Paulina Ravilet (DPO, Ionix) y PDP Suite: 'Centralizar el cumplimiento normativo sin depender de múltiples sistemas'

Con la entrada en vigor de la Ley 21.719 acercándose a la fecha límite, aunque actualmente exista un debate en torno a una posible postergación, conversamos con Paulina Ravilet, abogada especializada en compliance y protección de datos, sobre el contexto chileno frente a la nueva normativa y el rol que PDP Suite puede jugar en ello.

Ravilet cuenta con certificaciones como DPO e implementadora del Reglamento General de Protección de Datos (GDPR) por la Universidad de Santiago de Chile, y lleva cuatro años trabajando en áreas de alta exigencia regulatoria para distintas organizaciones. Se involucró activamente en la tramitación del proyecto de ley desde su discusión en la Cámara de Diputados y en el Senado, y hoy asesora a empresas en su tránsito hacia el cumplimiento operativo de la normativa.

Con la creación de la Agencia de Protección de Datos Personales (APDP), ad-portas de la nueva normativa, ¿qué cambia realmente en la fiscalización respecto a la protección de datos, donde no existía un regulador dedicado?

Lo que mayoritariamente cambia es que hoy día, efectivamente, vamos a tener un órgano con facultades tanto fiscalizadoras como sancionatorias. ¿Qué quiere decir esto? Que nos van a poder cursar multas y también, dentro de lo que es el ejercicio de sus funciones, requerir auditorías a las empresas de cualquier tamaño para verificar que se está llevando a cabo el cumplimiento de esta ley.

Creo que lo más grave para las empresas chilenas que hoy día no se encuentran preparadas, con una ley pronta a entrar en vigor y teniendo un organismo que fiscaliza y sanciona, es que más del 70% de estas no podrían pasar estas fiscalizaciones de la APDP. Ante el incumplimiento reiterado en esta materia, podría incluso tener que cerrar una empresa. Adicionalmente a eso, las multas son el 4% de las ventas anuales con un tope de 20.000 UTM, una cifra que podría llevar a la quiebra a una compañía.

En esa misma línea, ¿cuáles son los errores más comunes que has visto o que ves actualmente en las empresas que recién están iniciando su proceso de adecuación?

El error más común es preocuparse netamente de entender esta normativa desde el aspecto legal, dejando fuera la implementación operativa. Efectivamente, es muy importante que el equipo legal, interno o externo, analice el cuerpo normativo y verifique cuáles son los posibles impactos para la organización cualquiera que sea su naturaleza. Pero se está dejando afuera todo lo que dice relación con los aspectos productivos-operativos de las organizaciones, las cuales tendrán que considerar cambios importantes dentro de sus procesos para poder cumplir con esta ley, más allá de este análisis legal que se haga internamente.

Muchas empresas no tienen claridad sobre la totalidad de datos personales que manejan en virtud de sus procesos internos. No cuentan con un inventario de datos y tampoco tienen documentados sus procesos. Desde ahí ya tenemos una falencia que es sumamente importante: si no tengo claro cuáles son mis procesos, mucho menos voy a saber cuál es la cantidad de datos personales que hoy día yo manejo dentro de ellos. Tampoco existe, en muchos casos, control sobre quién accede a esa información. Estamos hablando de información sensible: liquidaciones de sueldo; el domicilio de los trabajadores, dentro de todo lo que es el contexto de las áreas de gestión humana; el pago de remuneraciones, lo cual habla de procesos altamente críticos en cualquier empresa, ya sea pública o privada.

Si no tengo un mecanismo de seguridad, de doble autenticación o un código de verificación (OTP) que me permita acreditar que quien ejerce un derecho ARSOPB es efectivamente su titular, el riesgo para la empresa aumenta. Eso no se está considerando. ¿Cómo hago el inventario de datos, o cómo yo implemento mi política de privacidad dentro de mi sitio web? ¿Cómo implemento controles a nivel operativo? ¿Cómo cifro mis datos? Creo que esa es la falencia más importante. Yo creo que el despliegue operativo está al debe en la mayoría de las empresas.

Se habla mucho de cumplimiento documental versus cumplimiento operativo. ¿Podrías de alguna forma explicar en términos prácticos qué significa esta distinción para la operación diaria de una empresa?

Contar con políticas y procedimientos debidamente documentados es importante: dan continuidad operacional y permiten que las personas conozcan los lineamientos de una buena gobernanza. Pero ahí surgen dos problemas. En primer lugar, las personas desconocen la ley, lo cual no es menor. En segundo lugar, si no conozco cómo me impacta o no existe la documentación necesaria a nivel de gobierno de datos, muy difícilmente voy a entender cómo aplicar los controles dentro de los procesos o qué es lo que tengo que hacer a nivel operativo.

También ocurre lo contrario: empresas con una gobernanza muy bien definida en el papel, pero que en la práctica no aplican nada de eso. Y con eso me refiero a tener un modelo de cumplimiento en materia de protección de datos personales en papel, que es muy común que ocurra. Puedo tener muy buenos principios e intenciones, pero si eso no lo plasmo a nivel de proceso operativo, es muy difícil que yo pueda cumplir. O sea, el que yo tenga mucha documentación no se condice con el cumplimiento efectivo de la ley.

¿Cuál sería el rol que juega la trazabilidad, con evidencia con marca de tiempo, o evidencia auditable en general, en una eventual fiscalización de la Agencia de Protección de Datos?

Un rol vital. Todo lo que uno necesita acreditar tiene que constar dentro de una evidencia. Si yo no soy capaz de evidenciar que estoy cumpliendo con algo, es letra muerta al final del día. Por eso es muy importante dejar trazabilidad de cada control dentro de los procesos operativos y productivos de las organizaciones. Para todos los efectos de auditoría de la Agencia de Protección de Datos Personales, el no contar con esta evidencia te va a dejar en una posición muy desfavorable. Para efectos de la fiscalización tú no estás cumpliendo, sobre todo para las organizaciones medianas grandes, que ya manejan un nivel de cantidad de datos mucho más grande. Por ejemplo, la banca maneja una cantidad de datos impresionante. El control manual no va a poder ser un control efectivo en muchas ocasiones.

Ahí es donde entran las plataformas de apoyo para que puedan contar con esta trazabilidad de controles, donde se pueda centralizar todo lo que es la operación en materia de protección de datos personales y poder manejarlo desde una sola arista. Cualquier área que juegue un rol importante en esta materia, por ejemplo, el área de gestión humana, finanzas, legal, tecnología, tengan acceso a estas plataformas y puedan manejar sus controles a través de ella y dar cumplimiento a este control de trazabilidad que es necesario, y que no es posible omitirlo de cara a una posible fiscalización de la agencia.

El modelo ARSOPB agrega las letras P (Portabilidad) y B (Bloqueo) al ARSO tradicional. ¿Por qué se incorporan estos dos derechos adicionales y qué diferencia funcional introduce el módulo ARSOPB frente al ARSO original?

Hasta el día de hoy, las personas no nos podemos llevar nuestros datos a donde queramos, y la portabilidad introduce un concepto bien interesante para toda la industria: yo puedo tomar mis datos a través de este ejercicio de derecho y llevármelos a donde yo quiera. Un ejemplo práctico: en materia de salud yo voy a poder tomar mi ficha clínica, o se supone que en la práctica eso ya se debería estar haciendo, pero yo podría llevarme todos mis antecedentes médicos a la clínica que yo quiera, sin necesidad de que tenga que volver a formar una ficha clínica nueva para poder formar este historial. Lo mismo debiese ocurrir con otro tipo de industria. La banca, por ejemplo. Con el historial crediticio, poder tomar mis datos personales y ejercer mis derechos donde más me convenga, optando por servicios donde sienta que mis datos se tratan de forma más adecuada. Y eso, lógicamente, me beneficia.

Ahora, el bloqueo se relaciona con que ciertos datos dejen de tratarse, por ejemplo, para campañas de marketing, mailing u ofertas telefónicas, y que efectivamente no vuelvan a utilizarse. Eso hoy día tampoco existe en la práctica. Pero en el futuro, de cara a esta nueva ley, va a ser muy importante para las personas que son titulares de estos derechos y hacerlos valer. Es ahí donde el modelo ARSOPB se diferencia claramente del ARSO que conocíamos hasta ahora.

Dentro de esta misma ley, ¿qué significa para una empresa contar con un encargado de protección de datos o un DPO con formación jurídica real y no solamente un rol administrativo, a pesar de que no sea necesariamente quien lidere la implementación técnica?

Es muy importante, porque este focal point va a ser la cara visible ante la Agencia de Protección de Datos Personales frente a un incidente, una auditoría o cualquier tipo de revisión. Es la persona que, en la práctica, actúa como director de orquesta: quien ayuda a organizar toda la implementación, el roadmap y la carta Gantt del programa de protección de datos. Por eso es un rol vital, y debe ser una figura claramente identificable dentro de la organización, pública o privada.

Además, existen obligaciones regulatorias que alguien tiene que cumplir: por ejemplo, notificar un incidente a la Agencia dentro de un plazo definido expresamente en la ley. Ahí cobra especial relevancia el rol del DPO. Pensemos en el caso de una fuga de datos producto de un ataque cibernético: la empresa deberá operar en dos frentes, notificando a la Agencia Nacional de Ciberseguridad (ANCI) y, por otro lado, a la Agencia de Protección de Datos Personales. Muchas veces, quien está definido como responsable ante la ANCI es el CISO, y ahí puede generarse un conflicto de interés con ese rol. Por eso se necesita, en paralelo, la figura del DPO, que debe notificar la fuga dentro de un plazo bastante acotado y que, para eso, tiene que ser una persona identificable dentro de la organización.

Pensando en PDP Suite como producto, ¿cuáles considerarías que son sus principales ventajas competitivas y el valor agregado que ofrece, a diferencia de otras empresas en Chile como alternativas del cumplimiento normativo?

La principal ventaja es que permite centralizar el cumplimiento de la normativa de manera integral, sin depender de múltiples sistemas. A través de la plataforma se puede gestionar la solicitud de derechos ARSOPB, la administración de la política de privacidad, el registro de actividades de tratamiento (RAT) y las evaluaciones de impacto, junto con sus respectivas matrices de riesgo. En definitiva, permite administrar el programa de cumplimiento de protección de datos al 100%.

Además, habilita a que otras áreas de la organización: gestión de personas, finanzas, legal, tecnología, proveedores, abastecimiento, trabajen en conjunto con el DPO dentro de la misma plataforma. Eso la convierte en una herramienta bastante más amigable para el cumplimiento de la normativa que las alternativas puramente documentales.

PDP Suite plantea una metodología en tres fases: diagnóstico, configuración u orquestación y puesta en marcha. ¿Cuál de esas fases suele ser la más subestimada por los clientes a la hora de querer asesorarse para el cumplimiento normativo?

Lo primero es el diagnóstico y el levantamiento del RAT. Muchas organizaciones piensan que contar con un mapa de procesos les permite conocer a cabalidad la cantidad de datos que manejan, y eso no es así. Es la etapa más compleja y, a mi juicio, la más subestimada.

La segunda fase subestimada es el despliegue operativo, cuando ya se cuenta con todos los elementos: política de privacidad, inventario de datos, formularios en el sitio web, y hay que hacer que funcionen como un engranaje conjunto. Ahí muchas empresas se dan cuenta de que existen deficiencias o brechas que no habían identificado. Se asume que estos elementos van a funcionar en el día a día como una tarea más, y la realidad es que agregan una capa adicional de trabajo, con más controles y más conocimiento de la normativa.

El costo de no tomarse en serio estas fases es alto: si no cumplo con la ley, quedo fuera de licitaciones y no puedo celebrar actos o contratos con el Estado. Ya hay empresas privadas —mineras, banca, tecnológicas con casas matrices en Europa— que exigen evidencia de cumplimiento y piden explícitamente quién es el DPO a cargo. Y, como mencioné, más del 70% de las empresas todavía no está haciendo nada al respecto.

¿Cuánto tiempo realmente necesita una empresa mediana o tal vez una pyme para pasar de un diagnóstico gap a una operación con evidencia auditable?

Al menos entre tres y seis meses. Para llegar a tener evidencia auditable, bajo ningún concepto en menos de tres meses.

¿Qué consejo en este caso le darías a una empresa que todavía no ha comenzado ninguna acción respecto a la normativa, considerando que faltan apenas unos meses para la entrada en vigor?

Que se preparen y que comiencen por su Registro de Actividades de Tratamiento (RAT). Esto no solamente se refiere al análisis de un cuerpo legal, sino que hay que revisar cuál es el impacto que tiene a nivel operacional este cuerpo normativo. Y que designen una persona encargada que pueda ayudar en todo este proceso. Si no, va a ser la verdad muy difícil de poder llevarlo a cabo en la práctica.