Qué exige la ley, artículo por artículo

Tener una base de licitud para cada tratamiento, y poder probarla

Todo tratamiento necesita una causa que lo autorice: el consentimiento del titular o alguna de las bases del artículo 13 (ejecución de un contrato, obligación legal, interés legítimo, entre otras). Cuando la causa es el consentimiento, debe ser libre, informado, específico, previo e inequívoco, y revocable en cualquier momento por medios igual de simples que los usados para otorgarlo.

Qué debe poder mostrar: El registro de qué base ampara cada actividad y, cuando hay consentimiento, la prueba de que se otorgó, cuándo, para qué finalidad y con qué texto a la vista.

Cómo acreditar el consentimiento →

Publicar cómo trata los datos, y mantenerlo al día

El artículo enumera un mínimo que debe estar permanentemente disponible en su sitio web: la política de tratamiento con su fecha y versión; la individualización del responsable y de su representante legal, y la del encargado de prevención si existe; el canal por el que se reciben las solicitudes; las categorías de datos, la descripción del universo de personas a quienes conciernen, las finalidades, la base de legitimidad (y cuál es el interés legítimo, cuando esa sea la base), los destinatarios, los plazos de conservación y el origen de los datos; la política y las medidas de seguridad adoptadas; los derechos del titular y su derecho a reclamar ante la Agencia; el derecho a retirar el consentimiento en cualquier momento; las transferencias fuera de Chile, indicando si el país ofrece un nivel adecuado de protección y, si no, qué garantías las cubren; y la existencia de decisiones automatizadas, con información sobre la lógica aplicada y sobre las consecuencias previstas para el titular.

Qué debe poder mostrar: Esa publicación viva. El inventario ordenado que la sostiene es el registro de actividades de tratamiento: la ley no lo llama así ni le dedica un artículo en el sector privado, pero sin él esta obligación no se puede cumplir ni actualizar.

Atender los derechos del titular en treinta días corridos

Toda persona puede pedirle acceso, rectificación, supresión, oposición, portabilidad y bloqueo de sus datos. Usted debe recibir la solicitud por un correo electrónico o formulario dispuesto para eso, autenticar la identidad de quien la presenta, acusar recibo y pronunciarse dentro de treinta días corridos, prorrogables una sola vez por hasta treinta más. La respuesta va por escrito y toda denegación debe ser fundada. El bloqueo temporal es la excepción: ese se responde en dos días hábiles.

Qué debe poder mostrar: Los respaldos que demuestren la fecha, la vía de envío y el contenido íntegro de cada respuesta. Sin ellos, ante la Agencia es como si no hubiera respondido.

Cómo funciona el Canal para el ejercicio de los derechos del titular →

Adoptar medidas de seguridad y poder acreditar que funcionaban

Las medidas deben asegurar confidencialidad, integridad, disponibilidad y resiliencia, en proporción al riesgo del tratamiento. La ley menciona expresamente el cifrado y la seudonimización, la capacidad de restaurar el acceso a los datos tras un incidente, y un proceso regular de verificación y evaluación de la eficacia de esas medidas.

Qué debe poder mostrar: El inventario de controles con su responsable, la fecha de la última evaluación y la evidencia de cada una. Ante un incidente, la carga de acreditar que existían y funcionaban es suya.

Cómo documentar las medidas de seguridad →

Proteger desde el diseño y tratar solo lo estrictamente necesario

Las medidas técnicas y organizativas se aplican antes de empezar a tratar los datos, no después. Y por defecto solo deben tratarse los datos estrictamente necesarios para la finalidad: en cantidad, en extensión, en plazo de conservación y en quién puede acceder a ellos.

Qué debe poder mostrar: La decisión documentada, por actividad, de qué datos se recogen y por qué; y los plazos de conservación definidos en vez de un almacenamiento indefinido por costumbre.

Reportar las vulneraciones de seguridad sin dilaciones indebidas

Si ocurre una filtración, pérdida, alteración o acceso no autorizado con riesgo razonable para los titulares, hay que reportarlo a la Agencia por el medio más expedito y sin dilaciones indebidas, y llevar un registro de esas comunicaciones. Si los datos afectados son sensibles, de niñas y niños menores de catorce años o de carácter económico, financiero, bancario o comercial, también hay que avisarles a las personas afectadas, en lenguaje claro.

Qué debe poder mostrar: El registro del incidente: naturaleza, efectos, categorías y número aproximado de titulares afectados, y medidas adoptadas. Omitir deliberadamente ese aviso es una infracción gravísima.