La Ley N° 21.719 incorpora en Chile la Evaluación de Impacto en Protección de Datos Personales (EIPD) como una herramienta preventiva y el artículo 15 ter establece ciertos casos en que la EIPD será siempre requerida. Uno de ellos es el “tratamiento masivo de datos o a gran escala”. Y ahí aparece una pregunta clave: ¿cuánto es masivo?
La Ley no establece un número, porcentaje ni umbral específico. Pensemos, por ejemplo, en una empresa que tiene 100 clientes y trata datos personales de todos ellos. Para esa organización, hablamos del 100% de su cartera. Un banco, en cambio, puede tratar datos de cientos de miles o millones de personas. Entonces, ¿100 pueden ser “masivos” para una organización pequeña y 10.000 no serlo para una organización mucho mayor?
Probablemente, la respuesta no puede depender solo del número. En ese sentido, la experiencia internacional puede orientarnos. En Europa, se consideran principalmente cuatro elementos: número de titulares afectados, tanto en términos absolutos como en proporción a la población relevante; volumen y variedad de datos tratados; duración o permanencia del tratamiento; y extensión geográfica.
Por lo tanto, la pregunta no debería ser únicamente “¿cuántas personas?”, sino también cuánto sabemos de ellas, durante cuánto tiempo tratamos sus datos y cuál es el alcance de ese tratamiento. Esto también significa que tratar los datos del 100% de los clientes de una empresa pequeña no convierte automáticamente esa actividad en un tratamiento masivo.
Desde la entrada en vigencia de la Ley, las organizaciones tendrán que decidir si determinados tratamientos requieren una EIPD y deberán poder sustentar esa decisión. Por eso, es relevante que la futura Agencia de Protección de Datos Personales entregue criterios claros sobre qué debe entenderse por tratamiento masivo o a gran escala. Pero probablemente la solución tampoco sea establecer un “número mágico”. Un umbral rígido podría dejar fuera tratamientos altamente invasivos simplemente por encontrarse bajo determinada cifra.
Mientras no exista un criterio nacional más específico, resulta razonable utilizar referencias internacionales consolidadas y definir internamente criterios objetivos para evaluar la escala del tratamiento, como lo ha estado haciendo la Agencia de Protección de Datos de España. Al menos, podrían considerarse: cantidad y proporción de titulares + volumen y variedad de datos + permanencia del tratamiento + extensión geográfica.
Y, especialmente cuando existan dudas, complementar el análisis considerando otras características de riesgo: datos sensibles, elaboración de perfiles, seguimiento sistemático, nuevas tecnologías o titulares vulnerables.
Pero hay un elemento adicional fundamental: documentar la decisión. No basta con concluir que un tratamiento “no es masivo”. La organización debería poder explicar qué criterios analizó y por qué llegó a esa conclusión.
Porque, finalmente, la pregunta no parece ser simplemente “¿cuántos son muchos?”, sino cuándo la escala y características de un tratamiento justifican realizar una evaluación más profunda de sus impactos sobre las personas.
Por Pamela Ortiz, Gerente de Ciberseguridad y Resiliencia de Cybertrust
