La independencia también hace parte de la protección de los datos personales.
La protección de los datos personales no depende únicamente de que existan derechos y obligaciones establecidos en una ley, pues también requiere de una entidad con capacidad para ejercer una vigilancia efectiva frente al cumplimiento de las reglas por parte de cualquier organización pública o privada, siendo por esto que la independencia de las autoridades de protección se ha convertido en un elemento relevante dentro de la revisión de cumplimiento de estándares internacionales en esta materia. Esto lo podemos ver en el Reglamento General de Protección de Datos de la Unión Europea, que en su artículo 45.2(b) establece los elementos que la Comisión Europea debe considerar al evaluar si un tercer país ofrece un Nivel Adecuado de Protección, señalando entre estos la existencia y el funcionamiento efectivo de una o más autoridades de control independientes, responsables de garantizar y hacer cumplir las normas de protección de datos y que cuenten con facultades adecuadas para hacerlo. Lo anterior implica que, para efectos de una evaluación de adecuación, no basta con comprobar que un país tiene una autoridad de protección de datos exigida por el régimen, sino que también resulta relevante analizar cómo funciona esa autoridad y si esta cuenta con las condiciones necesarias para ejercer sus funciones de manera independiente y efectiva, para lo cual es fundamental que el proceso de nombramiento cuente con condiciones de transparencia que contribuyan a garantizar la independencia de dicha entidad.El cumplimiento de estándares no se demuestra únicamente con la ley
Es importante tener en cuenta que la Comisión Europea no exige que la legislación de un tercer país sea idéntica a la de la Unión Europea ni hace simplemente un ejercicio de comparación entre una ley extranjera frente al GDPR (por sus siglas en inglés, General Data Protection Regulation), sin embargo, en virtud del artículo 45 de este Reglamento, para determinar si un país brinda un Nivel Adecuado de Protección (NAP), la Comisión Europea realiza una evaluación amplia que contempla aspectos como el estado de derecho, el respeto por los derechos humanos y las libertades fundamentales, la legislación aplicable, la forma en que esta se implementa, los derechos efectivos de los titulares y los mecanismos administrativos y judiciales disponibles para protegerlos, considerando también la existencia y el funcionamiento efectivo de autoridades de control independientes. Al respecto, el Tribunal de Justicia de la Unión Europea ha señalado que el nivel de protección debe ser “esencialmente equivalente” al que se garantiza dentro de la Unión Europea, lo cual no es igual a que los países deban utilizar exactamente las mismas normas o mecanismos, pues lo importante será que en la práctica el sistema permita garantizar un nivel de protección adecuado. Así, la evaluación no se limita al contenido de una ley, pues también se revisa la manera en que esa legislación se aplica y si las instituciones que están encargadas de hacerla cumplir tienen independencia para hacerlo.Las transferencias internacionales
La discusión sobre el nivel adecuado de protección que ofrece un país tiene especial importancia para las organizaciones que realizan operaciones internacionales de transferencia de datos personales, ya que el GDPR contempla las decisiones de adecuación como uno de los mecanismos que permiten realizar transferencias de datos personales desde la Unión Europea hacia terceros países. Si la Comisión Europea determina que un país ofrece un nivel adecuado de protección, las transferencias pueden realizarse sobre esa base legal, sin necesidad de acudir necesariamente a otros mecanismos previstos por el Reglamento. Lo anterior no significa que un país sin una declaración de adecuación no pueda recibir datos personales provenientes de la Unión Europea, pues el reglamento contempla otros mecanismos para realizar estas transferencias; no obstante, contar con una decisión de adecuación puede facilitar estos intercambios y convertirse en un elemento relevante para las relaciones comerciales y para las organizaciones que, por su operación, necesitan compartir datos personales a nivel internacional. En este contexto, la forma en que un Estado regula, supervisa y garantiza los derechos relacionados con los datos personales deja de ser únicamente una cuestión regulatoria de cada país, ya que tiene efectos directos sobre la capacidad de las organizaciones para integrarse en las operaciones internacionales que requieren flujo de datos.La Ley 21.719 es el punto de partida, pero trae retos consigo
La Ley 21.719 representa un avance importante para Chile frente a la protección de los datos personales en el país, siendo asimismo fundamental la creación de una autoridad especializada con funciones de fiscalización y protección de los derechos de los titulares para el nuevo sistema, sin embargo, será necesario no solamente observar cómo aplicar las nuevas reglas, sino también garantizar que las personas que integren la Agencia de Protección de Datos Personales puedan ejercer sus funciones con independencia frente a los intereses que puedan estar relacionados con las organizaciones que supervisen. Esto es especialmente relevante en un contexto en el que los datos personales circulan cada vez más entre países, ya que para que se pueda considerar que un país ofrece un Nivel Adecuado de Protección no basta con que este tenga una legislación moderna e implementada, sino que también se debe poder evidenciar que que esa protección funciona y que las instituciones encargadas de garantizarla tienen las condiciones necesarias para ejercer sus funciones de manera efectiva e independiente. Así, la experiencia de Chile permite recordar que fortalecer la protección de datos personales no consiste únicamente en aprobar una nueva legislación, pues también vale la pena tener en cuenta que las leyes necesitan instituciones capaces de aplicar esas reglas, supervisar su cumplimiento y proteger los derechos de los titulares de manera independiente.Evalúe el impacto de la nueva Ley 21.719 y prepare sus operaciones internacionales solicitando un diagnóstico con los especialistas de Data Protected.
Descubre más desde Blog de Cumplimiento, Privacidad y Seguridad
Suscríbete y recibe las últimas entradas en tu correo electrónico.
