Importantes desafíos, que van desde los ámbitos éticos y legales a los procedimentales y tecnológicos, enfrentan las universidades chilenas ante la entrada en vigencia, en diciembre, de la Ley 21.719 de Protección y Tratamiento de Datos Personales.
La Ley también crea la Agencia de Protección de Datos que será el ente responsable del cumplimiento y fiscalización de ley, y de recibir reclamos y llevar el registro de sanciones.
La nueva normativa reforma sustancialmente la Ley 19.628 de Protección de la vida privada, elevando los estándares en el resguardo de la información de las personas y su derecho a la privacidad -consagrado en la Constitución- a niveles equiparables con las legislaciones más exigentes del mundo.
En términos generales, establece una serie de principios que las instituciones deben observar en la obtención, tratamiento y conservación de datos, además de un conjunto de derechos de los titulares sobre su información personal conocidos como ARCOP (acceso, rectificación, cancelación o supresión, oposición y portabilidad).
Asimismo, diferencia categorías de datos e introduce fuertes sanciones por infracciones a la ley que pueden llegar hasta las 200 mil unidades tributarias mensuales (UTM), unos mil 400 millones de pesos al valor actual, que pueden aumentar por reincidencias.
Todas las organizaciones públicas y privadas, cualquiera sea su tamaño, están obligadas a establecer medidas y procedimientos para adaptar sus procesos a la nueva legislación.
“La Ley pone grandes presiones a cualquier institución, pero para la Universidad de Concepción, que trata datos personales de miles de personas en cientos de procesos en facultades, institutos, centros y unidades administrativas, el desafío se multiplica varias veces”, señaló el vicerrector de Asuntos Económicos y Administrativos, Claudio Parés Bengoechea.
Nuevos escenarios
La VRAEA tiene a su cargo la implementación del plan institucional de la ley en coordinación con las direcciones de Tecnología de la Información (DTI) y de Desarrollo Estratégico (DDE), el Programa de Transformación Digital, el área de Seguridad de la Información, y la participación de profesionales de distintas reparticiones.
El marco de acción de este trabajo está dado por la política de Protección de Datos Personales de la Universidad, aprobada en mayo, uno de los hitos más relevantes del proceso de ajuste institucional a la nueva normativa y base para las distintas etapas que se deben concretar hacia diciembre.
La ley exige no solo exige tener políticas escritas, sino demostrar con evidencia qué datos se tratan, con qué base legal, cuánto tiempo se conservan, qué medidas de seguridad tienen y los controles adicionales que se aplican cuando el riesgo es alto, por ejemplo, en la investigación con personas, los datos de salud o el uso de inteligencia artificial.
El nuevo escenario trae transformaciones institucionales de tipo procedimental y, sobre todo, de índole cultural, porque implica la evaluación de prácticas cotidianas y arraigadas en la organización.
“Tenemos que revisar sistemas que llevan años funcionando, renegociar cláusulas con proveedores, ajustar formularios, capacitar a cientos de personas que manejan datos personales en su trabajo diario sin necesariamente saber que ahora tienen obligaciones específicas frente a ellos. Es un cambio de cómo trabajamos, no solo de qué firmamos”, advirtió Claudio Parés.
Tarea de toda la comunidad
En esa perspectiva, el vicerrector pone de manifiesto que los retos derivados de la normativa no pueden ser abordados solo por un equipo coordinador, sino que demanda la participación activa de toda la comunidad universitaria.
“Cada unidad conoce sus propios procesos mejor que nadie, y vamos a necesitar que jefaturas, académicos, académicas, funcionarios y funcionarias participen en los levantamientos de información, asistan a las capacitaciones que vamos a convocar y apliquen las nuevas normas a medida que se vayan difundiendo”, indicó.
El Programa de Transformación Digital lidera la coordinación del plan de implementación institucional que debe concretar una serie de etapas con miras a la adecuación interna para el cumplimiento de las materias que se harán exigibles a partir de diciembre
“La puesta a punto para la entrada en vigor de la Ley de Protección de Datos Personales exige abordar prioritariamente las principales brechas institucionales, considerando la cercanía de los plazos. La Universidad cuenta con profesionales comprometidos y con un profundo conocimiento de sus procesos, lo que constituye una fortaleza para enfrentar este desafío”, dijo la directora del Programa, Marcela Varas Contreras.
Transformación organizacional
La también académica de Ingeniería explicó que más allá de lo que implica el cumplimiento normativo, el programa está coordinando una transformación organizacional más amplia, que apunta a fortalecer la protección y la gobernanza de los datos, la seguridad de la información y el uso responsable de la inteligencia artificial, involucrando activamente a toda la comunidad universitaria.
“Cumplir la ley es una condición básica, pero también una oportunidad para consolidar los datos como un activo estratégico al servicio de la excelencia institucional”, aseveró Varas.
Aquí, el director de la DDE, Sebastián Astroza Tagle, destacó el proyecto piloto de gobierno de datos impulsado por su unidad, junto a la DTI y el Programa de Transformación Digital, orientado a preparar a la Universidad para las nuevas exigencias en la protección de datos personales.
Este trabajo considera un diagnóstico de la situación institucional, la definición de roles y responsabilidades, y la identificación de brechas en la generación, uso, calidad y resguardo de la información.
“Nuestro propósito es que la implementación de la Ley 21.719 no se limite al cumplimiento normativo, sino que permita instalar una gestión de datos más segura, coordinada, trazable y confiable en toda la Universidad», expresó el directivo.
Gobernanza de los sistemas
El director de Tecnologías de la Información, Eduardo Rivera Cid, puso el acento en los importantes desafíos tecnológicos que impone la nueva normativa y que la unidad está abordando desde distintas perspectivas.
La DTI se encuentra trabajando en el fortalecimiento de la gobernanza de sus sistemas para garantizar el ejercicio de los derechos de las personas y la seguridad por diseño.
“Sin embargo, el desafío trasciende a la DTI y es de carácter institucional, pues requiere adecuar la forma en que toda la comunidad universitaria gestiona la información día a día”, dijo el ingeniero informático.
Uno de los retos clave es lograr una Gobernanza TI (de tecnologías de información) que permita ordenar la llamada “shadow IT” (tecnologías de información en la sombra); es decir, soluciones, bases de datos o herramientas que las distintas áreas han implementado de forma independiente.
“Bajo la nueva ley, la Universidad es responsable del dato sin importar dónde se aloje, por lo que debemos formalizar la gestión tecnológica, mitigar riesgos y consolidar una cultura donde la privacidad y la seguridad sean el estándar”, puntualizó.
Registro de actividades de tratamiento
En estos momentos, la Universidad se encuentra realizando el levantamiento de información para la elaboración del Registro de Actividades de Tratamiento (RAT) de datos personales, en las distintas reparticiones.
El jefe de Seguridad de Datos (CISO) y Delegado de Protección de Datos (DPO) de la Universidad, Héctor Muñoz Flores, explicó que el RAT uno de los principales instrumentos de gobernanza exigidos por la Ley N° 21.719.
Este recurso permite identificar, documentar y mantener trazabilidad sobre todos los tratamientos de datos personales, incluyendo sus finalidades, bases de licitud, categorías de datos, sus responsables, destinatarios, plazos de conservación y medidas de seguridad aplicables.
“El RAT proporciona evidencia objetiva de que la organización conoce y controla el ciclo de vida de los datos personales, facilitando el cumplimiento del principio de responsabilidad proactiva (accountability), la gestión de riesgos, la realización de evaluaciones de impacto, la atención de los derechos de los titulares y la respuesta ante fiscalizaciones de la Agencia de Protección de Datos Personales”, agregó el profesional.
Por otro lado, permite demostrar la debida diligencia y la existencia de un modelo efectivo de cumplimiento en el marco de la Ley N° 20.393 de Responsabilidad Penal de las Personas Jurídicas, al evidenciar la implementación de controles preventivos, mecanismos de supervisión y una adecuada gobernanza sobre la información personal tratada por la organización.
Asimismo, fortalece el cumplimiento de estándares internacionales de resguardo de la privacidad y seguridad de la información, y normas como el Reglamento General de Protección de Datos (RGPD) de la Unión Europea, consolidando una cultura organizacional basada en la transparencia, la gestión de riesgos y la protección de los derechos de las personas.
