A como comentamos en artículos anteriores, La Ley N° 21.719 busca reforzar la protección de los datos personales en Chile, asegurando que cada persona pueda ejercer sus derechos ARCO: Acceso, Rectificación, Cancelación y Oposición.
Estos derechos se sustentan en principios clave como licitud, transparencia y seguridad, y para que estos derechos sean efectivos, los equipos de TI juegan un papel clave, asegurando procesos seguros, accesibles y bien gestionados.
¿Qué son los Derechos ARCO y cómo cumplirlos?
La ley de protección de datos de Chile no solo reconoce la importancia de proteger los datos personales, también otorga a los ciudadanos herramientas concretas para hacerlo. Los derechos ARCO garantizan que las personas puedan conocer, modificar o eliminar su información cuando corresponda.
Para que esto funcione en la práctica, las empresas y organismos deben adaptar sus sistemas, asegurando procesos claros y accesibles. En esta sección, veremos qué implica cada derecho y qué medidas deben tomar los equipos de TI para garantizar su cumplimiento.
Acceso
El derecho de acceso permite a cualquier persona saber qué información suya está siendo almacenada, cómo se usa y con qué propósito.
Por ejemplo, un cliente podría solicitar a su banco un detalle completo de los datos que tiene sobre él, incluyendo registros de transacciones y datos de contacto. En este mismo ejemplo, la empresa debe proporcionarle la información de forma clara y segura.
Para implementar este derecho, los equipos de TI deben:
- Habilitar mecanismos de solicitud: Las organizaciones deben contar con un portal web o un formulario claro donde los usuarios puedan pedir acceso a sus datos.
- Autenticar la identidad del solicitante: Se deben usar métodos seguros para verificar que quien hace la solicitud es el titular legítimo de la información.
- Ofrecer respuestas en formatos accesibles: Los datos deben entregarse en un formato estructurado y de fácil lectura para el solicitante, evitando obstáculos técnicos para el usuario.
- Garantizar la seguridad de la información: La entrega de datos debe realizarse en canales protegidos, como plataformas con autenticación reforzada o documentos encriptados.
Rectificación
Este derecho permite corregir información incorrecta, incompleta o desactualizada.
Un paciente, por ejemplo, puede exigir que su historial médico refleje un diagnóstico actualizado, o un usuario de una tienda online podría solicitar la modificación de su dirección de entrega. En cuanto a la empresa, esta debe permitirle actualizarla de manera rápida y sin problemas.
Para cumplir con este derecho, los equipos de TI deben:
- Implementar un sistema de corrección eficiente: Los usuarios deben poder solicitar cambios de manera sencilla, ya sea a través de una plataforma digital o un procedimiento establecido.
- Automatizar procesos de actualización: Siempre que sea posible, la corrección de datos debe integrarse con los sistemas internos para reflejarse en todas las bases de datos pertinentes.
- Mantener un historial de cambios: Es fundamental registrar qué modificaciones se han hecho, quién las solicitó y cuándo, para garantizar la trazabilidad y evitar errores futuros.
Cancelación
El derecho de cancelación permite a los titulares solicitar la eliminación de sus datos cuando ya no sean necesarios o cuando su almacenamiento no tenga justificación legal.
Por ejemplo, un usuario podría pedir a una tienda ecommerce borre todos los datos de su cuenta. Dicha tienda, en consecuencia, debe borrar sus datos de manera definitiva y asegurarse de que no queden copias en sistemas de respaldo.
Para asegurar el cumplimiento de este derecho, los equipos de TI deben:
- Establecer un protocolo de eliminación segura: Deben utilizarse métodos como la sobrescritura de datos o el borrado criptográfico para evitar que la información pueda recuperarse tanto en plataformas propias como de terceros.
- Evitar copias residuales en sistemas de respaldo: Es importante diseñar políticas que aseguren que los datos eliminados no sigan existiendo en respaldos automáticos o archivos ocultos.
- Confirmar la eliminación al usuario: Una vez procesada la solicitud, se debe informar al titular que sus datos han sido eliminados y proporcionar evidencia de ello si es necesario.
Oposición
El derecho de oposición permite a una persona rechazar que sus datos sean utilizados para ciertos fines, como publicidad o análisis de comportamiento.
Por ejemplo, un cliente podría pedir que una empresa deje de enviarle correos promocionales o de utilizar su información para estudios de mercado. En este caso, la empresa debe respetar su decisión, cesando el contacto.
Para implementar este derecho, los equipos de TI deben:
- Habilitar opciones claras para la oposición: Los usuarios deben contar con una vía sencilla para solicitar que sus datos dejen de ser utilizados, como un botón para cancelar suscripciones o un formulario específico.
- Automatizar la gestión de solicitudes: Un sistema bien diseñado debe procesar las solicitudes de oposición de manera inmediata y garantizar que los cambios se reflejen en todas las plataformas de la empresa.
- Integrar un sistema de gestión de consentimiento: Las organizaciones deben contar con herramientas que registren y respeten las preferencias del usuario en cuanto al uso de sus datos.
Rol del Delegado de Protección de Datos (DPO)
El Delegado de Protección de Datos (DPO) es la persona encargada de asegurarse de que una organización cumpla con la Ley N° 21.719 y actuar como embajador entre la empresa y la Agencia de Protección de Datos.
Su rol es clave, ya que trabaja en conjunto con los equipos de TI para identificar riesgos, mejorar procesos y garantizar que los datos personales se manejen de forma segura. En empresas grandes, el DPO suele ser un profesional especializado, pero en pequeñas y medianas empresas, esta función puede ser asumida por un dueño o directivo, siempre que tenga conocimientos sobre la normativa y los procesos internos de la organización.
Funciones principales del DPO:
- Coordinación con los equipos de TI para evaluar riesgos y proponer medidas correctivas: El DPO trabaja junto con el área de tecnología para detectar vulnerabilidades en el manejo de datos, asegurarse de que los sistemas sean seguros y proponer mejoras para minimizar riesgos.
- Gestión de comunicación con la Agencia de Protección de Datos en caso de incidentes relacionados con los derechos ARCO: Si ocurre una filtración o una empresa no responde adecuadamente a una solicitud de acceso o eliminación de datos, el DPO es el encargado de informar a la autoridad y colaborar en la resolución del problema.
- Supervisión del cumplimiento de los derechos ARCO: Se asegura de que existan mecanismos claros y accesibles para que los usuarios ejerzan sus derechos de acceso, rectificación, cancelación y oposición.
- Capacitación y concienciación dentro de la empresa: Para que la protección de datos sea efectiva, es clave que todos en la organización entiendan la importancia de la privacidad. El DPO puede organizar capacitaciones y crear políticas internas para reforzar el cumplimiento de la ley.
- Monitoreo de políticas de privacidad y actualizaciones regulatorias: La normativa en protección de datos evoluciona constantemente. El DPO debe estar atento a cambios en la ley y asegurarse de que la empresa ajuste sus prácticas cuando sea necesario.
Buenas prácticas en la implementación de derechos ARCO
Implementar los derechos ARCO no es solo una cuestión de cumplimiento legal, sino una oportunidad para fortalecer la confianza de los usuarios y mejorar la seguridad de la información. Una de las mejores formas de hacerlo es adoptar la privacidad desde el diseño (Privacy by Design), lo que significa integrar la protección de datos en cada proceso, sistema o herramienta desde su creación.
En lugar de verlo como un obstáculo, las empresas pueden aprovechar este enfoque para optimizar la gestión de la información y reducir riesgos antes de que se conviertan en problemas.
Recomendaciones clave para una implementación efectiva:
- Automatizar la gestión de derechos ARCO: Contar con plataformas que permitan a los usuarios acceder, modificar o eliminar sus datos sin procesos burocráticos innecesarios.
- Garantizar la seguridad en cada paso: Implementar cifrado, controles de acceso y auditorías para evitar filtraciones o accesos no autorizados.
- Establecer protocolos claros para la cancelación de datos: Asegurar que, cuando un usuario solicite la eliminación de su información, esta se borre de forma definitiva en todos los sistemas (propios y terceros) y sin dejar copias en sistemas de respaldo.
- Capacitar al equipo: Todos los colaboradores que manejan datos deben entender la importancia de la privacidad y saber cómo responder a solicitudes de los titulares.
- Monitorear y actualizar continuamente las políticas de privacidad: La protección de datos es un proceso en constante evolución, por lo que es clave revisar y mejorar los procedimientos con regularidad.
Como Prey puede ayudar con el cumplimiento
Prey ofrece una solución integral para gestionar y proteger dispositivos de todo tipo, ayudando a las organizaciones a cumplir con la nueva normativa de datos sin complicaciones. Con un enfoque multiplataforma y herramientas que van desde el rastreo hasta la encriptación remota, se facilita la implementación de protocolos de seguridad sólidos. De esta forma, se reducen los riesgos de incidentes y se fortalece el control de la información.
Características de Prey que ayudan a cumplir con la nueva Ley
- Protección y seguimiento de dispositivos: Permite localizar, bloquear y recuperar equipos en caso de pérdida o robo, asegurando la continuidad operativa y la protección de datos.
- Remote Wipe y Factory Reset: Borra o restaura de forma remota la información sensible, evitando su acceso por personas no autorizadas.
- Gestión de préstamos y automatizaciones: Controla asignaciones temporales de equipos con alertas y bloqueos si no se devuelven a tiempo, manteniendo la visibilidad total sobre su estado.
- Cifrado de discos y Kill Switch (Windows): Eleva el nivel de protección con BitLocker y la capacidad de inutilizar equipos, previniendo accesos malintencionados a la información almacenada.
Protege tus datos y cumple con la normativa de forma sencilla y efectiva. Agenda una demo con nosotros para conocer más!
