Las organizaciones utilizan cada vez más servicios tecnológicos, plataformas digitales, proveedores y estructuras corporativas que pueden involucrar el tratamiento de datos personales fuera de Chile.
Una empresa puede operar exclusivamente en nuestro país y, aun así, sus datos personales pueden estar involucrados en operaciones internacionales.
Servicios en la nube, plataformas de recursos humanos, CRM, herramientas de marketing, proveedores tecnológicos o relaciones entre sociedades de un mismo grupo empresarial son algunos de los escenarios que hacen necesario preguntarse:
¿Sabemos realmente dónde están y hacia dónde circulan los datos personales que tratamos?
La Ley N.º 21.719 incorpora un marco específico para las Transferencias Internacionales de Datos Personales (TID), haciendo necesario que las organizaciones no solo identifiquen estos flujos, sino que también evalúen bajo qué condiciones se realizan y qué mecanismos permiten mantener la protección de los datos cuando cruzan fronteras.
¿Qué es una Transferencia Internacional de Datos?
En términos prácticos, hablamos de transferencias internacionales cuando los datos personales son transferidos desde Chile hacia destinatarios ubicados en otros países u organizaciones internacionales, dentro de los supuestos regulados por la normativa.
Pero antes de entrar en sus requisitos legales, existe una tarea previa:
Identificar si estas transferencias están ocurriendo.
Esto puede no ser tan evidente como parece.
La utilización de infraestructura tecnológica internacional, proveedores externos o estructuras empresariales con presencia en diferentes países hace necesario conocer cómo circula realmente la información dentro y fuera de la organización.
Por eso, no basta con preguntarse dónde está ubicada físicamente la empresa.
Debemos mirar el recorrido de los datos.
¿Cómo saber si los datos de nuestra organización salen de Chile?
Una primera revisión puede comenzar con algunas preguntas:
¿Qué datos personales tratamos?
Identificar las categorías de datos utilizadas en los diferentes procesos de la organización.
¿Quiénes participan en esos tratamientos?
Determinar qué áreas internas, proveedores, encargados u otros terceros tienen acceso o intervienen en ellos.
¿Dónde se encuentran los destinatarios involucrados?
Revisar si existen actores ubicados fuera de Chile que reciben datos personales.
¿Qué mecanismos o garantías respaldan esos flujos?
Una vez identificada una transferencia, será necesario determinar bajo qué condiciones se está realizando.
Este análisis permite pasar de una mirada centrada únicamente en herramientas o sistemas hacia una visión más completa del ciclo de vida de los datos personales.
El RAT como herramienta para conocer los tratamientos
El Registro de Actividades de Tratamiento (RAT) adquiere especial relevancia en este proceso.
El RAT permite identificar y documentar los tratamientos de datos personales que realiza una organización y comprender elementos como sus finalidades, categorías de datos, participantes y características del tratamiento.
Por eso, más que una simple planilla o inventario, puede convertirse en una herramienta fundamental para detectar flujos que requieren un análisis adicional.
La lógica es sencilla:
IDENTIFICAR → DOCUMENTAR → EVALUAR
Antes de determinar si una transferencia internacional cumple con la normativa, necesitamos saber que existe.
Ya identificamos la transferencia. ¿Ahora qué?
Una vez detectado un flujo internacional de datos, comienza una segunda etapa.
La pregunta pasa de:
“¿Nuestros datos salen de Chile?”
a:
“¿Bajo qué condiciones pueden hacerlo?”
El nuevo régimen contempla distintas alternativas que deben analizarse según las características particulares de cada transferencia.
No todas las operaciones internacionales se gestionan de la misma forma.
1. Países con un nivel adecuado de protección
Uno de los escenarios contemplados corresponde a las transferencias hacia destinatarios sujetos al ordenamiento jurídico de países que proporcionen un nivel adecuado de protección de datos personales.
Esto introduce una consideración relevante:
El destino de los datos importa.
No basta con conocer hacia qué país se dirige la información. También debe analizarse el nivel de protección existente en ese destino conforme a los parámetros establecidos por la normativa.
La determinación de los países que cuentan con un nivel adecuado corresponderá a la autoridad competente bajo el nuevo sistema.
De esta manera, la pregunta deja de ser solamente:
¿Dónde están nuestros datos?
y pasa a incorporar:
¿Qué protección reciben cuando llegan allí?
2. Garantías adecuadas para la transferencia
Cuando corresponda, las transferencias también pueden sustentarse mediante mecanismos destinados a mantener garantías adecuadas para la protección de los datos personales.
Dentro del nuevo marco aparecen instrumentos como las cláusulas contractuales, normas corporativas vinculantes y otros mecanismos jurídicos contemplados por la normativa.
Su finalidad es especialmente importante:
La protección de los datos no debería terminar en la frontera.
Si una organización transfiere información personal a otro territorio, debe analizar cómo se mantendrán las condiciones necesarias para protegerla.
Por eso, identificar al destinatario es solo una parte del proceso.
También necesitamos comprender qué instrumento respalda ese flujo.
3. ¿Qué ocurre con las empresas de un mismo grupo?
Este es un punto particularmente interesante.
Que dos sociedades pertenezcan al mismo grupo empresarial no significa, por sí solo, que los datos personales puedan circular entre ellas sin considerar las reglas sobre transferencias internacionales.
El nuevo marco contempla mecanismos para este tipo de estructuras, entre ellos las normas corporativas vinculantes o reglas internas comunes, sujetas a las condiciones y procedimientos establecidos por la normativa.
Estas reglas permiten establecer estándares comunes para el tratamiento y protección de datos dentro de un grupo empresarial.
Pero existe un elemento fundamental:
La responsabilidad no desaparece porque los datos circulen dentro del mismo grupo.
Por eso, las organizaciones con estructuras internacionales deberían identificar no solamente sus proveedores externos, sino también los flujos de información entre sociedades relacionadas.
Este punto surgió, además, en la conversación generada por nuestra primera publicación sobre Transferencias Internacionales de Datos y demuestra por qué mapear los flujos reales de información es tan relevante.
4. ¿Existen situaciones excepcionales?
La regulación también contempla determinados supuestos para transferencias específicas y no habituales cuando no se cuenta con una decisión de adecuación o con las garantías correspondientes.
Estos escenarios deben analizarse según las circunstancias concretas y los requisitos establecidos por la normativa.
Este punto es especialmente importante porque las excepciones no deberían interpretarse como una vía general para gestionar las transferencias habituales de una organización.
Si una empresa utiliza permanentemente proveedores, plataformas o estructuras internacionales, lo adecuado será identificar esos flujos y determinar el mecanismo que corresponde para su operación regular.
La gestión no termina cuando enviamos los datos
Una Transferencia Internacional de Datos no debería entenderse como un acto aislado.
Las organizaciones necesitan ser capaces de conocer y respaldar las condiciones bajo las cuales realizan estas operaciones.
Por eso, una gestión práctica puede resumirse en cinco etapas:
1. IDENTIFICAR
¿Existen flujos internacionales de datos personales?
2. EVALUAR
¿Dónde van los datos y quién los recibe?
3. DEFINIR
¿Qué mecanismo o garantía corresponde aplicar?
4. DOCUMENTAR
¿Cómo se encuentra respaldada la transferencia?
5. SUPERVISAR
¿Las condiciones y garantías se mantienen en el tiempo?
Esta última etapa es especialmente importante.
Los proveedores pueden cambiar, los sistemas pueden migrar, pueden incorporarse nuevas herramientas y una organización puede comenzar a utilizar datos para finalidades que antes no existían.
Por eso, el análisis de las transferencias internacionales debe integrarse a la gestión continua de protección de datos.
De la identificación a la gestión
La principal conclusión no es que todas las organizaciones deban dejar de utilizar servicios internacionales.
El desafío está en conocer los flujos de información y gestionarlos adecuadamente.
Una organización que no sabe dónde se encuentran sus datos difícilmente podrá evaluar qué riesgos existen o qué garantías necesita.
Por eso, el punto de partida vuelve a ser el mismo:
conocer nuestros tratamientos.
RAT, revisión de proveedores, contratos, análisis de flujos, políticas internas y gestión de riesgos forman parte de una misma conversación.
Tus datos pueden cruzar fronteras. La protección debe acompañarlos.
En Eticactiva acompañamos a las organizaciones en el diagnóstico y desarrollo de sus sistemas de gestión de protección de datos personales, integrando cumplimiento normativo, gestión de riesgos y realidad operacional.
¿Tu organización ha identificado sus Transferencias Internacionales de Datos?
Conversemos sobre cómo prepararse para los desafíos de la Ley N.º 21.719.
