realiza; la base de legitimidad del tratamiento; y en caso de tratamientos que se basan en la satisfacción de intereses legítimos, cuáles serían éstos.
- La política y las medidas de seguridad adoptadas para proteger las bases de datos personales que administra.
- El derecho que le asiste al titular para solicitar ante el responsable, acceso, rectificación, supresión, oposición y portabilidad de sus datos personales, de conformidad a la ley.
- El derecho que le asiste al titular de recurrir ante la Agencia, en caso de que el responsable rechace o no responda oportunamente las solicitudes que le formule.
- El periodo durante el que se conservarán los datos personales.
- La fuente de la cual provienen los datos personales y, en su caso, si proceden de fuentes de acceso público.
- Cuando el tratamiento está basado en el consentimiento del titular o socio, la existencia del derecho a retirarlo en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada.
- La existencia de decisiones automatizadas, incluida la elaboración de perfiles. En tales casos, información significativa sobre la lógica aplicada, así como las consecuencias previstas de dicho tratamiento para el titular.
Además, se deberá mantener un deber de protección destinado a aplicar medidas técnicas y organizativas para garantizar que, por defecto, sólo sean objeto de tratamiento los datos personales específicos y estrictamente necesarios para dicha actividad sindical.
Deber de Adoptar Medidas de Seguridad
El Sindicato debe adoptar las medidas necesarias para resguardar el cumplimiento del principio de seguridad establecido en esta ley. Las medidas aplicadas por el responsable deben asegurar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas de tratamiento de datos. Asimismo, deberán evitar la alteración, destrucción, pérdida, tratamiento o acceso no autorizado.
Dentro de las medidas consideradas, se encuentran:
- La seudonimización y el cifrado de datos personales.
- La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.
- La capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico.
- Un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
Ante la ocurrencia de un incidente de seguridad o controversia con el socio, corresponderá al Sindicato acreditar la existencia y el funcionamiento de las medidas de seguridad adoptadas en base a los niveles de riesgo y a la tecnología disponible y, en este caso deberá, además, reportar dicho incidente a la Agencia y/o a los Socios, en el caso de que trate de datos sensibles.
Del Tratamiento de Datos Personales Sensibles
El tratamiento de los datos personales sensibles sólo puede realizarse cuando el titular a quien conciernen estos datos manifiesta su consentimiento en forma expresa, otorgado a través de una declaración escrita, verbal o por un medio tecnológico equivalente. Sin perjuicio de lo anterior, es lícito el tratamiento de datos personales sensibles, sin el consentimiento del titular, en los siguientes casos:
- Cuando el tratamiento se refiere a datos personales sensibles que el titular ha hecho manifiestamente públicos y su tratamiento esté relacionado con los fines para los cuales fueron publicados.
- Cuando el tratamiento se basa en un interés legítimo realizado por una persona jurídica de derecho público o de derecho privado que no persiga fines de lucro y se cumplan las siguientes condiciones:
- Su finalidad sea política, filosófica, religiosa, cultural, sindical o gremial;
- El tratamiento que realice se refiera exclusivamente a sus miembros o afiliados;
- El tratamiento de datos tenga por objeto cumplir las finalidades específicas de la institución;
- La persona jurídica otorgue las garantías necesarias para evitar filtraciones, sustracciones o un uso o tratamiento no autorizado de los datos, y
- Los datos personales no se comuniquen o cedan a terceros.
Cumpliéndose estas condiciones, el Sindicato no requerirá el consentimiento del titular para tratar sus datos, incluidos los datos personales sensibles. En caso de duda o controversia administrativa o judicial, se deberá acreditar su necesidad. Sin embargo, cuando un Socio deje de pertenecer al Sindicato, sus datos deberán ser anonimizados o suprimidos.
- Cuando el tratamiento de los datos personales del titular resulte indispensable para salvaguardar la vida, salud o integridad física o psíquica del titular o de otra persona o, cuando el titular se encuentre física o jurídicamente impedido de otorgar su consentimiento. Una vez que cese el impedimento, el responsable debe informar detalladamente al titular los datos que fueron tratados y las operaciones específicas de tratamiento que fueron realizadas.
- Cuando el tratamiento de los datos sea necesario para la formulación, ejercicio o defensa de un derecho ante los tribunales de justicia o un órgano administrativo.
- Cuando el tratamiento de datos sea necesario para el ejercicio de derechos y el cumplimiento de obligaciones del responsable o del titular de datos, en el ámbito laboral o de seguridad social, y se realice en el marco de la ley.
- Cuando el tratamiento de datos personales sensibles lo autorice o mandate expresamente la ley.
Las excepciones para tratar datos sin consentimiento, mencionadas en este artículo, se entienden aplicables al tratamiento de datos que no revisten el carácter de datos sensibles y, cuando el tratamiento se realiza exclusivamente con fines históricos, estadísticos, científicos y para estudios o investigaciones, todos los cuales deben atender fines de interés público.
Las Sanciones
La responsabilidad, las infracciones y las sanciones aplicables a las personas naturales o jurídicas de derecho privado se dividen en infracciones leves, graves y gravísimas, estableciendo esta ley un catálogo punitivo de dichas conductas, cuya sanción va en un rango de las 5.000 a las 20.000 UTM. Sin perjuicio de ello, la ley considera, además, circunstancias atenuantes y agravantes.
Para la determinación del monto de las multas, la Agencia deberá aplicar prudencialmente los siguientes criterios:
- La gravedad de la conducta.
- Si la conducta fue realizada con falta de diligencia o cuidado en aquellos casos que no se consideran estos elementos en la configuración de la infracción.
- El perjuicio producido con motivo de la infracción, especialmente el número de titulares de datos que se vieron afectados.
- El beneficio económico obtenido con motivo de la infracción, en caso de que lo hubiese.
- Si el tratamiento realizado incluye datos personales sensibles o datos personales de niños, niñas y adolescentes.
- La capacidad económica del infractor.
- Las sanciones aplicadas con anterioridad por la Agencia en las mismas circunstancias.
- Las circunstancias atenuantes y agravantes que concurran.
Las responsabilidades en que incurra una persona natural o jurídica por las infracciones establecidas en esta ley se entienden sin perjuicio de las demás responsabilidades legales, civiles o penales, que pudieran corresponderle y se tramitarán conforme al procedimiento administrativo y judicial establecido en esta ley.
En el caso de las acciones civiles, sólo podrán interponerse una vez ejecutoriada la resolución que resolvió favorablemente el reclamo interpuesto ante la Agencia o la sentencia se encuentre firme y ejecutoriada.
Prevención de Infracciones
Los responsables de datos sean personas naturales o jurídicas, públicas o privadas, deberán adoptar acciones destinadas a prevenir la comisión de las infracciones. Para ello, podrán voluntariamente adoptar un modelo de prevención de infracciones consistente en un programa de cumplimiento.
El programa de cumplimiento deberá contener, al menos, los siguientes elementos:
- La designación de un delegado de protección de datos personales.
- La definición de medios y facultades del delegado de protección de datos.
- La identificación del tipo de información que la entidad trata, el ámbito territorial en que opera, la categoría, clase o tipos de datos o bases de datos que administra, y la caracterización de los titulares de datos.
- La identificación de las actividades o procesos de la entidad, sean habituales o esporádicos, en cuyo contexto se genere o incremente el riesgo de comisión de las infracciones señaladas en la ley.
- El establecimiento de protocolos, reglas y procedimientos específicos que permitan a las personas que intervengan en las actividades o procesos indicados en la letra anterior, programar y ejecutar sus tareas o labores de una manera que prevenga la comisión de las referidas infracciones.
- Los mecanismos de reporte interno sobre el cumplimiento de lo dispuesto en la presente ley y los mecanismos de reporte a la autoridad de protección de datos.
- La existencia de sanciones administrativas internas, así como de procedimientos de denuncia o castigo de responsabilidades de las personas que incumplan el sistema de prevención de infracciones.
La regulación interna a que dé lugar la implementación del programa, en su caso, deberá ser incorporada expresamente como una obligación en los contratos de trabajo o de prestación de servicios de todos los trabajadores, empleados y prestadores de servicios de las entidades que actúen como responsables de datos o los terceros que efectúen el tratamiento, incluidos los máximos ejecutivos de ellas, o bien, como una obligación del reglamento interno, pero para ello deberá el empleador realizar el procedimiento habitual destinado a la modificación del respectivo RIOHS.
Existirá, además, una certificación, registro, supervisión del modelo de prevención de infracciones y reglamento por parte de la Agencia, quien certificará que el modelo de prevención de infracciones reúna los requisitos y elementos establecidos en la ley y la supervisión de su correcta ejecución, creándose un registro Nacional de Sanciones y Cumplimiento a las entidades que posean una certificación vigente, cuyo reglamento de operatividad a la fecha de este informe, no ha sido creado.
Le saluda cordialmente.
Alejandra Eva Novoa Vásquez
Abogada
