Hay una distinción elemental en protección de datos personales que, pese a parecer técnica, tiene enormes consecuencias prácticas: no es lo mismo tener acceso a unos datos que tener derecho a decidir qué hacer con ellos.
La diferencia puede entenderse fácilmente con una analogía. Una empresa de mensajería puede tener físicamente una carta en sus manos, transportarla, clasificarla y entregarla en el domicilio indicado. Pero nadie sostendría seriamente que, por esa sola circunstancia, puede abrirla, copiarla o decidir entregársela a un tercero.
Con los datos personales ocurre algo parecido.
El Derecho distingue entre el responsable de los datos, que decide para qué se utilizan los datos, bajo qué condiciones y con qué fundamento jurídico, y el encargado del tratamiento, que los procesa por cuenta del primero y siguiendo sus instrucciones.
La distinción no es un capricho terminológico inventado por abogados aficionados a multiplicar categorías (que los hay), sino que es uno de los pilares sobre los que se construye todo el sistema moderno de protección de datos.
Y, sin embargo, empieza a producirse en Chile una situación preocupante: en procedimientos vinculados al acceso a la información pública se están formulando exigencias respecto de datos personales a organismos que no son responsables de ellos, sino meros encargados de su tratamiento. Y el problema no es menor.
Supongamos que un organismo público posee determinados datos (porque tiene las facultades y competencias legales para ello) y encarga a otro organismo su procesamiento tecnológico: almacenarlos, cruzarlos, transmitirlos o aplicar sobre ellos una determinada herramienta informática. El segundo organismo puede, por razones puramente técnicas, acceder a esa información.
Pero esa posibilidad técnica no lo convierte en dueño jurídico de las decisiones. El encargado sabe qué operaciones le han sido encomendadas, y en ese contexto puede recibir los datos, procesarlos, interconectarlos, transmitirlos e incluso destruirlos si esa es la instrucción recibida. Lo que no puede hacer es inventarse una finalidad nueva.
Y en ese contexto, es absolutamente improcedente que el Consejo para la Transparencia le exija que entregue esos datos personales (respecto de los cuales no tiene facultades de disposición) a un tercero.
El error de confundir posesión con potestad
Aquí aparece una confusión bastante frecuente en el mundo digital: pensar que quien puede acceder técnicamente a los datos puede también disponer jurídicamente de ellos.
Son cosas completamente distintas.
Un proveedor de servicios en la nube puede almacenar millones de fichas clínicas sin poder decidir quién puede conocerlas. Una empresa que procesa las remuneraciones de sus clientes puede tener acceso a los sueldos de miles de personas sin adquirir por ello la facultad de revelarlos. Un organismo público que presta servicios de interoperabilidad puede transportar datos entre instituciones sin transformarse mágicamente en autoridad competente para decidir sobre su publicidad.
En todos estos casos existe acceso material, pero no necesariamente poder jurídico de disposición: precisamente por eso existe la figura del encargado del tratamiento.
Su legitimación es derivada y limitada. Puede tratar los datos porque alguien jurídicamente competente se lo ha encomendado y solo puede hacerlo dentro de los límites de ese encargo.
El Consejo debe dirigirse a quien puede responder jurídicamente
Esto tiene una consecuencia bastante sencilla: cuando una solicitud de acceso a la información involucra datos personales, la pregunta decisiva no debería ser solamente ¿quién tiene técnicamente los datos?, sino que la pregunta correcta es ¿quién es jurídicamente responsable de ese tratamiento?
Es ese organismo el que puede explicar por qué se recopilaron los datos, para qué finalidad, cuál es la norma que autoriza su utilización, cuánto tiempo deben conservarse, qué derechos de terceros están comprometidos y bajo qué circunstancias podrían eventualmente comunicarse.
El encargado normalmente no puede responder por esas decisiones porque, sencillamente, no son suyas. Puede explicar qué operaciones realiza. Puede describir sus sistemas. Puede acreditar cómo ejecuta el mandato recibido. Puede colaborar con la autoridad y entregar los antecedentes que se encuentren dentro de su esfera de competencia.
Pero no puede reemplazar al responsable de los datos.
Hay algo jurídicamente extraño en desarrollar un procedimiento sobre la eventual comunicación de determinados datos sin llamar precisamente a quien tiene la responsabilidad jurídica de decidir sobre ellos. Es parecido a discutir la entrega de unos fondos bancarios citando al proveedor informático del banco, pero no al banco.
El problema se agrava con los datos personales en poder de la administración pública
La cuestión es todavía más delicada cuando intervienen organismos estatales, aunque debemos tener presente que un órgano público no puede tratar datos simplemente porque técnicamente pueda hacerlo. Debe existir una competencia que justifique ese tratamiento.
La tecnología ha hecho extraordinariamente fácil copiar, cruzar, transmitir y reutilizar información. Pero el Derecho Administrativo funciona justamente al revés: una institución pública no puede actuar porque algo sea posible, sino porque el ordenamiento jurídico le ha atribuido competencia para hacerlo.
Por eso la distinción entre responsable y encargado adquiere una importancia adicional.
El responsable actúa en el ámbito de sus competencias legales. El encargado actúa dentro del mandato que ese responsable le ha conferido.
Si una autoridad obliga al encargado a realizar una operación nueva —por ejemplo, seleccionar determinados datos, cruzarlos, clasificarlos y entregarlos a un solicitante— puede estar ordenándole algo para lo cual nunca recibió mandato.
Y entonces aparece una paradoja bastante curiosa: una institución podría terminar infringiendo las normas de protección de datos precisamente porque una autoridad pública le ordenó cumplir una solicitud de transparencia.
No parece una buena arquitectura institucional.
“Pero los datos pueden anonimizarse”
Frente a esta objeción suele aparecer una respuesta aparentemente tranquilizadora: no habría problema porque la información puede entregarse anonimizada.
Tampoco es la respuesta adecuada. Para crear una nueva base de datos anonimizada muchas veces hay que partir de datos personales identificables: buscarlos, seleccionarlos, cruzarlos, clasificarlos, extraer determinadas variables y después eliminar los elementos identificadores.
Todas esas operaciones anteriores a la anonimización siguen siendo tratamiento de datos personales, y nuevamente aparece la misma pregunta: ¿estaba el encargado autorizado para realizar esas operaciones? La anonimización del resultado final no convierte retrospectivamente en lícito cualquier tratamiento realizado para producirlo, particularmente cuando el mandante nunca autorizó esa operación de tratamiento.
Transparencia y protección de datos no son enemigos
Nada de esto significa debilitar el derecho de acceso a la información pública.
Por el contrario.
Un sistema serio de transparencia necesita identificar correctamente quién debe responder por la información y la transparencia no mejora obligando a responder al organismo equivocado.
Tampoco la protección de datos puede convertirse en una excusa automática para negar información pública: los dos derechos deben convivir, y precisamente por eso resulta indispensable respetar las reglas que permiten determinar quién puede adoptar cada decisión.
El Consejo para la Transparencia tiene una responsabilidad particularmente importante en esta materia. No solo debe promover el acceso a la información pública. También debe cautelar la protección de los datos personales en poder de los órganos del Estado.
Por eso sería especialmente contradictorio que, al resolver conflictos de transparencia, terminara desdibujando la diferencia entre responsable y encargado que constituye una de las piezas básicas del sistema de protección de datos.
La discusión podría parecer excesivamente especializada, pero anticipa un problema mucho mayor: a medida que el Estado digitaliza sus servicios, los datos circulan entre numerosos organismos, plataformas, proveedores tecnológicos, servicios de nube y sistemas de interoperabilidad.
Lo importante es tener presente que cuando haya que decidir sobre la utilización, comunicación o reutilización de datos personales, hay que dirigirse a quien decide jurídicamente sobre ellos, no simplemente a quien los procesa, pues hay una diferencia fundamental entre tener las llaves de la bóveda y ser jurídicamente dueño de lo que hay dentro.
Y sería bastante extraño que la autoridad llamada a proteger esa diferencia fuera precisamente quien comenzara a olvidarla.