Triada de cumplimiento digital | Datos, Ciberseguridad e Inteligencia Artificial

Principales cambios a la Ley de Protección de Datos Personales:

1. Se incorporan nuevas bases de licitud para el tratamiento de datos, modificándose los requisitos del consentimiento con base legal, y eliminando los datos de fuentes de acceso público como base habilitante autónoma.

2. Se tipifican expresamente los principios que deben resguardarse en el tratamiento de datos personales.

3. Los derechos de los titulares son intransferibles e irrenunciables y no pueden limitarse por ningún acto o convención: Acceso, rectificación, supresión, oposición, portabilidad.

4. Obligación de incorporar medidas de seguridad.

5. Nueva autoridad de control (se crea la Agencia Nacional de Protección de Datos).

6. Deber de reportar vulneraciones.

7. Modelo de Prevención de Infracciones como atenuante de responsabilidad.

8. Se regulan las transferencias internacionales.

9. Nuevo régimen sancionatorio y de infracciones.

10. Se imponen obligaciones a los encargados del tratamiento.

La ley afecta a todas las entidades que realicen tratamiento de datos personales, independientemente de su tamaño o naturaleza, tanto en la calidad de responsable del tratamiento como encargado del tratamiento. Esto incluye tanto a pequeñas como grandes empresas y personas naturales.

Aunque las PYMES tendrán un “plazo de gracia” de 12 meses adicionales para adecuarse, todas, incluidas las personas naturales deberán cumplir eventualmente con las disposiciones establecidas. No cumplir con las normativas podría resultar en sanciones significativas, incluso para las pequeñas empresas y personas naturales que manejen datos personales. Hay hipótesis de aplicación extraterritorial, como el caso de responsables y encargados ubicados fuera de Chile, en que aplicará si es que el tratamiento recae sobre titulares ubicados en Chile.

Se definen categorías de infracciones (leves, graves y gravísimas) junto con sus correspondientes sanciones asociadas, y se crea un procedimiento sancionador ante la Agencia. En situaciones de reincidencia, se contempla la suspensión de las operaciones de tratamiento por un período de hasta 30 días.

– Infracción Leve: Desde 1 a 5.000 UTM. (ej: incumplir deber de información y transparencia)

– Infracción grave: Desde 5.001 a 10.000 UTM. (ej: realizar tratamiento de datos personales sin una base legal para el tratamiento)

– Infracción gravísima: Desde 10.001 a 20.000 UTM. (ej: efectuar tratamiento en forma fraudulenta).

Además, se establece la posibilidad de que el titular afectado demande la indemnización de perjuicios en sede civil.

Se crea la Agencia Nacional de Protección de Datos como órgano administrativo de naturaleza técnica. Su principal función será la de formular directrices relacionadas con el tratamiento de datos. Además, fiscalizará el cumplimiento de la normativa y tendrá potestad sancionatoria (los procedimientos por infracción se tramitarán ante ella).

El objetivo del proyecto es fomentar la creación, desarrollo, innovación e implementación de sistemas de inteligencia artificial que beneficien a las personas, asegurando al mismo tiempo el respeto a los principios democráticos, el Estado de Derecho y los derechos fundamentales. – Regula los riesgos de los sistemas de IA, pero con miras a fomentar el crecimiento económico, la inversión extranjera y la protección de los derechos fundamentales de los usuarios. – Coherencia institucional: Riesgo asociados a los datos que procesan. – Prudente, adecúa el estándar y mantiene enfoque preventivo no restrictivo.

Propone una modificación a la Ley de Propiedad Intelectual N° 17.336, incorporando el artículo 71 T, en donde se establece que será lícito, sin remunerar ni obtener autorización del titular, todo acto de reproducción, adaptación, distribución o comunicación al público, de una obra lícitamente publicada, cuando dicho acto se realice exclusivamente para la extracción, comparación, clasificación, o cualquier otro análisis estadístico de datos de lenguaje, sonido o imagen, o de otros elementos de los que se componen un gran número de obras o un gran volumen de datos, siempre que dicha utilización no constituya una explotación encubierta de la obra o de las obras protegidas.

Clasifica la IA acorde al riesgo asociado:

a) Sistemas de IA de riesgo inaceptable: Agrupa a sistemas de IA incompatibles con el respeto y garantía de los derechos fundamentales de las personas, por lo que su introducción en el mercado o puesta en servicio se encuentra prohibida.

b) Sistemas de IA de alto riesgo: Agrupa a sistemas de IA autónomos o componentes de seguridad de productos que pueden afectar negativamente a la salud y la seguridad de las personas, sus derechos fundamentales o el medio ambiente, así como los derechos de los consumidores.

c) Sistemas de IA de riesgo limitado: Agrupa a sistemas de IA que presentan riesgos no significativos de manipulación, engaño o error, producto de su interacción con personas naturales.

d) Sistemas de IA sin riesgo evidente: Agrupa a todos los demás sistemas de IA que no entran en las categorías mencionadas en los literales precedentes.

La Ley aplica a proveedores (entidad que desarrolla el sistema) e implementadores (entidad que usa el sistema) de sistemas de IA, tanto domiciliados en territorio nacional o extranjeros, pero cuya información de salida se utilice en Chile. Asimismo, aplica a importadores y distribuidores de sistemas de IA, junto a sus representantes. Se excluye:

– Sistemas de IA con fines de defensa nacional.

– Investigación, prueba y desarrollo de sistemas de IA previos a su introducción en el mercado.

– Los componentes de IA proporcionados a propósito de licencias libres y de código abierto.

– Infracción Leve (incumplimiento de las obligaciones de transparencia): Multa a beneficio fiscal de hasta 5.000 UTM.

– Infracción grave (incumplimiento de normas impuestas a los sistemas de alto riesgo en artículo 8): Multa a beneficio fiscal de hasta 10.000 UTM.

– Infracción gravísima (puesta en servicio o utilización de un sistema de riesgo inaceptable): Multa a beneficio fiscal de hasta 20.000 UTM.

El proyecto de ley define principalmente dos instituciones que van a aplicar en el resguardo y cumplimiento de las obligaciones:

1) Consejo Asesor Técnico de Inteligencia Artificial: Integra a otros actores de la industria. Representantes del gobierno (distintos ministerios), personas de la academia, representantes de la industria tecnológica y de organizaciones de la sociedad civil.

2) Agencia Nacional de Datos Personales: Fiscalizar, determinar las infracciones e incumplimientos, ejercer la potestad sancionadora y resolver la solicitudes y reclamos que formulen las personas afectadas.

Nótese que es la misma autoridad fiscalizadora de los datos personales, debido a que por la naturaleza muy vinculada con datos personales de muchos sistemas de IA, se considera beneficioso que la misma entidad sea la que los regule.

Tiene por objetivo establecer la institucionalidad, los principios y la normativa general que permitan estructurar, regular y coordinar las acciones de ciberseguridad de los organismos del Estado y de los particulares que prestan servicios esenciales para el funcionamiento del país. Establece un modelo propio de gobernanza en ciberseguridad. El marco regulatorio será aplicable tanto al sector público como el privado, en cuanto los operadores puedan definirse como prestadores de servicios esenciales y/o operadores de importancia vital.

Dependiendo de cómo sean clasificados se le asignan los deberes y obligaciones que establece la Ley y a la vez, las sanciones aplicables en caso de incumplimiento. Se crea institucionalidad especializada a cargo de vigilar el cumplimiento de la ley, sin perjuicio de las normas relativas a ciberseguridad que sean dictadas por las autoridades sectoriales, que en general prevalecerán por sobre las normativas y directrices generales de esta ley.

Las disposiciones de la ley aplican a:

a) Organismos del Estado y empresas del Estado y sociedades en que éste tenga participación accionaria superior al 50% o mayoría en el directorio.

b) Servicios esenciales: Aquellos provistos por los organismos de la Administración del Estado y por el Coordinador Eléctrico Nacional; los prestados bajo concesión de servicio público, y los proveídos por instituciones privadas que realicen las siguientes actividades: – Generación. – Transmisión o distribución eléctrica. – Transporte, almacenamiento o distribución de combustibles. – Suministro de agua potable, saneamiento o telecomunicaciones. – Infraestructura digital, servicios digitales y servicios de tecnología de la información gestionados por terceros. – Transporte terrestre, aéreo, ferroviario o marítimo, así como la operación de su infraestructura respectiva. – Banca, servicios financieros y medios de pago. – Administración de prestaciones de seguridad social. – Servicios postales y de mensajería, prestación institucional de salud por entidades, tales como hospitales, clínicas, consultorios y centros médicos. – Producción y/o investigación de productos farmacéuticos. No es taxativa: La Agencia podrá calificar otros servicios como esenciales.

c) Operadores de Importancia vital: La Agencia establecerá mediante resolución dictada por el Director o la Directora Nacional a los prestadores de servicios esenciales que sean además calificados como operadores de importancia vital. Siempre y cuando se cumpla con los requisitos establecidos en la ley. Además, se podrán calificar como Operadores de Importancia Vital a empresas que no tengan la calidad de prestadores de servicios esenciales, si cumplen con requisitos especiales.

Las sanciones y procedimientos sancionatorios serán los que correspondan a la autoridad sectorial de conformidad a su normativa. Fuera de dichos casos, corresponderá a la Agencia fiscalizar, conocer y sancionar las infracciones.

Sanciones Generales:

– Infracción Leve: Multa a beneficio fiscal de hasta 5.000 UTM. (ej: entregar fuera de plazo información que se le requiera cuando ella no fuera necesaria para la gestión de un incidente de ciberseguridad)

– Infracción grave: Multa a beneficio fiscal de hasta 10.000 UTM. (ej: No haber implementado los protocolos y estándares establecidos por la Agencia para prevenir, reportar y resolver incidentes de ciberseguridad)

– Infracción gravísima: Multa a beneficio fiscal de hasta 20.000 UTM. (ej: Entregar a la Agencia información manifiestamente falsa o errónea, cuando ella sea necesaria para la gestión de un incidente de ciberseguridad)

Sanciones especiales-Operadores de Importancia Vital:

– Infracción Leve: Multa a beneficio fiscal de hasta 10.000 UTM.

– Infracción grave: Multa a beneficio fiscal de hasta 20.000 UTM.

– Infracción gravísima: Multa a beneficio fiscal de hasta 40.000 UTM.

1) Se crea la Agencia Nacional de Ciberseguridad, entidad, de carácter técnico, que estará encargada de fiscalizar la aplicación de la ley, y ante la cual se tramitarán los procedimientos de infracción. Sin perjuicio de esto, las autoridades sectoriales (ej: CMF) serán plenamente competentes para fiscalizar y conocer las infracciones a las normas sectoriales en materia de ciberseguridad que hayan dictado. Dentro de esta Agencia se creará el Equipo Nacional de Respuesta a Incidentes de Seguridad Informática (CSIRT Nacional), cuya función central es combatir los ciberataques o incidentes de ciberseguridad de efecto significativo.

2) Se crea el Consejo Multisectorial sobre Ciberseguridad, de carácter consultivo y que tendrá por función asesorar y formular recomendaciones a la Agencia Nacional de Ciberseguridad en el análisis y revisión periódica de la situación de ciberseguridad del país, en el estudio de las amenazas existentes y potenciales en el ámbito de ciberseguridad, y proponer medidas para abordarlas.

3) Se crea la Red de Conectividad Segura del Estado, que proveerá servicios de interconexión y conectividad a internet a los Ministerios, las Delegaciones Presidenciales Regionales y Provinciales, los Gobiernos Regionales, las Municipalidades, las Fuerzas Armadas, las Fuerzas de Orden y Seguridad Pública, las empresas públicas creadas por ley, y los órganos y servicios públicos creados para el cumplimiento de la función administrativa

4) Se crea el Equipo de Respuesta a Incidentes de Seguridad Informática de la Defensa Nacional, organismo responsable de la coordinación, protección y seguridad de las redes y sistemas del mencionado Ministerio y de los servicios esenciales y operadores vitales para la defensa nacional, además de cumplir aquellas tareas que le sean encomendadas, con el propósito de resguardar la defensa y la seguridad nacional.

5) Se crea el Comité Interministerial sobre Ciberseguridad, el cual tendrá por objeto asesorar al Presidente de la República en materias de ciberseguridad relevantes para el funcionamiento del país. Estará conformado principalmente por representantes del Gobierno.