Recopilar el dato personal no es lo mismo que poder usarlo

La protección de datos, sin embargo, no funciona exactamente así. La pregunta no es únicamente si podíamos obtener el dato, sino para qué lo obtuvimos y para qué pretendemos usarlo ahora.

La Ley 172-13 es clara al referirse a la finalidad del tratamiento. Los datos deben ser adecuados, pertinentes y no excesivos en relación con las finalidades determinadas, explícitas y legítimas para las que fueron obtenidos. Esto permite distinguir dos cuestiones que muchas organizaciones tienden a tratar como una sola, la legitimidad de haber obtenido el dato y la legitimidad de utilizarlo posteriormente para una finalidad distinta. Son cuestiones relacionadas, pero no equivalentes. Una empresa puede pedirle el teléfono a un cliente para gestionar un servicio, y eso no significa que después pueda usarlo para cualquier campaña comercial, compartirlo con un tercero o registrarlo en una base de datos con un propósito completamente distinto al original.

Esto es especialmente relevante porque buena parte de la conversación sobre privacidad gira en torno a la exactitud y la seguridad de la información, es decir, si el dato es correcto y si está bien resguardado. Sin embargo, suele prestarse menos atención a un riesgo más difícil de identificar. Un dato puede ser perfectamente correcto y estar adecuadamente protegido y, aun así, utilizarse de una manera que no corresponda con la finalidad para la que fue obtenido. Los ejemplos son cotidianos. Una empresa recopila datos de contacto para gestionar una relación contractual y luego los utiliza para campañas comerciales. Un empleador junta información de sus trabajadores con fines administrativos y termina alimentando con ella sistemas automatizados de evaluación o monitoreo. Un negocio obtiene información de sus clientes para prestar un servicio y después se la comparte a un tercero para que desarrolle un producto nuevo. Una compañía obtiene información durante un proceso de reclutamiento y termina usándola para elaborar perfiles de candidatos. En todos estos casos el dato pudo haberse obtenido sin ninguna irregularidad y, aun así, la nueva utilización puede no ser compatible con la finalidad original.

Aquí conviene revisar también otro error frecuente, que consiste en pensar que una cláusula general de consentimiento es suficiente para cualquier uso posterior. La Ley 172-13 exige que, cuando el tratamiento requiera consentimiento, el titular sea informado previamente sobre la finalidad para la que serán utilizados sus datos y sobre quiénes pueden ser sus destinatarios. Por eso, una autorización genérica no necesariamente permite utilizar el dato para cualquier propósito que pueda surgir más adelante. La transparencia sobre la finalidad forma parte de la legitimidad del tratamiento y no debería verse como un formalismo que se cumple una sola vez.

Con la inteligencia artificial el problema adquiere otra escala. Muchas empresas están tomando información que ya tienen para alimentar sistemas de IA, entrenar modelos, automatizar procesos, generar perfiles o mejorar productos, y la pregunta que deberían hacerse antes de cargar esos datos en una herramienta -y que casi nunca se hacen- es si el hecho de ya tener el dato les da derecho a usarlo para ese nuevo propósito. La respuesta no debería darse por sentada. Antes de reutilizar datos personales para algo nuevo, la empresa tendría que poder responder para qué los obtuvo originalmente, cuál es la nueva finalidad, qué relación hay entre ambas, qué se le comunicó al titular en su momento, si esta nueva utilización requiere una autorización adicional, quién va a tener acceso a los datos, si se compartirán con proveedores o terceros, si saldrán del territorio dominicano, por cuánto tiempo se conservarán para este nuevo fin y qué riesgos adicionales trae consigo el nuevo tratamiento.

Y es en este punto donde la protección de datos deja de ser un asunto de formularios y de políticas de privacidad publicadas en una página web, y pasa a ser una cuestión de gobernanza. Una empresa realmente preparada debería poder contestar, sin tener que investigar, qué datos tiene, de dónde vienen, para qué los obtuvo, para qué los está usando hoy, quién tiene acceso a ellos, qué proveedores los reciben y qué nuevos usos está considerando. Si no puede responder eso, el problema no es que le falte una política de privacidad bien redactada; es que no tiene gobernanza sobre su propia información.

Con la entrada en vigor del nuevo Código Penal dominicano, este análisis adquiere una dimensión que antes no tenía. El artículo 198 de la Ley 74-25 sanciona ciertas conductas de captación y uso no consentido de datos personales, con consecuencias penales para quien incurra dolosamente en ellas, y el artículo 199 va más allá al establecer que las personas jurídicas pueden ser declaradas penalmente responsables bajo las condiciones que la propia ley prevé. Eso cambia la conversación. Ya no se trata solo de evaluar si una empresa podría recibir una reclamación, sino de gestión de riesgo y responsabilidad corporativa en el sentido más literal. Una empresa sin ese control sobre sus propios datos puede estar cargando con riesgos que ni siquiera conoce.

Por eso, antes de reutilizar datos personales para una nueva iniciativa, una campaña de marketing, una herramienta tecnológica o un modelo de inteligencia artificial, la pregunta que debería hacerse toda empresa no es si tiene esos datos. Es si tiene una base legítima para usarlos de esa manera y para ese fin específico. La diferencia entre una pregunta y la otra parece pequeña, pero jurídicamente puede ser enorme. En un entorno donde los datos se reutilizan constantemente para crear productos, automatizar decisiones y generar nuevas líneas de negocio, la capacidad de una organización para gobernar las finalidades de sus datos se está convirtiendo en un asunto estratégico de cumplimiento, no en un simple ejercicio de privacidad. Y quizás la pregunta que de verdad importa ya no es cuánto sabe una empresa sobre sus clientes, sino si sabe para qué está autorizada a usar lo que sabe sobre ellos.