Este mes se cumplen 10 años de la ley de protección de datos personales (Ley N° 29733). A continuación, Fátima Toche Vega, gerente legal de IALaw, reconoce los avances que ha significado contar con esta norma y reconoce cuales han sido las principales dificultades que ha significado su cumplimiento para las empresas.
¿Cuál es tu balance de estos diez años de vigencia de la ley de protección de datos personales?
Mi balance es positivo teniendo en cuenta los años de retraso que tenía el Perú en materia de protección de datos personales y el uso indiscriminado y lesivo de la información personal de los ciudadanos. La Ley de Protección de Datos Personales era una norma muy necesaria y se ha avanzado mucho en estos años a pesar de los retos pendientes. Entre los principales retos considero que está el de cambiar el enfoque meramente punitivo de la Autoridad de Protección de Datos Personales a un más orientador en el caso de empresas no reincidentes en infracciones.
¿Cómo ves la madurez de las empresas frente a las exigencias de cumplimiento que dispone la ley? ¿En qué nivel de madurez se encuentra la empresa grande, mediana, pequeña?
La madurez y el nivel de cumplimiento varía mucho dependiendo el sector económico y el tamaño de la empresa. Las empresas que vender productos o servicios de manera masiva a consumidor final son la más maduras en cuenta a la implementación de la norma, no necesariamente del cumplimiento. Las grandes empresas que dan servicios B2B [comercio electrónico entre empresas] y las mediana y pequeña empresa diría que están en una madurez media a baja.
¿Qué casos o que tipos de empresas presentan más incumplimiento?
Hay que tener en cuenta que la Ley de Protección de Datos Personales es una norma compleja de implementar. Se necesita de abogados para su correcta interpretación y de expertos técnicos en tecnologías para asegurar la seguridad de la información. Se asume mucho riesgo si se decide cumplir intuitivamente. Por ello sus costos de implementación son relativamente elevados. En ese sentido, las pequeñas y medianas empresas son las que se encuentra en una situación más retadora, más aún en contexto de pandemia, y pueden estar más propensas al incumplimiento. Pero [si nos enfocamos en] un tema estadístico, las empresas que prestan servicios o venden productos de consumo masivo son siempre las que tienen más incidencia de incumplimientos, además de ser las más fiscalizadas.
¿Qué sectores experimentan más dificultades en la materia y por qué razones?
Los sectores con más dificultadas son aquellos que requieren captar y tratar la mayor cantidad de datos para brindar sus servicios. Por ejemplo: clínicas, colegios, universidades e institutos, la banca, empresas aseguradores y retails.
¿Qué ha pasado con la banca el último año? ¿Se avanzó en reforzar la seguridad?
La banca es un sector sumamente regulado, no sólo por la Ley de Protección de Datos Personales sino también por normas de la Superintendencia de Banca y Seguros que les impone estándares altos en cuanto a seguridad de la información. No obstante, es imposible prevenir el 100% de los ataques informáticos. Y a pesar de la impresión que puede dar, no es el sector que tiene mayor cantidad de sanciones por parte de la Autoridad de Protección de Datos Personales. Sin embargo, es evidente que muchas personas siguen recibiendo llamadas no deseadas de bancos de los cuales no son ni han sido clientes y eso debe cambiar.
Hay que tener en cuenta que la Ley de Protección de Datos Personales es una norma compleja de implementar. Se necesita de abogados para su correcta interpretación y de expertos técnicos en tecnologías para asegurar la seguridad de la información. Se asume mucho riesgo si se decide cumplir intuitivamente.
¿Cuáles han sido, en su perspectiva, los casos más emblemáticos?
Uno de los más emblemáticos tal vez por ser el primero es el de la plataforma datosperu.org. Un policía dado de baja que recuperó su trabajo y un funcionario municipal que fue restituido en su cargo tras ser sancionado obtuvieron el respaldo de la Autoridad Nacional de Protección de Datos Personales (APDP) que atendió su queja contra el sitio de internet datosperu.org y lo multó con 60 UITs (S/228 mil / US$ 78,6 mil) por difundir información no pública y desactualizada en la web y se les solicito que:
I. Aplique el procedimiento de anonimización a la Resolución Ministerial N° 0446-2002-IN/PNP, o en su defecto;
II. Bloquee y elimine la publicación de la Resolución Ministerial N° 0446-2002-IN/PNP. Además:
III. Adopte mecanismos de comunicación válidos que permitan a los usuarios de internet el ejercicio de sus derechos ARCO respecto del tratamiento de sus datos personales en su sitio web.
IV. Adopte políticas de privacidad y confidencialidad válidas y efectivas o las condiciones del servicio en su sitio web conforme con las disposiciones de la Ley N° 29733.
¿Algún otro caso memorable?
Otro caso emblemático es el que se dio contra Google en el año 2016, la Autoridad de Protección de Datos Personales sancionó a Google con 65 UITs por no acoger una solicitud de cancelación de datos personales de un ciudadano peruano, que deseaba que un contenido donde se le mencionaba como autor un delito contra el pudor público deje de aparecer en el motor de búsqueda de esta empresa. En ese sentido, a partir de este momento es posible decir que, a nivel administrativo, el Derecho al Olvido ha sido reconocido. Se les solicitó expresamente: Bloquear dentro del plazo máximo de 10 días hábiles los datos personales del reclamante de toda información o noticia relacionada con la materia de la causa N°39452-2009(305-09)-CMV que aparece en los resultados del motor de búsqueda Google Search. Se entiende por bloqueo, en este caso, realizar el tratamiento de las publicaciones de forma que se impida que estén disponibles para sucesivos tratamientos de búsqueda e indexación con el criterio de búsqueda nominal.
¿Qué cambios o avances incluye la nueva ley para fortalecer la ley de protección de datos que ha propuesto el Ejecutivo [Gobierno de Transición]?
- Integra las actuales dos autoridades y el tribunal administrativo de transparencia en una sola Autoridad Nacional de Transparencia, Acceso a la Información Pública y Protección de Datos Personales. Esta integración orgánica nace también con un nuevo estatus en la estructura del Estado. La nueva Autoridad tendrá la condición de organismo técnico especializado con personería jurídica propia.
- Se reconoce el derecho a la portabilidad de datos personales.
- Se establece la exigencia de instituir un Oficial de Datos Personales para grandes empresas que procesan y almacenan datos personales y comunicar incidentes de seguridad que involucren datos personales (obligaciones ambas que ya existen para entidades públicas).
