La ley llega en diciembre aunque su Agencia no tenga consejeros

"La ley no duerme cuando el juez descansa."

Aforismo jurídico clásico

Faltan noventa y siete días para que la Ley N°21.719 entre en plena vigencia y ocurre algo que a muchos les parece una contradicción difícil de digerir. La Agencia de Protección de Datos Personales, ese organismo que la ley crea para fiscalizar y sancionar a quienes traten mal la información de las personas, todavía no tiene Consejo Directivo. La Ley N°21.806 modificó las disposiciones transitorias precisamente para asegurar su instalación seis meses antes de la entrada en vigencia, estableciendo incluso un mecanismo por el cual, si el Senado no se pronuncia sobre la nómina propuesta por el Presidente, esta se entiende aceptada sin más trámite. Sin embargo, el nombramiento no ha ocurrido, dos listas de candidatos resultaron fallidas y a la fecha no hay novedades sobre una nueva terna.

La pregunta que muchas gerencias se están haciendo por estos días, algunas en voz alta y otras en el silencio cómodo de la esperanza, es si esto significa que hay más tiempo. Vale la pena responderla con claridad, porque la respuesta define lo que una organización haga o deje de hacer en los próximos tres meses.

Una cosa es la obligación y otra el fiscalizador

Conviene separar dos planos que la conversación pública suele confundir. La obligación jurídica nace de la ley y comienza a regir el día que la ley dispone, sin depender de que exista alguien mirando. El fiscalizador es el mecanismo institucional para verificar y sancionar el incumplimiento, y su ausencia no deroga nada, del mismo modo que una calle sin carabineros no autoriza a pasarse el semáforo en rojo ni borra la infracción cometida.

Desde el primero de diciembre de este año toda actividad de tratamiento de datos personales en Chile, del sector público y del privado, quedará sujeta a la nueva normativa, salvo las excepciones que la propia norma contempla. Eso incluye la exigencia de contar con una base de licitud para cada tratamiento, de mantener el registro de actividades, de responder a los titulares que ejerzan sus derechos y de notificar las brechas de seguridad. Nada de eso está condicionado a la instalación del Consejo Directivo.

Hay además una consideración práctica que las organizaciones prudentes ya están haciendo. Una Agencia que se instala tarde no llega con menos energía sino con más, porque debe justificar su existencia ante un país que la esperó. Y llegará a un panorama donde las empresas se dividirán en dos grupos fácilmente distinguibles, las que usaron estos meses para ordenarse y las que los usaron para esperar noticias del Senado.

Quiénes tienen más que perder con la espera

La demora ha generado preocupación en la industria nacional y también en empresas internacionales que evalúan ingresar al mercado chileno y siguen de cerca la regulación en curso. Pero hay dos grupos donde la incertidumbre pesa más que en el resto.

El primero son las industrias que no cuentan con un regulador sectorial propio y que, en consecuencia, no tienen lineamientos claros sobre cómo abordar los desafíos de la norma. Un banco puede mirar a la CMF y una isapre a su superintendencia, pero una empresa de servicios, una constructora o una cadena de retail sin supervisor especializado se queda sin ese intérprete intermedio que traduce la ley general a instrucciones concretas. Para ellas, la ausencia de la Agencia significa navegar sin carta.

El segundo grupo son las pequeñas y medianas empresas, que enfrentan esta normativa en un entorno donde ya hay mucha regulación que las afecta, y donde esta en particular implica ajustes en procesos internos que no siempre tienen a quién delegar. Para ellas la ley contempla una ventana inicial de amonestaciones en lugar de multas, pero esa ventana premia a quien está avanzando y no a quien recién empieza a mirar el problema el día que llega la carta.

Lo que sí depende de usted

Si algo enseña este episodio es que el cumplimiento maduro no se organiza en función de cuándo aparecerá el fiscalizador sino de cuándo comienza la obligación, que son dos fechas distintas y solo una de ellas está fijada con certeza. Las organizaciones que quieran llegar tranquilas a diciembre tienen por delante un trabajo que no requiere consejeros designados para comenzar. Levantar el inventario de datos que la empresa trata, asignarle a cada uno su base de licitud, revisar los contratos con proveedores que acceden a esa información, definir cómo se responderá a un titular que ejerza sus derechos y ensayar el procedimiento para el día en que ocurra una brecha. Ninguna de esas tareas espera una resolución del Senado.

El aforismo con que abrimos estas líneas dice que la ley no duerme cuando el juez descansa, y expresa una intuición antigua sobre la naturaleza de las normas. Existen porque protegen algo, no porque alguien las vigile, y esa es exactamente la diferencia entre una organización que cumple y una que solamente evita ser sorprendida. En noventa y siete días sabremos quién entendió la diferencia.

En Neitcom construimos tecnología para que el cumplimiento sea trazable y demostrable, que es lo que cualquier fiscalizador viene a buscar el día que llega. Conversemos sobre cómo su gestión de datos y su debida diligencia pueden caminar juntas hacia diciembre, o revise nuestro artículo sobre el oficial de cumplimiento como tratante de datos.