Comunicación De Datos Entre Órganos Públicos: Límites y Desafíos

El Caso argentino

En Argentina, una mujer entregó su teléfono y correo electrónico a la ANSES ("Administración Nacional de la Seguridad Social") para tramitar su jubilación. Esos datos circularon luego entre distintas dependencias estatales para fines que ella nunca autorizó. Diez años después, en el marco de la causa Torres Abad c/ ANSES (CAF 49482/2016), la Corte Suprema argentina (“CSJN”) no solo ordenó a la ANSES abstenerse de usar esos datos para fines distintos: declaró inconstitucionales las normas que habilitaban ese intercambio.

La Ley N°25.326 de Protección de Datos Personales argentina establece que el consentimiento es la regla para ceder datos personales, pero consagra excepciones tan amplias, entre ellas, el intercambio entre dependencias del Estado "en la medida de sus respectivas competencias", que, en la práctica, la regla quedaba vacía. Si toda la actividad estatal cabe en la excepción, la excepción se convierte en la regla. Y eso, expresó la Corte, vulnera los derechos a la privacidad y a la autodeterminación informativa.

Órganos públicos en la Ley N°19.628 modificada por la Ley 21.719

En Chile, el artículo 1° de la Ley N°19.628 sobre Protección de los Datos Personales, modificada por la ley N°21.719 (en adelante, “Nueva Ley N°19.628”) establece que todo tratamiento de datos personales realizado por "una persona natural o jurídica, incluidos los órganos públicos", queda sujeto a sus disposiciones. No hay exención de entrada para el Estado, la inclusión es explícita.

Por su parte, el Título IV regula de manera específica el tratamiento por parte de organismos públicos. Su artículo 20 les reconoce formalmente la calidad de responsables de datos, con toda la carga de principios y obligaciones que eso implica, y establece que no requieren el consentimiento del titular para tratar sus datos, siempre que el tratamiento se realice para el cumplimiento de sus funciones legales y dentro del ámbito de sus competencias. Esta excepción no es un privilegio que libere de las exigencias, es simplemente una base de licitud diferente con sus propias condiciones.

Comunicación de datos entre órganos públicos 

El artículo 22 de la Nueva Ley N°19.628 establece las condiciones para la comunicación o cesión entre organismos públicos, y aquí reside la diferencia más relevante respecto del esquema argentino: mientras la ley argentina habilita el intercambio entre dependencias estatales invocando genéricamente las "respectivas competencias", el artículo 22 de la ley chilena exige que la cesión se realice para un tratamiento específico y prohíbe al organismo receptor utilizarlos para otros fines. 

La misma norma admite una segunda hipótesis: cuando los datos se requieran para otorgar beneficios al titular, evitar duplicidad de trámites o evitar la reiteración de requerimientos de información a los mismos ciudadanos. Esta causal, orientada a la eficiencia y a la no molestia del titular, tiene un contenido más amplio, pero siempre referido al beneficio del propio ciudadano, no al interés genérico del Estado.

Para la cesión a entidades privadas la regla es más exigente, debiendo los organismos públicos contar con el consentimiento del titular, salvo que la cesión sea necesaria para cumplir funciones de fiscalización o inspección.

Finalmente, el artículo 22 impone una obligación de transparencia activa ausente en la legislación argentina: los organismos públicos deben informar mensualmente en su sitio web los convenios suscritos con otros organismos públicos relativos a cesión de datos, obligación fiscalizada por la Agencia.

Función legal de los órganos públicos como base de licitud 

Para los organismos públicos, la base de licitud no proviene de los artículos 12 o 13, sino de una norma especial: el artículo 20 del Título IV. Este artículo los habilita a tratar datos personales sin consentimiento del titular cuando el tratamiento se realiza para el cumplimiento de sus funciones legales y dentro del ámbito de sus competencias.

La base de licitud es razonable y necesaria para que el Estado pueda operar, pero podría interpretarse con excesiva amplitud. Una "función legal" entendida en términos genéricos puede convertirse en una habilitación que lo abarca todo, dejando a los titulares sin garantías. 

La ley intenta contener ese riesgo mediante los principios que se aplican también a los organismos públicos por remisión expresa del artículo 21. De esta manera, el principio de finalidad exige que los datos sean recolectados con fines específicos, explícitos y lícitos, y que el tratamiento se limite estrictamente a ellos. Mientras tanto, el principio de proporcionalidad impone tratar solo los datos estrictamente necesarios, adecuados y pertinentes para el fin declarado. Así entonces, ambos operan como límites internos a la base de licitud del artículo 20, no bastando invocar la función legal en abstracto, sino debiendo acreditarse que el tratamiento concreto sirve a una finalidad determinada y que los datos involucrados son los mínimos indispensables para ella.

Limitaciones de la función legal como base de licitud.

La base de licitud específica de los órganos públicos establece una limitación importante a los tratamientos realizados por los mismos. Atendido que la única base de licitud disponible para los órganos públicos es el artículo 20, y el catálogo del artículo 13 no les aplica, entonces un organismo público que quiera realizar un tratamiento que no encaje directamente en una función legal atribuida por ley se encuentra, en principio, sin habilitación posible. 

Esto genera un problema práctico relevante: hay tratamientos que los organismos públicos realizan o podrían querer realizar que no se encuentren relacionados con una función legal específica. Ante la ausencia de una base de licitud, el tratamiento simplemente no podría realizarse. La Agencia de Protección de Datos Personales tendrá que pronunciarse sobre cómo resolver estos casos, y ese criterio será determinante para el funcionamiento cotidiano del sector público. 

Escenario en Chile 

El 1° de diciembre de 2026 entran en plena vigencia las modificaciones introducidas por la Ley N°21.719 a la Ley N°19.628, por lo que aún queda tiempo para que los organismos públicos adopten las medidas necesarias para adecuarse a la normativa y garantizar el resguardo de los derechos de los titulares. 

La interpretación de qué tan concreta debe ser la finalidad y qué tan estrecha debe ser la relación entre el dato y la competencia invocada dependerá de la futura Agencia de Protección de Datos Personales. 

En el intertanto, los organismos públicos deberán aprovechar este período para revisar sus prácticas de comunicación y cesión de datos personales, verificando que cada flujo cuente con una habilitación legal específica y una finalidad determinada. Los convenios de cesión que exige el artículo 22 no pueden ser documentos formales vacíos, sino que deben reflejar con precisión qué datos se ceden, bajo qué norma, para qué fin y por cuánto tiempo.

En definitiva, el ciudadano que entrega sus datos a un servicio público para un trámite concreto tiene derecho a que sus datos no circulen más allá de esa finalidad. Esperamos que la experiencia argentina pueda servir a los órganos públicos chilenos para entender los límites y obligaciones que les aplican.