Bases de datos: qué deben tener en cuenta las empresas que las utilizan

RICARDO MEZZERA | COLUMNISTA INVITADO

La prolífica actividad legislativa está sometiendo a los empresarios a sesiones intensas de gimnasia. Deben mantenerse constantemente alerta porque enfrentan un escenario regulatorio muy cambiante. De ejemplo baste la ley de licencias especiales, promulgada en setiembre de 2008 y ya modificada por ley a comienzos de enero de 2009. A ello debe sumarse que las leyes presentan frecuentemente carencias de corte técnico.

A mediados del año 2008 se dictó una Ley sobre tratamiento de datos personales y habeas data. Se trata de una norma de importancia cuyos efectos han pasado relativamente desapercibidos en el ambiente empresarial. Las líneas que siguen tratarán algunos aspectos de esa norma, en particular sobre las bases de datos y los derechos de los titulares de los datos. A mi juicio estamos frente a una regulación profunda de aspectos absolutamente cotidianos de las empresas, las que deberán revisar la operación de sus sistemas o procedimientos de manera de no incurrir en una violación de estas normas.

Las nuevas disposiciones se aplican tanto a personas físicas como jurídicas y regulan los datos personales en cualquier soporte que los haga susceptibles de tratamiento. Regulan igualmente el uso que puede hacerse de dichos datos. Quedan fuera de esta regulación las bases de datos mantenidas por personas físicas "en el ejercicio de actividades exclusivamente personales o domésticas" y las vinculadas con la actividad de defensa y policía.

¿Qué es un dato personal para la ley? Es información de cualquier tipo referida a personas físicas o jurídicas determinadas o determinables. Como se advierte, tiene una amplitud importante.

El titular de los datos tiene los siguientes derechos, expuestos en forma muy resumida:

• a que sus datos registrados sean veraces, adecuados, ecuánimes y "no excesivos" (sic);

• a que los mismos no sean usados para fines distintos de aquellos que motivaron su obtención;

• a que no se comuniquen a otra base de datos sin su consentimiento;

• a que se le requiera el consentimiento documentado, libre e informado con anterioridad al tratamiento de sus datos (salvo ciertas excepciones);

• a que quien obtuviere sus datos en forma legítima, los utilice en forma reservada y para fines de su giro o actividad;

• a que, en ocasión de que se le recaben los datos, se le informe de manera previa la finalidad de su tratamiento o los destinatarios, identidad y domicilio del responsable de la base de datos, el carácter facultativo u obligatorio de las respuestas, las consecuencias de proporcionar datos y la negativa a hacerlo o su inexactitud, la posibilidad de ejercer los derechos de acceso, rectificación y supresión;

• y, finalmente, a entablar una acción judicial para acceder a sus datos y conocer la finalidad de su tratamiento, además de exigir su rectificación en caso de error, o la inclusión o supresión de datos.

Quienes tengan a su cargo una base de datos deben registrarla ante la Unidad Reguladora y de Control de Datos Personales. Para registrar y regularizar las bases de datos a la regulación que se comenta se estableció un plazo que vence en el mes de agosto de 2009. La Ley prevé una lista importante de elementos de información que deberán incluirse en el registro. Entre otros, naturaleza de los datos, procedimiento de su obtención, medidas de seguridad que se aplicarán, descripción técnica, destino de los datos, tiempo de conservación y forma de acceso.

La Ley que comento tiene defectos técnicos e inconsistencias que el limitado espacio de estas líneas no me permite comentar acabadamente. Pero retengamos un ejemplo final, para ver cómo puede verse impactada la operación de una empresa cualquiera que comercializa servicios de manera masiva: registro de la base en el plazo legal, formularios completos de recolección de datos con nuevos requisitos, políticas de seguridad en el tratamiento y almacenamiento de los datos, procedimiento que permita el acceso de los titulares de los datos y lineamientos para la modificación y eliminación de los datos según los eventuales requerimientos del titular de los mismos, revisión de los criterios en práctica para la transmisión de datos a terceros en la operación normal de la actividad, filtrado de la base de datos para identificar si la misma contiene datos considerados sensibles que deban tener un tratamiento más restrictivo que los demás datos y revisión cuidadosa de los procedimientos internos de manera de determinar si las decisiones comerciales y jurídicas con respecto a los clientes se basan en información de la personalidad de dichos clientes, su rendimiento laboral, crédito, fiabilidad o conducta.