En una reciente entrevista concedida a Actualidad Jurídica, el gerente de Deloitte Legal y miembro activo de nuestra Asociación Gremial, profundizó en los desafíos que enfrentan las empresas locales al enviar información al extranjero bajo los estándares de la nueva Ley N° 21.719.

La globalización digital ha convertido a las transferencias internacionales de datos en una operación diaria para las empresas chilenas. Ya sea contratando servicios de almacenamiento en la nube, utilizando herramientas de inteligencia artificial o delegando procesos a proveedores externos, el flujo transfronterizo de información es incesante.

Sin embargo, con la dictación de la Ley N° 21.719 que moderniza la protección de datos personales en Chile, este escenario impone nuevas obligaciones de cumplimiento. Para abordar este desafío, Oliver Ortiz, gerente de Deloitte Legal y asociado de la Asociación Gremial de Profesionales en Protección de Datos Personales (AGPD), conversó con el medio especializado Actualidad Jurídica (blog del DOE) tras su participación en el seminario “Protección de Datos en la Práctica: del rol del DPO al cumplimiento sectorial”.

El rol exclusivo y fundamental de la nueva Agencia

En su análisis, Ortiz fue claro al señalar un punto crítico que actualmente genera incertidumbre corporativa: la calificación de «adecuación» de un país como receptor seguro de datos.

Según lo que establece el artículo 28 de la nueva normativa, determinar si una jurisdicción extranjera ofrece garantías suficientes no es una evaluación que las empresas o los responsables del tratamiento puedan hacer por su propia cuenta. Esta es una potestad exclusiva de la futura Agencia de Protección de Datos Personales.

Tal como destacó nuestro asociado en la entrevista, mientras esta autoridad no esté constituida y no emita un pronunciamiento oficial sobre las jurisdicciones adecuadas, el ecosistema operará con un nivel de incerteza legal. La Agencia tendrá la responsabilidad ineludible de evaluar si los países de destino cuentan con:

• Principios que rijan el tratamiento de datos.
• Normativas que protejan los derechos de los titulares.
• Una autoridad pública de control.
• Obligaciones de información, seguridad y responsabilidad ante infracciones.

Estados Unidos y la fragmentación normativa

Uno de los puntos más relevantes del análisis de Ortiz se centró en Estados Unidos, uno de los destinos más comunes para los datos alojados en la nube.

El especialista advirtió que la evaluación de este país será un desafío particular para la futura Agencia, dado que EE. UU. carece de una ley federal única y de una autoridad de control nacional. Esta fragmentación normativa —donde la protección depende del estado o del sector económico— hace jurídicamente inviable que la Agencia emita una declaración de adecuación para el país «como un todo», obligando a buscar mecanismos alternativos de compliance.

Hoja de ruta para el Compliance

Frente a la ausencia actual de un pronunciamiento de adecuación por parte del Estado, Ortiz recomendó a los encargados de cumplimiento y abogados enfocarse en la adopción de «garantías adecuadas».

El asociado de la AGPD enfatizó que las cláusulas contractuales modelo aprobadas por el Ministerio de Economía son, hasta ahora, el instrumento más útil y validado. Asimismo, hizo un llamado a las organizaciones a mapear todos sus flujos de información, incluyendo aquellos que suelen ser invisibles para la gerencia, como los soportes de TI remotos o los respaldos automáticos en servidores extranjeros.

Desde la AGPD, valoramos la contribución de nuestros asociados al debate público y a la educación técnica de las empresas, paso fundamental para construir una cultura de privacidad y cumplimiento normativo en Chile.

Revisa la entrevista completa aquí: https://actualidadjuridica.doe.cl/oliver-ortiz-sobre-transferencias-internacionales-de-datos-la-adecuacion-de-una-jurisdiccion-requiere-un-pronunciamiento-de-la-autoridad/