Texto oficial
"Artículo primero.- Introdúcense las siguientes
modificaciones en la ley N° 19.628, sobre protección de la
vida privada:
1) Sustitúyese, en el nombre de la ley, la frase "LA
VIDA PRIVADA" por "LOS DATOS PERSONALES".
2) Reemplázase el artículo 1° por el siguiente:
"Artículo 1°.- Objeto y ámbito de aplicación. La
presente ley tiene por objeto regular la forma y condiciones
en la cual se efectúa el tratamiento y protección de los
datos personales de las personas naturales, en conformidad
al artículo 19, N° 4, de la Constitución Política de la
República.
Todo tratamiento de datos personales que realice una
persona natural o jurídica, incluidos los órganos
públicos, debe respetar los derechos y libertades de las
personas y quedará sujeto a las disposiciones de esta ley.
El régimen de tratamiento y protección de datos
establecido en esta ley no se aplicará al tratamiento de
datos que se realice en el ejercicio de las libertades de
emitir opinión y de informar reguladas por las leyes a que
se refiere el artículo 19, N° 12, de la Constitución
Política de la República. Los medios de comunicación
social quedarán sujetos a las disposiciones de esta ley en
lo relativo al tratamiento de datos que efectúen con una
finalidad distinta a la de opinar e informar.
Tampoco serán aplicables las normas de la presente ley
al tratamiento de datos que efectúen las personas naturales
en relación con sus actividades personales.".
3) Incorpórase el siguiente artículo 1° bis:
"Artículo 1° bis.- Ámbito de aplicación
territorial. Las disposiciones de la presente ley se
aplicarán al tratamiento de datos personales que se realice
bajo cualquiera de las siguientes circunstancias:
a) Cuando el responsable o mandatario estén
establecidos o constituidos en el territorio nacional.
b) Cuando el mandatario, con independencia de su lugar
de establecimiento o constitución, realice las operaciones
de tratamiento de datos personales a nombre de un
responsable establecido o constituido en el territorio
nacional.
c) Cuando el responsable o mandatario no se encuentren
establecidos en el territorio nacional pero sus operaciones
de tratamiento de datos personales estén destinadas a
ofrecer bienes o servicios a titulares que se encuentren en
Chile, independientemente de si a éstos se les requiere un
pago, o a monitorear el comportamiento de titulares que se
encuentran en el territorio nacional, incluyendo su
análisis, rastreo, perfilamiento o predicción de
comportamiento.
La presente ley también se aplicará al tratamiento de
datos personales que sea realizado por un responsable al
que, sin estar establecido en el territorio nacional, le
resulte aplicable la legislación nacional a causa de un
contrato o del derecho internacional.".
4) Agrégase, en el encabezamiento del artículo 2°,
el siguiente epígrafe: "Definiciones.".
5) Introdúcense las siguientes modificaciones en los
literales del artículo 2°:
uno) Reemplázanse los literales a), c), f), g) e i)
por los siguientes:
"a) Almacenamiento de datos: la conservación o
custodia de datos en un registro o base de datos.
c) Comunicación de datos personales: dar a conocer por
el responsable de datos, de cualquier forma, datos
personales a personas distintas del titular a quien
conciernen los datos, sin llegar a cederlos o transferirlos.
f) Dato personal: cualquier información vinculada o
referida a una persona natural identificada o identificable.
Se considerará identificable toda persona cuya identidad
pueda determinarse, directa o indirectamente, en particular
mediante uno o más identificadores, tales como el nombre,
el número de cédula de identidad, el análisis de
elementos propios de la identidad física, fisiológica,
genética, psíquica, económica, cultural o social de dicha
persona.
Para determinar si una persona es identificable
deberán considerarse todos los medios y factores objetivos
que razonablemente se podrían usar para dicha
identificación en el momento del tratamiento.
g) Datos personales sensibles: tendrán esta condición
aquellos datos personales que se refieren a las
características físicas o morales de las personas o a
hechos o circunstancias de su vida privada o intimidad, que
revelen el origen étnico o racial, la afiliación
política, sindical o gremial, la situación
socioeconómica, las convicciones ideológicas o
filosóficas, las creencias religiosas, los datos relativos
a la salud, al perfil biológico humano, los datos
biométricos, y la información relativa a la vida sexual, a
la orientación sexual y a la identidad de género de una
persona natural.
i) Fuentes de acceso público: todas aquellas bases de
datos o conjuntos de datos personales, cuyo acceso o
consulta puede ser efectuada en forma lícita por cualquier
persona, tales como el Diario Oficial, medios de
comunicación o los registros públicos que disponga la ley.
El tratamiento de datos personales provenientes de fuentes
de acceso público se someterá a las disposiciones de esta
ley.".
dos) Elimínase el literal j), pasando el actual
literal k) a ser literal j) y así sucesivamente.
tres) Sustitúyense los actuales literales l), m), n),
ñ) y o) por los siguientes literales k), l), m), n), ñ) y
o):
"k) Anonimización: procedimiento irreversible en
virtud del cual un dato personal no puede vincularse o
asociarse a una persona determinada, ni permitir su
identificación, por haberse destruido o eliminado el nexo
con la información que vincula, asocia o identifica a esa
persona. Un dato anonimizado deja de ser un dato personal.
l) Seudonimización: tratamiento de datos personales
que se efectúa de manera tal que ya no puedan atribuirse a
un titular sin utilizar información adicional, siempre que
dicha información adicional figure por separado y esté
sujeta a medidas técnicas y organizativas destinadas a
garantizar que los datos personales no se atribuyan a una
persona natural identificada o identificable.
m) Base de datos personales: conjunto organizado de
datos personales, cualquiera sea la finalidad, forma o
modalidad de su creación, almacenamiento, organización y
acceso, que permita relacionar los datos entre sí, así
como realizar su tratamiento.
n) Responsable de datos o responsable: toda persona
natural o jurídica, pública o privada, que decide acerca
de los fines y medios del tratamiento de datos personales,
con independencia de si los datos son tratados directamente
por ella o a través de un tercero mandatario o encargado.
ñ) Titular de datos o titular: persona natural,
identificada o identificable, a quien conciernen o se
refieren los datos personales.
o) Tratamiento de datos: cualquier operación o
conjunto de operaciones o procedimientos técnicos, de
carácter automatizado o no, que permitan de cualquier forma
recolectar, procesar, almacenar, comunicar, transmitir o
utilizar datos personales o conjuntos de datos personales.".
cuatro) Agréganse los siguientes literales p), q), r),
s), t) y u), nuevos:
"p) Consentimiento: toda manifestación de voluntad
libre, específica, inequívoca e informada, otorgada a
través de una declaración o una clara acción afirmativa,
mediante la cual el titular de datos, su representante legal
o mandatario, según corresponda, autoriza el tratamiento de
los datos personales que le conciernen.
q) Derecho de acceso: derecho del titular de datos a
solicitar y obtener del responsable, confirmación acerca de
si sus datos personales están siendo tratados por él,
acceder a ellos en su caso, y a la información prevista en
esta ley.
r) Derecho de rectificación: derecho del titular de
datos a solicitar y obtener del responsable, que modifique o
complete sus datos personales, cuando están siendo tratados
por él, y sean inexactos, desactualizados o incompletos.
s) Derecho de supresión: derecho del titular de datos
a solicitar y obtener del responsable, que suprima o elimine
sus datos personales, de acuerdo a las causales previstas en
la ley.
t) Derecho de oposición: derecho del titular de datos
a solicitar y obtener del responsable, que no se lleve a
cabo un tratamiento de datos determinado, de conformidad a
las causales previstas en la ley.
u) Derecho a la portabilidad de los datos personales:
derecho del titular de datos a solicitar y obtener del
responsable, una copia de sus datos personales en un formato
electrónico estructurado, genérico y de uso común, que
permita ser operado por distintos sistemas, y poder
comunicarlos o transferirlos a otro responsable de datos.
El titular tendrá derecho a que sus datos personales
se transmitan directamente de responsable a responsable
cuando sea técnicamente posible.".
cinco) Incorpóranse los siguientes literales v), w),
x), y) y z), nuevos:
"v) Cesión de datos personales: transferencia de datos
personales por parte del responsable de datos a otro
responsable de datos.
w) Elaboración de perfiles: toda forma de tratamiento
automatizado de datos personales que consista en utilizar
esos datos para evaluar, analizar o predecir aspectos
relativos al rendimiento profesional, situación económica,
de salud, preferencias personales, intereses, fiabilidad,
comportamiento, ubicación o movimientos de una persona
natural.
x) Tercero mandatario o encargado: la persona natural o
jurídica que trate datos personales, por cuenta del
responsable de datos.
y) Agencia: la Agencia de Protección de Datos
Personales.
z) Registro Nacional de Sanciones y Cumplimiento: es un
registro nacional de carácter público administrado por la
Agencia, que consigna los modelos certificados de
prevención, los responsables de datos que los hayan
adoptado y las sanciones que se hayan impuesto a los
responsables de datos que hayan infringido la ley.".
6) Sustitúyese el artículo 3º por el siguiente:
"Artículo 3°.- Principios. El tratamiento de los
datos personales se rige por los siguientes principios:
a) Principios de licitud y lealtad. Los datos
personales sólo pueden tratarse de manera lícita y leal.
El responsable deberá ser capaz de acreditar la
licitud del tratamiento de datos personales que realiza.
b) Principio de finalidad. Los datos personales deben
ser recolectados con fines específicos, explícitos y
lícitos. El tratamiento de los datos personales debe
limitarse al cumplimiento de estos fines.
En aplicación de este principio, no se pueden tratar
los datos personales con fines distintos a los informados al
momento de la recolección, salvo que el tratamiento sea
para fines compatibles con los autorizados originalmente;
que exista una relación contractual o precontractual entre
el titular y el responsable que justifique el tratamiento de
los datos con una finalidad distinta, siempre que se
enmarque dentro de los fines del contrato o sea coherente
con las tratativas o negociaciones previas a la celebración
del mismo; que el titular otorgue nuevamente su
consentimiento, y cuando lo disponga la ley.
c) Principio de proporcionalidad. Los datos personales
que se traten deben limitarse estrictamente a aquéllos que
resulten necesarios, adecuados y pertinentes en relación
con los fines del tratamiento.
Los datos personales pueden ser conservados sólo por
el período de tiempo que sea necesario para cumplir con los
fines del tratamiento, luego de lo cual deben ser suprimidos
o anonimizados, sin perjuicio de las excepciones que
establezca la ley. Un período de tiempo mayor requiere
autorización legal o consentimiento del titular.
d) Principio de calidad. Los datos personales deben ser
exactos, completos, actuales y pertinentes en relación con
su proveniencia y los fines del tratamiento.
e) Principio de responsabilidad. Quienes realicen
tratamiento de los datos personales serán legalmente
responsables del cumplimiento de los principios contenidos
en este artículo y de las obligaciones y deberes de
conformidad a la ley.
f) Principio de seguridad. En el tratamiento de los
datos personales, el responsable debe garantizar estándares
adecuados de seguridad, protegiéndolos contra el
tratamiento no autorizado o ilícito, y contra su pérdida,
filtración, daño accidental o destrucción. Las medidas de
seguridad deben ser apropiadas y acordes con el tratamiento
que se vaya a efectuar y con la naturaleza de los datos.
g) Principio de transparencia e información. El
responsable debe entregar al titular toda la información
que sea necesaria para el ejercicio de los derechos que
establece esta ley, incluyendo las políticas y las
prácticas sobre el tratamiento de los datos personales, las
que además deberán encontrarse permanentemente accesibles
y a disposición de cualquier interesado de manera precisa,
clara, inequívoca y gratuita.
El responsable debe adoptar las medidas adecuadas y
oportunas para facilitar al titular el acceso a toda la
información que señala esta ley, así como cualquier otra
comunicación relativa al tratamiento que realiza.
h) Principio de confidencialidad. El responsable de
datos personales y quienes tengan acceso a ellos deberán
guardar secreto o confidencialidad acerca de los mismos. El
responsable establecerá controles y medidas adecuadas para
preservar el secreto o confidencialidad. Este deber subsiste
aún después de concluida la relación con el titular.".
7) Reemplázase el Título I por el siguiente:
"Título I
De los derechos del titular de datos personales
Artículo 4º.- Derechos del titular de datos. Toda
persona, actuando por sí o a través de su representante
legal o mandatario, según corresponda, tiene derecho de
acceso, rectificación, supresión, oposición, portabilidad
y bloqueo de sus datos personales, de conformidad a la
presente ley.
Tales derechos son personales, intransferibles e
irrenunciables y no pueden limitarse por ningún acto o
convención.
En caso de fallecimiento del titular de datos, los
derechos que reconoce esta ley pueden ser ejercidos por sus
herederos.
Con todo, los herederos no podrán acceder a los datos
del causante, ni solicitar su rectificación o supresión,
cuando la persona fallecida lo hubiese prohibido
expresamente o así lo establezca una ley.
Artículo 5º.- Derecho de acceso. El titular de datos
tiene derecho a solicitar y obtener del responsable,
confirmación acerca de si los datos personales que le
conciernen están siendo tratados por él, y en tal caso,
acceder a dichos datos y a la siguiente información:
a) Los datos tratados y su origen.
b) La finalidad o finalidades del tratamiento.
c) Las categorías, clases o tipos de destinatarios, o
bien, la identidad de cada destinatario, en caso de
solicitarlo así el titular, a los que se les hayan
comunicado o cedido los datos o se prevea hacerlo.
d) El período de tiempo durante el cual los datos
serán tratados.
e) Los intereses legítimos del responsable, cuando el
tratamiento se base en lo dispuesto en el artículo 13,
letra d).
f) La información significativa sobre la lógica
aplicada en el caso de que el responsable realice
tratamiento de datos de conformidad con el artículo 8°
bis.
El responsable siempre estará obligado a entregar
información y a dar acceso a los datos solicitados excepto
cuando una ley disponga expresamente lo contrario.
Artículo 6º.- Derecho de rectificación. El titular
de datos tiene derecho a solicitar y obtener del
responsable, la rectificación de los datos personales que
le conciernen y que están siendo tratados por él, cuando
sean inexactos, desactualizados o incompletos.
Los datos rectificados deberán ser comunicados a las
personas, entidades u organismos a los cuales el responsable
haya comunicado o cedido los referidos datos, salvo en los
casos en que dicha comunicación sea imposible o exija un
esfuerzo desproporcionado.
Efectuada la rectificación, no se podrán volver a
tratar los datos sin rectificar.
Artículo 7°.- Derecho de supresión. El titular de
datos tiene derecho a solicitar y obtener del responsable,
la eliminación de los datos personales que le conciernen,
en los siguientes casos:
a) Cuando los datos no resulten necesarios en relación
con los fines del tratamiento para el cual fueron recogidos.
b) Cuando el titular haya revocado su consentimiento
para el tratamiento y éste no tenga otro fundamento legal.
c) Cuando los datos hayan sido obtenidos o tratados
ilícitamente por el responsable.
d) Cuando se trate de datos caducos.
e) Cuando los datos deban suprimirse para el
cumplimiento de una sentencia judicial, de una resolución
de la autoridad de protección de datos o de una obligación
legal.
f) Cuando el titular haya ejercido su derecho de
oposición de conformidad al artículo siguiente y no exista
otro fundamento legal para su tratamiento.
No procede la supresión cuando el tratamiento sea
necesario:
i. Para ejercer el derecho a las libertades de emitir
opinión y de informar.
ii. Para el cumplimiento de una obligación legal o la
ejecución de un contrato suscrito entre el titular y el
responsable.
iii. Para el cumplimiento de una función pública o
para el ejercicio de una actividad de interés público.
iv. Por razones de interés público en el área de la
salud pública, de conformidad con las condiciones y
garantías establecidas en la ley.
v. Para tratamientos con fines históricos,
estadísticos o científicos y para estudios o
investigaciones que atiendan fines de interés público.
vi. Para la formulación, ejercicio o defensa de una
reclamación administrativa o judicial.
Artículo 8°.- Derecho de Oposición. El titular de
datos tiene derecho a oponerse ante el responsable a que se
realice un tratamiento específico o determinado de los
datos personales que le conciernan, en los siguientes casos:
a) Cuando la base de licitud del tratamiento sea la
satisfacción de intereses legítimos del responsable. En
dicho caso podrá ejercer su derecho de oposición en
cualquier momento. El responsable del tratamiento deberá
dejar de tratar los datos personales, salvo que acredite
motivos legítimos imperiosos para el tratamiento que
prevalezcan sobre los intereses, los derechos y las
libertades del titular, o para la formulación, el ejercicio
o la defensa de reclamaciones.
b) Si el tratamiento se realiza exclusivamente con
fines de mercadotecnia o marketing directo de bienes,
productos o servicios, incluida la elaboración de perfiles,
de conformidad con el artículo 8° bis.
c) Si el tratamiento se realiza respecto de datos
obtenidos de una fuente de acceso público y no existe otro
fundamento legal para su tratamiento.
No procederá la oposición al tratamiento cuando éste
se realice con fines de investigación científica o
histórica o fines estadísticos, y siempre que fueran
necesarios para el cumplimiento de una función pública o
para el ejercicio de una actividad de interés público.
Artículo 8° bis.- Decisiones individuales
automatizadas, incluida la elaboración de perfiles. El
titular de datos tiene derecho a oponerse y a no ser objeto
de decisiones basadas en el tratamiento automatizado de sus
datos personales, incluida la elaboración de perfiles, que
produzca efectos jurídicos en él o le afecte
significativamente.
El inciso anterior no se aplicará en los siguientes
casos:
a) Cuando la decisión sea necesaria para la
celebración o ejecución de un contrato entre el titular y
el responsable.
b) Cuando exista consentimiento previo y expreso del
titular en la forma prescrita en el artículo 12.
c) Cuando lo señale la ley, en la medida en que ésta
disponga el empleo de salvaguardas a los derechos y
libertades del titular.
En todos los casos de decisiones basadas en el
tratamiento automatizado de datos personales, inclusive
aquéllos señalados en las letras a), b) y c) precedentes,
el responsable deberá adoptar las medidas necesarias para
asegurar los derechos y libertades del titular, su derecho a
la información y transparencia, el derecho a obtener una
explicación, a la intervención humana, a expresar su punto
de vista y a solicitar la revisión de la decisión.
Artículo 8° ter.- Derecho de bloqueo del tratamiento.
El titular de datos tiene derecho a solicitar la suspensión
temporal de cualquier operación de tratamiento de sus datos
personales cuando formule una solicitud de rectificación,
supresión u oposición, de conformidad con el artículo 11
de la presente ley, mientras dicha solicitud no se resuelva.
Asimismo, el titular podrá ejercer este derecho
alternativamente al de supresión en los casos del artículo
7°.
El ejercicio de este derecho no afectará el
almacenamiento de los datos por parte del responsable.
Artículo 9º.- Derecho a la portabilidad de los datos
personales. El titular de datos tiene derecho a solicitar y
recibir una copia de los datos personales que le conciernen,
que haya facilitado al responsable, en un formato
electrónico estructurado, genérico y de uso común, que
permita ser operado por distintos sistemas, y a comunicarlos
o transferirlos a otro responsable de datos, cuando
concurran las siguientes circunstancias:
a) El tratamiento se realice en forma automatizada, y
b) El tratamiento esté basado en el consentimiento del
titular.
El responsable debe utilizar los medios más expeditos,
menos onerosos y sin poner trabas u obstáculos para el
ejercicio de este derecho.
El responsable también debe comunicar al titular de
manera clara y precisa las medidas necesarias para obtener
sus datos personales y especificar las características
técnicas para llevar a cabo estas operaciones.
El titular tendrá derecho a que sus datos personales
se transmitan directamente de responsable a responsable
cuando sea técnicamente posible.
Con todo, el ejercicio del derecho de portabilidad no
supondrá la supresión de los datos ante el responsable
cedente, a menos que el titular de ellos así lo pida
conjuntamente en la solicitud.
Artículo 10.- Forma y medios de ejercer los derechos
del titular de datos. Los derechos reconocidos en esta ley
se ejercen por el titular ante el responsable de datos. Si
los datos personales del titular son tratados por diversos
responsables, el titular puede ejercer sus derechos ante
cualquiera de ellos.
En el caso de las personas jurídicas no constituidas
en Chile, el responsable deberá señalar por escrito, ante
la Agencia, un correo electrónico o un medio de
comunicación electrónico equivalente válido y operativo
de una persona natural o jurídica capaz de actuar en su
nombre, para los efectos de que el titular pueda ejercer sus
derechos y comunicarse con el responsable, y donde se le
practiquen válidamente las comunicaciones y notificaciones
administrativas que disponga la ley. El responsable deberá
mantener actualizada esta información.
Los responsables de datos deberán implementar
mecanismos y herramientas tecnológicas que permitan que el
titular ejerza sus derechos en forma expedita, ágil y
eficaz. Los medios dispuestos por el responsable deben ser
sencillos en su operación.
El ejercicio de los derechos de rectificación,
supresión y oposición siempre serán gratuitos para el
titular. El derecho de acceso también se ejercerá en forma
gratuita, al menos trimestralmente.
El responsable de datos sólo puede exigir el pago de
los costos directos en que incurra, cuando el titular ejerza
su derecho de acceso y derecho a la portabilidad más de una
vez en el trimestre. El responsable no podrá exigir este
pago en los casos del inciso cuarto del artículo 28.
Los parámetros y mecanismos para determinar los costos
derivados del ejercicio de los derechos señalados en el
inciso anterior serán determinados por la Agencia, a
través de una instrucción general que considerará, entre
otros antecedentes, el volumen de los datos a ser
entregados, la naturaleza jurídica y el tamaño de la
entidad o empresa que tenga la calidad de responsable.
La Agencia velará por el efectivo ejercicio y
cumplimiento de los derechos que esta ley reconoce al
titular de datos, en conformidad a lo dispuesto en esta ley.
Artículo 11.- Procedimiento ante el responsable de
datos. Para ejercer los derechos que le reconoce esta ley,
el titular deberá presentar una solicitud o requerimiento
escrito ante el responsable, dirigido a la dirección de
correo electrónico establecida para este fin, un formulario
de contacto o un medio electrónico equivalente. La
solicitud deberá contener, a lo menos, las siguientes
menciones:
a) Individualización del titular y de su representante
legal o mandatario, según corresponda, y autenticación de
su identidad de acuerdo con los procedimientos, formas y
modalidades que establezca la Agencia.
b) Indicación de un domicilio o una dirección de
correo electrónico o de otro medio equivalente para
comunicar la respuesta.
c) Identificación de los datos personales o del
tratamiento determinado, respecto de los cuales se ejerce el
derecho correspondiente.
d) En las solicitudes de rectificación, el titular
deberá indicar las modificaciones o actualizaciones
precisas a realizar y acompañar, en su caso, los
antecedentes que las sustenten. Cuando se trate de
solicitudes de supresión, el titular deberá indicar la
causal invocada y acompañar los antecedentes que la
sustenten, si correspondiere. Para las solicitudes de
oposición, el titular deberá indicar la causal invocada y
en el caso de la letra a) del artículo 8°, deberá
fundamentar brevemente su petición y podrá, igualmente,
acompañar los antecedentes que estime procedentes. En el
caso del derecho de acceso, bastará con la
individualización del titular.
Recibida la solicitud el responsable deberá acusar
recibo de ella y pronunciarse a más tardar dentro de los
treinta días corridos siguientes a la fecha de ingreso de
la solicitud. Este plazo podrá ser prorrogado, por una sola
vez, hasta por treinta días corridos.
El responsable deberá responder por escrito al titular
a su domicilio o la dirección de correo electrónico fijada
por éste. El responsable debe almacenar los respaldos que
le permitan demostrar la remisión de la respuesta a la
dirección física o electrónica que corresponda, su fecha
y el contenido íntegro de ella.
En caso de denegación total o parcial de la solicitud,
el responsable deberá fundar su decisión indicando la
causa invocada y los antecedentes que la justifican. En esta
misma oportunidad el responsable debe señalar al titular
que dispone de un plazo de treinta días hábiles para
formular una reclamación ante la Agencia, de acuerdo con el
procedimiento establecido en el artículo 41.
Transcurrido el plazo al que hace referencia el inciso
segundo anterior, sin que haya respuesta del responsable, el
titular podrá formular directamente una reclamación ante
la Agencia, en los mismos términos del inciso anterior.
Cuando se formule una solicitud de rectificación,
supresión u oposición, el titular tendrá derecho a
solicitar y obtener del responsable el bloqueo temporal de
sus datos o del tratamiento que realice, según corresponda.
La solicitud de bloqueo temporal deberá ser fundada y el
responsable deberá responder al requerimiento dentro de los
dos días hábiles siguientes a su recepción. En tanto no
resuelva esta solicitud, el responsable no podrá tratar los
datos del titular que forman parte del requerimiento. El
bloqueo temporal de los datos no afectará su almacenamiento
por parte del responsable. En caso de rechazo el responsable
deberá fundar su respuesta y comunicar en forma
electrónica su decisión a la Agencia. El titular podrá
reclamar de esta decisión ante la Agencia, aplicándose lo
dispuesto en la letra a) del inciso segundo del artículo
41.
La rectificación, supresión u oposición al
tratamiento de los datos se aplicará sólo respecto de los
responsables a quienes se les haya formulado la solicitud.
Con todo, cuando el responsable haya comunicado dichos datos
a otras personas, deberá comunicar a éstas los cambios
realizados en virtud de la rectificación, supresión u
oposición.
El titular podrá aportar cualquier otro antecedente
que facilite la localización de los datos personales.".
8) Reemplázase el Título II por el siguiente:
"Título II
Del tratamiento de los datos personales y de las
categorías especiales de datos
Párrafo Primero
Del consentimiento del titular, de las obligaciones y
deberes del responsable y del tratamiento de datos en
general
Artículo 12.- Regla general del tratamiento de datos.
Es lícito el tratamiento de los datos personales que le
conciernen al titular, cuando otorgue su consentimiento para
ello.
El consentimiento del titular debe ser libre, informado
y específico en cuanto a su finalidad o finalidades. El
consentimiento debe manifestarse, además, en forma previa y
de manera inequívoca, mediante una declaración verbal,
escrita o expresada a través de un medio electrónico
equivalente, o mediante un acto afirmativo que dé cuenta
con claridad de la voluntad del titular.
Cuando el consentimiento lo otorgue un mandatario,
éste deberá encontrarse expresamente premunido de esta
facultad.
El titular puede revocar el consentimiento otorgado en
cualquier momento y sin expresión de causa, utilizando
medios similares o equivalentes a los empleados para su
otorgamiento. La revocación del consentimiento no tendrá
efectos retroactivos.
Los medios utilizados para el otorgamiento o la
revocación del consentimiento deben ser expeditos,
fidedignos, gratuitos y estar permanentemente disponibles
para el titular.
Se presume que el consentimiento para tratar datos no
ha sido libremente otorgado cuando el responsable lo recaba
en el marco de la ejecución de un contrato o la prestación
de un servicio en que no es necesario efectuar esa
recolección.
Con todo, lo dispuesto en el inciso anterior no se
aplicará cuando quien ofrezca bienes, servicios o
beneficios, requiera como única contraprestación el
consentimiento para tratar datos.
Corresponde al responsable probar que contó con el
consentimiento del titular y que el tratamiento de datos fue
realizado en forma lícita, leal y transparente.
Artículo 13.- Otras fuentes de licitud del tratamiento
de datos. Es lícito el tratamiento de datos personales, sin
el consentimiento del titular, en los siguientes casos:
a) Cuando el tratamiento esté referido a datos
relativos a obligaciones de carácter económico,
financiero, bancario o comercial y se realice de conformidad
con las normas del Título III de esta ley, incluidos los
datos referidos a la situación socioeconómica del titular.
b) Cuando el tratamiento sea necesario para la
ejecución o el cumplimiento de una obligación legal o lo
disponga la ley.
c) Cuando el tratamiento de datos sea necesario para la
celebración o ejecución de un contrato entre el titular y
el responsable, o para la ejecución de medidas
precontractuales adoptadas a solicitud del titular.
d) Cuando el tratamiento sea necesario para la
satisfacción de intereses legítimos del responsable o de
un tercero, siempre que con ello no se afecten los derechos
y libertades del titular. En todo caso, el titular podrá
exigir siempre ser informado sobre el tratamiento que lo
afecta y el interés legítimo en base al cual se efectúa
dicho tratamiento.
e) Cuando el tratamiento de datos sea necesario para la
formulación, ejercicio o defensa de un derecho ante los
tribunales de justicia u órganos públicos.
El responsable deberá acreditar la licitud del
tratamiento de datos.
Artículo 14.- Obligaciones del responsable de datos.
El responsable de datos, sin perjuicio de las demás
disposiciones previstas en esta ley, tiene las siguientes
obligaciones:
a) Informar y poner a disposición del titular los
antecedentes que acrediten la licitud del tratamiento de
datos que realiza. Asimismo, deberá entregar de manera
expedita dicha información cuando le sea requerida.
b) Asegurar que los datos personales se recojan de
fuentes de acceso lícitas con fines específicos,
explícitos y lícitos, y que su tratamiento se limite al
cumplimiento de estos fines.
c) Comunicar o ceder, en conformidad a las
disposiciones de esta ley, información exacta, completa y
actual.
d) Suprimir o anonimizar los datos personales del
titular cuando fueron obtenidos para la ejecución de
medidas precontractuales.
e) Cumplir con los demás deberes, principios y
obligaciones que rigen el tratamiento de los datos
personales previstos en esta ley.
El responsable de datos que no tenga domicilio en Chile
y que realice tratamiento de datos de personas que residan
en el territorio nacional, deberá señalar y mantener
actualizado y operativo, un correo electrónico u otro medio
de contacto idóneo para recibir comunicaciones de los
titulares de datos y de la Agencia.
Artículo 14 bis.- Deber de secreto o confidencialidad.
El responsable de datos está obligado a mantener secreto o
confidencialidad acerca de los datos personales que
conciernan a un titular, salvo cuando el titular los hubiere
hecho manifiestamente públicos. Este deber subsiste aún
después de concluida la relación con el titular. En caso
de que el responsable haya realizado alguna acción sobre
datos personales obtenidos de fuentes de acceso público,
tales como organizarlos o clasificarlos bajo algún
criterio, o combinarlos o complementarlos con otros datos,
los datos personales que resulten de dicha acción se
encontrarán protegidos bajo el presente deber de secreto o
confidencialidad.
El deber de secreto o confidencialidad no obsta a las
comunicaciones o cesiones de datos que deba realizar el
responsable en conformidad a la ley, y al cumplimiento de la
obligación de dar acceso al titular e informar el origen de
los datos, cuando esta información le sea requerida por el
titular o por un órgano público dentro del ámbito de sus
competencias legales.
El responsable debe adoptar las medidas necesarias con
el objeto que sus dependientes o las personas naturales o
jurídicas que ejecuten operaciones de tratamiento de datos
bajo su responsabilidad, cumplan el deber de secreto o
confidencialidad establecidos en este artículo.
Quedan sujetas a la obligación de confidencialidad las
personas e instituciones y sus dependientes a que se refiere
el artículo 24, en cuanto al requerimiento y al hecho de
haber remitido dicha información.
Artículo 14 ter.- Deber de información y
transparencia. El responsable de datos debe facilitar y
mantener permanentemente a disposición del público, en su
sitio web o en cualquier otro medio de información
equivalente, al menos, la siguiente información:
a) La política de tratamiento de datos personales que
haya adoptado, la fecha y versión de la misma.
b) La individualización del responsable de datos y su
representante legal y la identificación del encargado de
prevención, si existiere.
c) El domicilio postal, la dirección de correo
electrónico, el formulario de contacto o la identificación
del medio tecnológico equivalente de uso común y fácil
acceso mediante el cual se le notifican las solicitudes que
realicen los titulares.
d) Las categorías, clases o tipos de datos que trata;
la descripción genérica del universo de personas que
comprenden sus bases de datos; los destinatarios a los que
se prevé comunicar o ceder los datos; las finalidades de
los tratamientos que realiza; la base de legitimidad del
tratamiento; y en caso de tratamientos que se basan en la
satisfacción de intereses legítimos, cuáles serían
éstos.
e) La política y las medidas de seguridad adoptadas
para proteger las bases de datos personales que administra.
f) El derecho que le asiste al titular para solicitar
ante el responsable, acceso, rectificación, supresión,
oposición y portabilidad de sus datos personales, de
conformidad a la ley.
g) El derecho que le asiste al titular de recurrir ante
la Agencia, en caso de que el responsable rechace o no
responda oportunamente las solicitudes que le formule.
h) En su caso, la transferencia de datos personales a
un tercer país u organización internacional y si éstos
ofrecen o no un nivel adecuado de protección. En caso de
que no cuenten con un nivel adecuado de protección, se
deberá informar si existen garantías que justifiquen tal
transferencia.
i) El periodo durante el que se conservarán los datos
personales.
j) La fuente de la cual provienen los datos personales
y, en su caso, si proceden de fuentes de acceso público.
k) Cuando el tratamiento está basado en el
consentimiento del titular, la existencia del derecho a
retirarlo en cualquier momento, sin que ello afecte a la
licitud del tratamiento basado en el consentimiento previo a
su retirada.
l) La existencia de decisiones automatizadas, incluida
la elaboración de perfiles. En tales casos, información
significativa sobre la lógica aplicada, así como las
consecuencias previstas de dicho tratamiento para el
titular.
Artículo 14 quáter.- Deber de protección desde el
diseño y por defecto. Con la finalidad de cumplir los
principios y los derechos de los titulares establecidos en
esta ley, el responsable debe aplicar medidas técnicas y
organizativas adecuadas desde el diseño con anterioridad y
durante el tratamiento de los datos personales. Las medidas
a aplicar deberán tener en consideración el estado de la
técnica; los costos de implementación; la naturaleza,
ámbito, contexto y fines del tratamiento de datos; así
como los riesgos asociados a dicha actividad.
Asimismo, el responsable de datos deberá aplicar
medidas técnicas y organizativas para garantizar que, por
defecto, sólo sean objeto de tratamiento los datos
personales específicos y estrictamente necesarios para
dicha actividad. Para ello, se tendrá en consideración el
número de datos recogidos, la extensión del tratamiento,
el plazo de conservación y su accesibilidad.
Artículo 14 quinquies.- Deber de adoptar medidas de
seguridad. El responsable de datos debe adoptar las medidas
necesarias para resguardar el cumplimiento del principio de
seguridad establecido en esta ley, considerando el estado
actual de la técnica y los costos de aplicación, junto con
la naturaleza, alcance, contexto y fines del tratamiento,
así como la probabilidad de los riesgos y la gravedad de
sus efectos en relación con el tipo de datos tratados. Las
medidas aplicadas por el responsable deben asegurar la
confidencialidad, integridad, disponibilidad y resiliencia
de los sistemas de tratamiento de datos. Asimismo, deberán
evitar la alteración, destrucción, pérdida, tratamiento o
acceso no autorizado.
En consideración al estado de la técnica, los costos
de aplicación, y la naturaleza, el alcance, el contexto y
los fines del tratamiento, así como los riesgos de
probabilidad y gravedad variables para los derechos y
libertades de los titulares, el responsable y el encargado
del tratamiento aplicarán medidas técnicas y organizativas
apropiadas para garantizar un nivel de seguridad adecuado al
riesgo, que en su caso incluya, entre otros:
a) La seudonimización y el cifrado de datos
personales.
b) La capacidad de garantizar la confidencialidad,
integridad, disponibilidad y resiliencia permanentes de los
sistemas y servicios de tratamiento.
c) La capacidad de restaurar la disponibilidad y el
acceso a los datos personales de forma rápida en caso de
incidente físico o técnico.
d) Un proceso de verificación, evaluación y
valoración regulares de la eficacia de las medidas
técnicas y organizativas para garantizar la seguridad del
tratamiento.
Ante la ocurrencia de un incidente de seguridad, y en
caso de controversia judicial o administrativa,
corresponderá al responsable acreditar la existencia y el
funcionamiento de las medidas de seguridad adoptadas en base
a los niveles de riesgo y a la tecnología disponible.
Artículo 14 sexies.- Deber de reportar las
vulneraciones a las medidas de seguridad. El responsable
deberá reportar a la Agencia, por los medios más expeditos
posibles y sin dilaciones indebidas, las vulneraciones a las
medidas de seguridad que ocasionen la destrucción,
filtración, pérdida o alteración accidental o ilícita de
los datos personales que trate o la comunicación o acceso
no autorizados a dichos datos, cuando exista un riesgo
razonable para los derechos y libertades de los titulares.
El responsable deberá registrar estas comunicaciones,
describiendo la naturaleza de las vulneraciones sufridas,
sus efectos, las categorías de datos y el número
aproximado de titulares afectados y las medidas adoptadas
para gestionarlas y precaver incidentes futuros.
Cuando dichas vulneraciones se refieran a datos
personales sensibles, datos relativos a niños y niñas
menores de catorce años o datos relativos a obligaciones de
carácter económico, financiero, bancario o comercial, el
responsable deberá también efectuar esta comunicación a
los titulares de estos datos, a través de sus
representantes, cuando corresponda. Esta comunicación
deberá realizarse en un lenguaje claro y sencillo,
singularizando los datos afectados, las posibles
consecuencias de las vulneraciones de seguridad y las
medidas de solución o resguardo adoptadas. La notificación
se deberá realizar a cada titular afectado y si ello no
fuere posible, se realizará mediante la difusión o
publicación de un aviso en un medio de comunicación social
masivo y de alcance nacional.
Los deberes de información señalados en este
artículo no obstan a los demás deberes de información que
establezcan otras leyes.
Artículo 14 septies.- Diferenciación de estándares
de cumplimiento. Los estándares o condiciones mínimas que
se impongan al responsable de datos para el cumplimiento de
los deberes de información y de seguridad establecidos en
los artículos 14 ter y 14 quinquies, respectivamente,
serán determinados considerando el tipo de dato del que se
trata, si el responsable es una persona natural o jurídica,
el tamaño de la entidad o empresa de acuerdo a las
categorías establecidas en el artículo segundo de la ley
N° 20.416, que fija normas especiales para las empresas de
menor tamaño, la actividad que desarrolla y el volumen,
naturaleza y las finalidades de los datos personales que
trata.
Los estándares o condiciones mínimas de cumplimiento
y las medidas diferenciadas a que alude el inciso anterior,
serán determinados por la Agencia mediante instrucción
general.
Artículo 15.- Cesión de datos personales. Los datos
personales podrán ser cedidos con el consentimiento del
titular y para el cumplimiento de los fines del tratamiento.
También se podrán ceder los datos personales cuando la
cesión sea necesaria para el cumplimiento y la ejecución
de un contrato en que es parte el titular; cuando exista un
interés legítimo del cedente o del cesionario, en los
términos previstos en la letra d) del artículo 13, y
cuando lo disponga la ley.
En caso de que el consentimiento otorgado por el
titular al momento de realizarse la recolección de los
datos personales no haya considerado la cesión de los
mismos, éste debe recabarse antes que se produzca,
considerándose para todos los efectos legales como una
nueva operación de tratamiento.
La cesión de datos deberá constar por escrito o a
través de cualquier medio electrónico idóneo. En ella se
deberá individualizar a las partes, los datos que son
objeto de la cesión, las finalidades previstas para el
tratamiento y los demás antecedentes o estipulaciones que
acuerden el cedente y el cesionario.
El tratamiento de los datos personales cedidos deberá
realizarse por el cesionario de conformidad a las
finalidades establecidas en el contrato de cesión.
Una vez perfeccionada la cesión, el cesionario
adquiere la condición de responsable de datos para todos
los efectos legales. El cedente, por su parte, también
mantiene la calidad de responsable de datos, respecto de las
operaciones de tratamiento que continúe realizando.
Si se verifica una cesión de datos sin contar con el
consentimiento del titular, siendo éste necesario, la
cesión será nula, debiendo el cesionario suprimir todos
los datos recibidos, sin perjuicio de las responsabilidades
legales que correspondan.
Artículo 15 bis.- Tratamiento de datos a través de un
tercero mandatario o encargado. El responsable puede
efectuar el tratamiento de datos en forma directa o a
través de un tercero mandatario o encargado. En este
último caso, el tercero mandatario o encargado realiza el
tratamiento de datos personales conforme al encargo y a las
instrucciones que le imparta el responsable, quedándole
prohibido su tratamiento para un objeto distinto del
convenido con el responsable, así como su cesión o entrega
en los casos en que el responsable no lo haya autorizado de
manera expresa y específicamente para cumplir con el objeto
del encargo.
Si el tercero mandatario o encargado trata los datos
con un objeto distinto del encargo convenido o los cede o
entrega sin haber sido autorizado en los términos
dispuestos en el inciso anterior, se le considerará como
responsable de datos para todos los efectos legales,
debiendo responder personalmente por las infracciones en que
incurra y solidariamente con el responsable de datos por los
daños ocasionados, sin perjuicio de las responsabilidades
contractuales que le correspondan frente al mandante o
responsable de datos.
El tratamiento de datos a través de un tercero
mandatario o encargado se regirá por el contrato celebrado
entre el responsable y el encargado, con arreglo a la
legislación vigente. En el contrato se deberá establecer
el objeto del encargo, la duración del mismo, la finalidad
del tratamiento, el tipo de datos personales tratados, las
categorías de titulares a quienes conciernen los datos, y
los derechos y obligaciones de las partes. El encargado no
podrá delegar parte o la totalidad del encargo, salvo que
conste una autorización específica y por escrito del
responsable. El encargado que delegue a otro encargado parte
o la totalidad del encargo, continuará siendo
solidariamente responsable sobre dicho encargo y no podrá
eximirse de responsabilidad argumentando que ha delegado el
tratamiento. La Agencia pondrá a disposición del público
modelos tipo de contratos en su página web.
El tercero mandatario o encargado deberá cumplir con
lo dispuesto en los artículos 14 bis y 14 quinquies. La
diferenciación de estándares de cumplimiento establecida
en el inciso primero del artículo 14 septies también será
aplicable al tercero mandatario o encargado. Tratándose de
una vulneración a las medidas de seguridad, el tercero o
mandatario deberá reportar este hecho al responsable.
Cumplida la prestación del servicio de tratamiento por
parte del tercero mandatario o encargado, los datos que
obran en su poder deben ser suprimidos o devueltos al
responsable de datos, según corresponda.
Artículo 15 ter.- Evaluación de impacto en
protección de datos personales. Cuando sea probable que un
tipo de tratamiento, por su naturaleza, alcance, contexto,
tecnología utilizada o fines, pueda producir un alto riesgo
para los derechos de las personas titulares de los datos
personales, el responsable del tratamiento deberá realizar,
previo al inicio de las operaciones del tratamiento, una
evaluación del impacto en protección de datos personales.
La evaluación de impacto se requerirá siempre en
casos de:
a) Evaluación sistemática y exhaustiva de aspectos
personales de los titulares de datos, basadas en tratamiento
o decisiones automatizadas, como la elaboración de
perfiles, y que produzcan en ellos efectos jurídicos
significativos.
b) Tratamiento masivo de datos o a gran escala.
c) Tratamiento que implique observación o monitoreo
sistemático de una zona de acceso público.
d) Tratamiento de datos sensibles y especialmente
protegidos, en las hipótesis de excepción del
consentimiento.
La Agencia de Protección de Datos Personales
establecerá y publicará una lista orientativa de los tipos
de operaciones de tratamiento que requieran o no una
evaluación de impacto relativa a la protección de datos
personales. La Agencia también establecerá las
orientaciones mínimas para realizar esta evaluación,
considerando a lo menos en dichos criterios, la descripción
de las operaciones de tratamiento, su finalidad, la
evaluación de la necesidad y la proporcionalidad con
respecto a su finalidad, la evaluación de los riesgos y
medidas de mitigación.
Los responsables podrán consultar a la Agencia de
Protección de Datos Personales, cuando en virtud del
resultado de la evaluación, el tratamiento demuestre ser de
alto riesgo a efectos de obtener recomendaciones de parte de
dicha entidad.
Párrafo Segundo
Del tratamiento de los datos personales sensibles
Artículo 16.- Regla general para el tratamiento de
datos personales sensibles. El tratamiento de los datos
personales sensibles sólo puede realizarse cuando el
titular a quien conciernen estos datos manifiesta su
consentimiento en forma expresa, otorgado a través de una
declaración escrita, verbal o por un medio tecnológico
equivalente.
Sin perjuicio de lo anterior, es lícito el tratamiento
de datos personales sensibles, sin el consentimiento del
titular, en los siguientes casos:
a) Cuando el tratamiento se refiere a datos personales
sensibles que el titular ha hecho manifiestamente públicos
y su tratamiento esté relacionado con los fines para los
cuales fueron publicados.
b) Cuando el tratamiento se basa en un interés
legítimo realizado por una persona jurídica de derecho
público o de derecho privado que no persiga fines de lucro
y se cumplan las siguientes condiciones:
i. Su finalidad sea política, filosófica, religiosa,
cultural, sindical o gremial;
ii. El tratamiento que realice se refiera
exclusivamente a sus miembros o afiliados;
iii. El tratamiento de datos tenga por objeto cumplir
las finalidades específicas de la institución;
iv. La persona jurídica otorgue las garantías
necesarias para evitar filtraciones, sustracciones o un uso
o tratamiento no autorizado de los datos, y
v. Los datos personales no se comuniquen o cedan a
terceros.
Cumpliéndose estas condiciones, la persona jurídica
no requerirá el consentimiento del titular para tratar sus
datos, incluidos los datos personales sensibles. En caso de
duda o controversia administrativa o judicial, el
responsable de datos deberá acreditar su concurrencia.
Cuando un integrante de la persona jurídica deje de
pertenecer a ella, sus datos deberán ser anonimizados o
suprimidos.
c) Cuando el tratamiento de los datos personales del
titular resulte indispensable para salvaguardar la vida,
salud o integridad física o psíquica del titular o de otra
persona o, cuando el titular se encuentre física o
jurídicamente impedido de otorgar su consentimiento. Una
vez que cese el impedimento, el responsable debe informar
detalladamente al titular los datos que fueron tratados y
las operaciones específicas de tratamiento que fueron
realizadas.
d) Cuando el tratamiento de los datos sea necesario
para la formulación, ejercicio o defensa de un derecho ante
los tribunales de justicia o un órgano administrativo.
e) Cuando el tratamiento de datos sea necesario para el
ejercicio de derechos y el cumplimiento de obligaciones del
responsable o del titular de datos, en el ámbito laboral o
de seguridad social, y se realice en el marco de la ley.
f) Cuando el tratamiento de datos personales sensibles
lo autorice o mandate expresamente la ley.
Las excepciones para tratar datos sin consentimiento,
mencionadas en este artículo, se entienden aplicables al
tratamiento de datos que no revisten el carácter de datos
sensibles.
Artículo 16 bis.- Datos personales sensibles relativos
a la salud y al perfil biológico humano. Si se cumple lo
dispuesto en el inciso primero del artículo 16, los datos
personales relativos a la salud del titular, así como
aquéllos relativos al perfil biológico del titular, tales
como los datos genéticos, proteómicos o metabólicos,
sólo podrán ser tratados para los fines previstos por las
leyes especiales en materia sanitaria.
Sólo se podrán tratar los datos personales sensibles
relativos a la salud del titular y a su perfil biológico,
sin contar con su consentimiento, respetando los principios
y reglas establecidos en la presente ley, en los siguientes
casos:
a) Cuando éste resulte indispensable para salvaguardar
la vida o integridad física o psíquica del titular o de
otra persona o, cuando el titular se encuentre física o
jurídicamente impedido de otorgar su consentimiento. Una
vez que cese el impedimento, el responsable debe informar
detalladamente al titular los datos que fueron tratados y
las operaciones específicas de tratamiento que fueron
realizadas.
b) En casos de alerta sanitaria legalmente decretada.
c) Cuando sean utilizados con fines históricos,
estadísticos o científicos, para estudios o
investigaciones que atiendan fines de interés público o
vayan en beneficio de la salud humana, o para el desarrollo
de productos o insumos médicos que no podrían
desarrollarse de otra manera. Los resultados de los estudios
e investigaciones científicas que utilicen datos personales
relativos a la salud o al perfil biológico pueden ser
publicados o difundidos libremente. Para ello deberán
previamente anonimizarse los datos que se publiquen.
d) Cuando el tratamiento de los datos sea necesario
para la formulación, ejercicio o defensa de un derecho ante
los tribunales de justicia o ante un órgano administrativo.
e) Cuando el tratamiento sea necesario para fines de
medicina preventiva o laboral, evaluación de la capacidad
laboral del trabajador, diagnóstico médico, prestación de
asistencia o tratamiento de tipo sanitario o social, o
gestión de sistemas y servicios de asistencia sanitaria y
social.
f) Cuando la ley así lo permita e indique expresamente
la finalidad que deberá tener dicho tratamiento.
Se prohíbe el tratamiento y la cesión de los datos
relativos a la salud y al perfil biológico de un titular y
las muestras biológicas asociadas a una persona
identificada o identificable, incluido el almacenamiento del
material biológico, cuando los datos o muestras han sido
recolectados en el ámbito laboral, educativo, deportivo,
social, de seguros, de seguridad o identificación, salvo
que la ley expresamente autorice su tratamiento en casos
calificados y que se refiera a alguno de los casos
mencionados en este artículo.
Las excepciones para tratar datos sin el consentimiento
mencionado en este artículo se entienden aplicables al
tratamiento de datos que no revisten el carácter especial a
que se refiere este precepto.
Artículo 16 ter.- Datos personales biométricos. Son
datos personales biométricos aquellos obtenidos a partir de
un tratamiento técnico específico, relativos a las
características físicas, fisiológicas o conductuales de
una persona que permitan o confirmen la identificación
única de ella, tales como la huella digital, el iris, los
rasgos de la mano o faciales y la voz.
Sólo podrán tratarse estos datos cuando se cumpliere
con lo dispuesto en el inciso primero del artículo 16 y
siempre que el responsable proporcione al titular la
siguiente información específica:
a) La identificación del sistema biométrico usado;
b) La finalidad específica para la cual los datos
recolectados por el sistema biométrico serán utilizados;
c) El período durante el cual los datos biométricos
serán utilizados, y
d) La forma en que el titular puede ejercer sus
derechos.
Los datos personales biométricos podrán tratarse sin
consentimiento sólo en los casos señalados en el inciso
segundo del artículo 16 bis.
Párrafo Tercero
Del tratamiento de categorías especiales de datos
personales
Artículo 16 quáter.- Datos personales relativos a los
niños, niñas y adolescentes. El tratamiento de los datos
personales que conciernen a los niños, niñas y
adolescentes, sólo puede realizarse atendiendo al interés
superior de éstos y al respeto de su autonomía progresiva.
Cumpliéndose la exigencia establecida en el inciso
anterior, para tratar los datos personales de los niños y
niñas se requiere el consentimiento otorgado por sus padres
o representantes legales o por quien tiene a su cargo el
cuidado personal del niño o niña, salvo que expresamente
lo autorice o mandate la ley.
Los datos personales de los adolescentes se podrán
tratar de acuerdo a las normas de autorización previstas en
esta ley para los adultos, salvo lo dispuesto en el inciso
siguiente.
Los datos personales sensibles de los adolescentes
menores de dieciséis años sólo se podrán tratar con el
consentimiento otorgado por sus padres o representantes
legales o quien tiene a su cargo el cuidado personal del
menor, salvo que expresamente lo autorice o mandate la ley.
Para los efectos de esta ley, se consideran niños o
niñas a los menores de catorce años, y adolescentes, a los
mayores de catorce y menores de dieciocho años.
Constituye una obligación especial de los
establecimientos educacionales y de todas las personas o
entidades públicas o privadas que traten o administren
datos personales de niños, niñas y adolescentes, incluidos
quienes ejercen su cuidado personal, velar por el uso
lícito y la protección de la información personal que
concierne a los niños, niñas y adolescentes.
Artículo 16 quinquies.- Datos personales con fines
históricos, estadísticos, científicos y de estudios o
investigaciones. Se entiende que existe un interés
legítimo en el tratamiento de datos personales que realicen
las personas naturales o jurídicas, públicas o privadas,
incluidos los organismos públicos, cuando el tratamiento se
realiza exclusivamente con fines históricos, estadísticos,
científicos y para estudios o investigaciones, todos los
cuales deben atender fines de interés público.
Los responsables de datos deberán adoptar y acreditar
que han cumplido con todas las medidas de calidad y
seguridad necesarias para resguardar que los datos se
utilicen exclusivamente para tales fines. En el caso de los
datos personales sensibles, el responsable debe identificar
los riesgos posibles e implementar las medidas tendientes a
su reducción o mitigación. Cumplidas estas condiciones, el
responsable podrá almacenar y utilizar los datos por un
período indeterminado de tiempo.
Los responsables que hayan tratado datos personales
exclusivamente con estas finalidades podrán efectuar
publicaciones con los resultados y análisis obtenidos,
debiendo previamente adoptar las medidas necesarias para
anonimizar los datos que se publiquen.
Artículo 16 sexies.- Datos de geolocalización. El
tratamiento de los datos personales de geolocalización del
titular se podrá realizar bajo las mismas fuentes de
licitud establecidas en los artículos 12 y 13.
El titular de datos deberá ser informado de manera
clara, suficiente y oportuna, del tipo de datos de
geolocalización que serán tratados, de la finalidad y
duración del tratamiento y si los datos se comunicarán o
cederán a un tercero para la prestación de un servicio con
valor añadido.".
9) En el artículo 17:
a) Reemplázase la frase "bancos de datos" por la
expresión "bases de datos", todas las veces que aparece en
su texto.
b) En el inciso primero:
i. Agrégase, en su encabezamiento, el siguiente
epígrafe:
"Regla general del tratamiento de datos relativos a
obligaciones de carácter financiero, bancario o
comercial.".
ii. Intercálase, entre el artículo "el" y la palabra
"incumplimiento", la expresión "cumplimiento o".
c) Incorpórase el siguiente inciso octavo, pasando el
actual a ser inciso noveno:
"Los responsables deberán suprimir de sus registros o
bases de datos, toda aquella información personal relativa
a obligaciones prescritas, sin necesidad de mediar
solicitud, orden judicial, ni instrucción de la autoridad
de protección de datos.".
10) Agrégase el siguiente epígrafe, nuevo, en el
inciso primero del artículo 18: "Limitación del
tratamiento de datos para obligaciones financieras,
bancarias o comerciales.".
11) En el artículo 19:
a) En el inciso primero:
i. Agrégase el siguiente epígrafe, nuevo: "Efectos de
la extinción de la obligación económica, bancaria o
comercial.".
ii. Reemplázase la referencia al "artículo 12" por
otra al "artículo 4°".
b) Reemplázanse, en el inciso segundo, la frase "o
banco de datos", por la expresión "o base de datos", y la
frase "al banco de datos" por "a la base de datos".
c) Sustitúyese, en el inciso final, la frase "de
acuerdo a lo previsto en el artículo 16", por la siguiente:
"de conformidad a lo dispuesto en el Título VII de esta
ley".
12) Reemplázase el Título IV por el siguiente:
"Título IV
Del tratamiento de datos personales por los órganos
públicos
Artículo 20.- Regla general del tratamiento de datos
por órganos públicos. Es lícito el tratamiento de los
datos personales que efectúan los órganos públicos cuando
se realiza para el cumplimiento de sus funciones legales,
dentro del ámbito de sus competencias, de conformidad a las
normas establecidas en la ley, y a las disposiciones
previstas en este Título. En esas condiciones, los órganos
públicos actúan como responsables de datos y no requieren
el consentimiento del titular para tratar sus datos
personales.
Artículo 21.- Principios y normas aplicables al
tratamiento de datos de los órganos públicos. El
tratamiento de los datos personales que realicen los
órganos públicos se rige por los principios establecidos
en el artículo 3° de esta ley y los principios generales
que rigen la Administración del Estado, especialmente los
principios de coordinación, probidad y eficiencia.
En virtud del principio de coordinación los organismos
públicos deben alcanzar un alto grado de interoperabilidad
y coherencia, de modo de evitar contradicciones en la
información almacenada y reiteración de requerimientos de
información o documentos a los titulares de datos. Conforme
al principio de eficiencia se debe evitar la duplicación de
procedimientos y trámites entre los organismos públicos y
entre éstos y los titulares de la información.
Sin perjuicio de las demás normas establecidas en el
presente Título, son aplicables al tratamiento de datos que
efectúen los órganos públicos, las disposiciones
establecidas en los artículos 2°, 14, 14 bis, 14 ter, 14
quáter, 14 quinquies, 14 sexies y 15 bis, los artículos de
los Párrafos Segundo y Tercero del Título II y los
artículos del Título V y del Título VII de esta ley.
Asimismo, le son aplicables los artículos 4°, 5°, 6°,
7° y 8°, en conformidad a lo dispuesto en el artículo 23.
Artículo 22.- Comunicación o cesión de datos por un
órgano público. Los órganos públicos están facultados
para comunicar o ceder datos personales específicos, o todo
o parte de sus bases de datos o conjuntos de datos, a otros
órganos públicos, siempre que la comunicación o cesión
de los datos resulte necesaria para el cumplimiento de sus
funciones legales y ambos órganos actúen dentro del
ámbito de sus competencias. La comunicación o cesión de
los datos se debe realizar para un tratamiento específico y
el órgano público receptor no los podrá utilizar para
otros fines.
Asimismo, se podrá comunicar o ceder datos o bases de
datos personales entre organismos públicos, exclusivamente
cuando ellos se requieran para un tratamiento que tenga por
finalidad otorgar beneficios al titular, evitar duplicidad
de trámites para los ciudadanos o reiteración de
requerimientos de información o documentos para los mismos
titulares.
El órgano público receptor de los datos sólo puede
conservarlos por el tiempo necesario para efectuar el
tratamiento específico para el cual fueron requeridos,
luego de lo cual deberán ser suprimidos o anonimizados.
Estos datos se podrán almacenar por un tiempo mayor cuando
el órgano público requiera atender reclamaciones o
impugnaciones, realizar actividades de control o
seguimiento, o sirvan para dar garantía de las decisiones
adoptadas.
Para los efectos de poder comunicar o ceder datos
personales a personas o entidades privadas, los organismos
públicos deberán contar con el consentimiento del titular,
salvo que la comunicación o cesión de datos sea necesaria
para cumplir las funciones del organismo público en materia
de fiscalización o inspección.
Cuando se trate de comunicar o ceder datos personales
en virtud de una solicitud de acceso a la información
formulada con arreglo a lo establecido en el artículo 10 de
la ley N° 20.285, los organismos pú