El mito del modelo de prevención de infracciones en materia de datos personales

Mientras el debate público se concentra en la postergación de la Ley de Protección de Datos Personales, muchas empresas se preparan para la nueva normativa con una idea tranquilizadora: adoptar un Modelo de Prevención de Infracciones (MPI), certificarlo ante la Agencia y quedar en regla. La realidad es otra: certificar el modelo no es cumplir la ley, sino cumplir el modelo, algo distinto y más acotado.

Los artículos 49 a 53 de la nueva ley permiten adoptar voluntariamente un programa de cumplimiento, y su reglamento detalla cómo construirlo. Su alcance es modesto: el reglamento aclara que no exime del deber general de prevenir infracciones, y la ley trata el certificado como atenuante, no como constancia de cumplimiento.

El reglamento fija elementos mínimos: un delegado de protección de datos, la caracterización de cada tratamiento, una matriz de riesgos, protocolos internos, mecanismos de reporte y denuncia, y su incorporación a los contratos de trabajo. Varios tocan obligaciones de fondo, pero solo para documentarlas: declarar la base de licitud no la vuelve válida; nombrar a un encargado no reemplaza el contrato exigido. Documentar no protege.

Deja fuera, además, las dos obligaciones que más protegen a las personas: los derechos del titular (acceso, rectificación, supresión, oposición, portabilidad y bloqueo) se reducen a un punto de contacto sin procedimiento; la evaluación de impacto ante tratamientos de alto riesgo aparece solo como función de asesoría del delegado, sin exigirse ni gatillarse.

El modelo tampoco habla de medidas técnicas (cifrado, seudonimización, control de accesos), pese a que la ley las exige según la probabilidad y gravedad del riesgo para los titulares. Por tanto, un programa certificado puede dejar los datos tan expuestos como siempre.

Pero el problema de fondo es otro: el modelo mide un riesgo distinto del de la ley. Su matriz se ordena según el riesgo “de incurrir en infracciones”, graduado por las sanciones; la ley, en cambio, según el riesgo “para los derechos y libertades de los titulares”. Son preguntas distintas: ¿qué me expone a una multa? no es lo mismo que ¿a quién puedo dañar? Un tratamiento puede tener bajo riesgo de sanción y alto riesgo para las personas, como un scoring que niega un crédito sin infracción evidente. Es como revisar la seguridad de un edificio contando multas, en vez de ver si abren las salidas de emergencia.

Una empresa satisfecha con certificarse estará más inclinada a postergar justo las obligaciones sustantivas de la ley (atención a titulares, evaluaciones de impacto, medidas técnicas) y puede ser sancionada igual, pues el certificado no evita la multa, solo la atenúa. Hay, además, una ironía: la misma norma que reconoce el certificado como atenuante agrava la responsabilidad de quien arriesgó los derechos y libertades de los titulares, y calcula la multa según el daño y el número de afectados.

El modelo mide el riesgo de ser sancionado, no el de lesionar derechos; no contempla medidas técnicas y deja fuera, o apenas menciona, los derechos de titulares y las evaluaciones de impacto. Es cumplimiento sin protección. Conviene revisar ahora si lo que se construye responde a lo que la ley exige, y no esperar a que un incidente lo evidencie.

Sobre el autor:

Ignacio Bunster, abogado, socio de Idónea Consultores.

Las opiniones expresadas son solo responsabilidad de sus autores y son completamente independientes de la postura y la línea editorial de Forbes Chile.