Hace unos días ingresó a la Cámara de Diputados el proyecto enviado por el Poder Ejecutivo Nacional para actualizar la Ley de Protección de Datos Personales. La iniciativa fue girada a las comisiones de Asuntos Constitucionales, Legislación General y Presupuesto y Hacienda.

Hay que recordar que en el año 2000 se aprobó la Ley 25.326 de Protección de Datos Personales, reglamentada por el Decreto 1558/2001 y varias resoluciones y disposiciones emitidas por la Agencia de Acceso a la Información Pública (AAIP). Con los distintos avances tecnológicos esta norma quedó desactualizada.

Para la AAIP, “es necesaria la actualización para fortalecer las capacidades estatales de regulación y gestión de políticas públicas en pos de enfrentar los nuevos desafíos impuestos por la transformación y desarrollo tecnológico en un contexto de la economía digital globalizada, y a su vez contribuir con la armonización de los estándares regionales e internacionales en materia de protección de datos personales, desde un enfoque de Derechos Humanos y desde una mirada situada y soberana”.

Como base del proyecto se tuvieron en cuenta el Reglamento General de Protección de Datos, las Recomendaciones sobre Ética de la Inteligencia Artificial de la ONU para la UNESCO, y el Convenio 108+, al que Argentina ratificó por ley en noviembre pasado, entre otros instrumentos.

El Poder Ejecutivo explicó que el proyecto se encuadra en el derecho humano a la protección de los datos personales y la autodeterminación informativa; la innovación tecnológica -basada en principios éticos- que promueva un desarrollo económico inclusivo; y la construcción de confianza a través de reglas de juego claras.

Principales puntos

Manejo de datos de niños y adolescentes

El proyecto prevé una protección especial para los niños y establece reglas específicas para proteger los datos personales de los niños cuando se procesan en el contexto de los servicios de la sociedad de la información.

'Se prohíbe realizar el tratamiento de datos personales de niños, niñas y adolescentes en los juegos, aplicaciones, desarrollos e innovaciones tecnológicas, u otras actividades afines que involucren información personal, más allá de lo estrictamente necesario para la realización de la actividad', indica la iniciativa.

Pero será válido 'el consentimiento de adolescentes a partir de 16 años para el tratamiento de sus datos personales'.

Los menores de 16 años podrán 'dar su asentimiento informado”, pero el tratamiento únicamente se considerará lícito “si la persona titular de la responsabilidad parental o quien se encuentre a cargo de su ejercicio o de la guarda o tutela sobre la niña, el niño o adolescente otorgó el consentimiento'.

Información de clientes de bancos y financieras y sus deudas

Un capítulo regula la protección de datos de información crediticia del sector financiero y no financiero. Indica que solo pueden aquellos de carácter patrimonial relativos a la solvencia económica y al crédito cuando se cuente con una base legal.

Se prohíbe a las empresas prestadoras de servicios de información crediticia el tratamiento de datos de parientes de la persona titular de los datos, exceptuando el supuesto de quienes participen dentro de una misma sociedad comercial.

No se pueden tratar los datos comerciales negativos referidos a la prestación de los servicios públicos esenciales.

De acuerdo al proyecto, solo se podrán tratar datos personales que sean significativos para evaluar la solvencia económico financiera durante los últimos 5 años. El plazo se reducirá a dos años si el deudor cancela o extingue la obligación, a contar a partir de la fecha precisa en que lo ha hecho, y esto debe constar en el informe crediticio.

A solicitud de la persona titular de los datos, los responsables de tratamiento que elaboren un sistema de puntuación y/o calificación de acuerdo al comportamiento crediticio de las personas deberán comunicarle el detalle de la fórmula aplicada, las variables consideradas, el procedimiento y la información que se toma en cuenta, o el algoritmo que se utiliza y su composición.

Las entidades crediticias, financieras, y cualquier otro acreedor, deben comunicar en forma diligente a la titular de los datos el cambio de situación crediticia, por un medio que permita acreditar el envío y su fecha.

Dicha comunicación se debe efectuar, cuando las obligaciones pasen de cumplimiento normal a incumplimiento, dentro de los 10 días hábiles de producida la nueva clasificación. El cedente tiene la carga de acreditar dicho cumplimiento.

En el caso que se deniegue a la titular de los datos la celebración de un contrato, solicitud de trabajo, servicio, crédito comercial o financiero, sustentado en un informe crediticio, se le debe informar tal circunstancia, así como la empresa que proveyó dicho informe, y hacerle entrega de una copia.

Multas actualizadas por inflación

Además de actualizar lo referido a las distintas sanciones, en relación a las multas, la iniciativa incorpora una unidad móvil sujeta a la variación del Índice de Precios al Consumidor (IPC) y eleva los montos sustantivamente.

En el proyecto se plantea un valor inicial de la unidad móvil de $10.000, que deberá actualizarse anualmente según ña variación del Índice de Precios al Consumidor (IPC) publicado por el INDEC. Las multas irían desde las cinco unidades móviles hasta un millón; o desde el 2% al 4% de la facturación total anual global del infractor en el ejercicio financiero anterior a la aplicación de la sanción.

Otros puntos

El proyecto impone la obligación de comunicar las violaciones de datos a la AAIP dentro de las 72 horas posteriores a tomar conocimiento de la vulneración, si es que es probable que esta suponga un riesgo para los derechos de los interesados.

Sobre el deber de confidencialidad, el responsable de los datos únicamente podrá ser relevado del deber de confidencialidad a través de resolución judicial u obligación legal.

Se permite el tratamiento de datos sensibles con finalidades estadísticas o científicas, siempre que el titular de los datos no pueda ser identificado.

En ningún caso se puede afectar el secreto de las fuentes de información periodística. Sin perjuicio del secreto de la fuente de información periodística, todo otro tratamiento de los datos personales en el marco de esta actividad se encuentra alcanzado por la ley.

Los datos personales deben ser recogidos con fines determinados, explícitos y legítimos. No deben ser tratados de manera incompatible.

Queda exceptuado de los alcances de la ley el tratamiento de datos que efectúe una persona humana para su uso exclusivamente privado o de su grupo familiar y, por tanto, sin conexión alguna con una actividad profesional o comercial.

Los datos personales no deben ser mantenidos más allá del tiempo estrictamente necesario para el cumplimiento de la finalidad del tratamiento. Pueden conservarse durante períodos más largos siempre que se trate exclusivamente de fines estadísticos, de archivo en interés público, de investigación científica o histórica, sin perjuicio de la aplicación de las medidas técnicas y organizativas.

En el caso en que la base legal para el tratamiento de datos sea el consentimiento de la persona titular de los datos, se requiere que este sea expreso, previo, libre, específico, informado e inequívoco, para una o varias finalidades determinadas, ya sea mediante una declaración o una clara acción afirmativa.

Si hay tratamiento de datos sensibles, se debe implementar la responsabilidad reforzada. Esto implica mayores niveles de seguridad, confidencialidad, restricciones de acceso, uso y circulación.

Se incorpora el principio de extraterritorialidad que establece que la normativa se aplicará se aplicará a las organizaciones fuera de Argentina si, por ejemplo, ofrecen bienes o servicios o monitorean el comportamiento de las personas en nuestro país. Un representante debe ser designado por los responsables y encargados extranjeros que se encuentren amparados por las disposiciones de la ley argentina considerando las normas de ámbito territorial.

También te puede interesar:

Se aprobó el convenio 108+ de protección de datos personales

Ingresó a Diputados el proyecto que actualiza la ley de Protección de Datos Personales