En este primer episodio Yoab Bitran, Director Grupo Compliance en Albagli Zaliasnik, converso con Liliana Carvajal, Compliance Officer en Kushki , quien nos comparte su inspiradora trayectoria en el mundo del compliance, los aprendizajes que ha recogido a lo largo del camino, y sus recomendaciones para lograr un equilibrio efectivo en el cumplimiento, siempre con un enfoque basado en los riesgos.
Compliance Latam publicó la Guía Comparada sobre Protección de Datos Personales, una herramienta colaborativa que mapea en profundidad desafíos y aprendizajes de diferentes jurisdicciones de la región.
Con el objetivo de crear un punto de partida para analizar la implementación de políticas de protección de datos en la región, la plataforma Compliance Latam publicó la Guía Comparada sobre Protección de Datos Personales. El documento, que reúne los principales estándares, avances legislativos y desafíos regulatorios de múltiples jurisdicciones latinoamericanas, demuestra que la privacidad, el cumplimiento y la competitividad no están en esferas separadas, sino que complementan como pilares de una gestión empresarial sostenible y responsable.
Según el informe, el reto de las empresas que operan en América Latina es transversal: traducir el cumplimiento normativo en valor de negocio y hacerlo parte del ADN organizacional.
“La guía nació como respuesta a las necesidades de los equipos legales y de cumplimiento, y fue creada por firmas líderes de la región que forman parte de la red Compliance Latam. El disparador inicial fue identificar los avances normativos en materia de protección de datos para luego brindar una mirada integral en cada una de las jurisdicciones. Esto lo hicimos con el mismo espíritu que convoca a la red: crear valor para nuestros clientes mediante la colaboración activa de todos los integrantes”, comparte Rodrigo Albagli, socio del despacho chileno Albagli Zaliasnik
Estándares desiguales, enforcement debilitado y un denominador común: llevar la privacidad al corazón de la cultura organizacional
Pese a las diferencias institucionales entre los países estudiados, hay un denominador común en el que todos coinciden: la protección de la privacidad como un derecho fundamental.
“En todas las jurisdicciones se reconoce que los datos personales deben ser tratados de acuerdo con principios clave como legalidad, transparencia, minimización de datos y confidencialidad. Asimismo, reconocen la importancia de los derechos de los titulares, como el acceso, rectificación, cancelación y oposición (ARCO). Estos principios buscan garantizar que el tratamiento de datos sea siempre adecuado, relevante y proporcional al propósito para el que fueron recolectados y que los individuos tengan control sobre sus propios datos”, señala Marlyn Narkis, socia del despacho panameño MDU Legal.
Ahora bien, podría decirse que la principal brecha no está en el diseño de las leyes, sino en su implementación.
Yoab Bitran, director del grupo de Compliance de Albagli Zaliasnik, advierte que la región arrastra un problema estructural: falta de enforcement.
“Si bien varios países cuentan con nuevas regulaciones en línea con mejores estándares globales, tenemos muy pocos casos y muy pocas sanciones. Lo que genera cambios es la aplicación más que la promulgación; sin aplicación, no hay cambio real”, remarca el experto.
En ese sentido, destaca que la institucionalidad es un activo que diferencia a países como Chile, Uruguay o Costa Rica, que muestran mayor previsibilidad jurídica.
“Por regla general, el compliance solo puede avanzar cuando existe Estado de derecho, institucionalidad y libertad. Por lo tanto, existe una correlación tácita: aquellos países que tienen mayores dificultades en estas materias, son los que están más atrasados en términos de compliance”, explica.
En el caso puntual de Chile, el abogado reconoce que el avance normativo es un modelo para toda la región, pero que el país trasandino no escapa a la realidad de otros países en cuanto a su aplicación.
“Las propias autoridades encargadas de fiscalizar y perseguir infracciones o delitos han solicitado mayores recursos, tanto humanos como económicos, para poder llevar a cabo su labor. En cuanto a institucionalidad y entorno de negocios, Chile sigue manteniendo cierto nivel de liderazgo regional y continúa liderando en la mayoría de los rankings”, comenta Bitran.
Según Marcelo Coimbra, socio fundador del despacho brasileño FCR Law, la Guía Comparada sobre Protección de Datos Personales permite anticipar riesgos, tomar decisiones fundamentadas y adaptar políticas de compliance a múltiples jurisdicciones.
“Para las compañías con operaciones transnacionales, contar con esta referencia comparativa facilita no solo la expansión, sino también una gestión proactiva del cumplimiento normativo en un entorno legal desafiante y diverso. La expansión regional solo es viable si hay gestión proactiva del cumplimiento, y esa es la base de la seguridad jurídica que exigen los inversores y las empresas globales”, afirma.
Leon Weinstok, director del despacho costarricense BLP, añade que “el desafío es lograr un modelo eficiente de protección de datos que respete los derechos de las personas, que dialogue con estándares internacionales y que sea aplicable a la realidad operativa de cada país”.
Los miembros de la red Compliance Latam coinciden en que el verdadero desafío no es legal, sino cultural. Entonces, ¿cuál es el rol de las firmas legales a la hora de acompañar la implementación de programas de cumplimiento?
Esteban Dávila, asociado sénior del despacho ecuatoriano Bustamante Fabara, sostiene que el rol de los despachos jurídicos debe ser estratégico, no solo normativo.
“Nuestra función es traducir la protección de datos en reputación, competitividad y confianza. Por eso, debemos enfocarnos en traducir normas en valor empresarial, impulsar el liderazgo desde la alta dirección, diseñar un programa de gobernanza de datos pragmático y promover una cultura de datos”, considera.
Desde su experiencia, Dávila cree que los estudios jurídicos deben explicar cómo la protección de datos personales no sólo mitiga riesgos legales, sino que también fortalece la reputación y confianza del mercado, genera ventajas competitivas sostenibles y alinea la gestión de datos con objetivos comerciales.
“Los estudios jurídicos debemos sensibilizar y capacitar al C-level, posicionando la privacidad como un tema estratégico. Esto implica, por ejemplo, participar en comités de gobierno corporativo, presentar análisis de impacto legal alineados con KPIs del negocio y mostrar precedentes regulatorios que evidencien la responsabilidad directa de los altos ejecutivos”, recomienda.
Salvador Bartolomé, socio del despacho español Bartolomé & Briones, coincide en que las firmas legales tienen un rol clave como facilitadores y promotores de una cultura de cumplimiento normativo y de protección de datos dentro de las organizaciones.
Para el experto, el rol de los estudios jurídicos implica tender un puente entre lo real y lo legal: “La labor de las firmas legales no solo debe limitarse al asesoramiento legal, sino que debe tener en cuenta aspectos prácticos, organizativos y estratégicos propios de cada organización, necesarios a fin de asegurar que se cumpla con la normativa vigente, facilitando la aplicación práctica de las políticas de cumplimiento y protección de datos”.
¿Por qué los datos personales ya no son un activo invisible?
En la economía digital, los datos personales son más que datos, son capital reputacional, riesgo regulatorio y ventaja competitiva.
“El compromiso de la alta dirección no es opcional, pero sigue siendo uno de los puntos más débiles del ecosistema empresarial en América Latina. Sensibilizar, formar y convencer al liderazgo ejecutivo es parte de la tarea de los equipos legales y de compliance”, refuerza Yoab Bitran.
Queda claro: si la privacidad no entra en la agenda estratégica, difícilmente logrará consolidarse como valor corporativo.
Fuente: LexLatin
El miércoles 14 de mayo se registró un nuevo avance en la tramitación del proyecto de ley que busca regular los sistemas de Inteligencia Artificial (IA) en Chile. En esta oportunidad, la Comisión de Futuro, Ciencias, Tecnología, Conocimiento e Innovación de la Cámara de Diputadas y Diputados aprobó el proyecto, permitiéndole continuar su curso legislativo.
Este proyecto establece un marco normativo para el funcionamiento de los sistemas de IA en el país, y su tramitación continúa ahora en la Comisión de Hacienda de la misma cámara. En caso de ser aprobado en esa instancia, será sometido a votación en la sala de la Cámara, y, de no haber inconvenientes u objeciones, posteriormente pasará al Segundo Trámite Constitucional en el Senado.
El desarrollo de este proyecto se enmarca en el creciente uso de tecnologías basadas en Inteligencia Artificial, cuyas implicancias —tanto positivas como negativas— ya se manifiestan en distintos ámbitos de la sociedad chilena.
El pasado 08 de octubre de 2024 el Consejo Europeo de Protección de Datos (“CEPD”) publicó unas directrices sobre el tratamiento de datos personales basado en el interés legítimo (“Directrices”).
Las Directrices examinan los criterios establecidos en el artículo 6.1.(f) del Reglamento General de Protección de Datos (“RGPD”) que los responsables del tratamiento deben cumplir para tratar datos personales cuando dicho tratamiento sea “necesario para los fines de los intereses legítimos perseguidos por el responsable del tratamiento o por un tercero”.
El artículo 6.1.(f) del RGPD es una de las seis bases legales previstas para el tratamiento legítimo de datos personales.
Por tanto, el interés legítimo no debe considerarse como una última opción para situaciones excepcionales o imprevistas en las que no aplican otras bases legales (p. ej., el consentimiento), ni seleccionarse automáticamente ni ampliarse su uso de forma indebida bajo la idea de que es menos restrictivo que otras bases legales por fundamentarse en una decisión unilateral del responsable del tratamiento.
En este sentido, el CEPD indica que para que el tratamiento de datos personales se base en el artículo 6.1.(f) del RGPD, deben cumplirse tres condiciones acumulativas:
i. La existencia de un interés legítimo por parte del responsable del tratamiento o de un tercero.
ii. La necesidad de tratar datos personales para los fines de dicho interés legítimo.
iii. Los intereses, derechos fundamentales o libertades de los interesados no prevalezcan sobre los intereses legítimos del responsable del tratamiento o de un tercero.
Para determinar si un tratamiento de datos personales puede basarse en el artículo 6.1.(f) del RGPD, los responsables del tratamiento deben realizar una evaluación detallada y documentar si se cumplen las tres condiciones acumulativas anteriormente indicadas. La evaluación debe completarse antes de llevar a cabo las operaciones de tratamiento correspondientes.
I. Existencia
No todos los intereses del responsable del tratamiento o de un tercero pueden considerarse legítimos. Solo pueden invocarse como base legal aquellos intereses que sean legales, claramente definidos y actuales.
Además, es obligación del responsable del tratamiento informar al interesado sobre los intereses legítimos que motivan dicho tratamiento.
II. Necesidad
Debe evaluarse si el interés legítimo no puede lograrse de manera razonable y efectiva a través de medios alternativos que sean menos restrictivos para los derechos y libertades fundamentales de los interesados, teniendo en cuenta también el principio de minimización de datos personales establecido en el artículo 5.1 del RGPD.
En consecuencia, si existen otros medios menos restrictivos, el tratamiento no puede basarse en el artículo 6.1.(f).
III. Prevalencia
Los intereses, derechos fundamentales o libertades del interesado no deben prevalecer sobre los intereses legítimos del responsable del tratamiento o de un tercero (relacionado con el responsable del tratamiento), lo cual implica encontrar un equilibrio entre los derechos e intereses en conflicto que depende principalmente de las circunstancias específicas del tratamiento en cuestión.
El tratamiento solo será posible si el resultado de este análisis muestra que los intereses legítimos del responsable del tratamiento o de un tercero no son anulados por los derechos y libertades del interesado.
Conclusiones
i. Cuando se pretenda basar el tratamiento en el interés legítimo, el responsable del tratamiento debe realizar una evaluación adecuada en virtud del artículo 6.1.(f) del RGPD.
ii. La evaluación para determinar la idoneidad del tratamiento basado en el interés legítimo no es una tarea sencilla, dado que exige una consideración detallada de una serie de factores que permitan realizar una ponderación entre los derechos de los interesados y el interés legítimo del responsable del tratamiento o de un tercero.
iii. Entre los factores a tener en cuenta se encuentran:
iv. Las Directrices ofrecen una orientación sobre cómo llevar a cabo una evaluación que permita a los responsables del tratamiento basar el tratamiento en el interés legítimo, incluyendo ejemplos en contextos específicos (p. ej., la prevención del fraude o el marketing).
v. Las Directrices explican la relación entre el artículo 6.1.(f) del RGPD y diversos derechos de los interesados recogidos en el reglamento.
vi. Finalmente, es importante mencionar que las Directrices han pasado por un proceso de consulta pública, permitiendo a las partes interesadas presentar sus opiniones o comentarios hasta el pasado 20 de noviembre de 2024 y, por tanto, aún pueden ser modificadas.
El pasado 05 de marzo se llevó a cabo con éxito el webinar titulado “¿Cómo podría Trump 2.0 transformar los negocios en Latinoamérica?”, organizado por Albagli Zaliasnik (AZ), Miller & Chevalier en colaboración con Compliance Latam.
Participaron como expositores Rodrigo Albagli, socio de AZ, Yoab Bitran, director de Grupo Compliance, María Lapetina, socia de la firma estadounidense Miller & Chevalier, y Facundo Galeano, asociado de la misma firma. Juntos ofrecieron una visión experta sobre los desafíos que podrían surgir en materia de compliance, regulaciones internacionales, comercio y relaciones bilaterales, en el contexto de una nueva administración estadounidense liderada por Trump.
Durante la conversación, se abordaron temas clave como el endurecimiento de políticas regulatorias, eventuales cambios en tratados comerciales, y el fortalecimiento de los mecanismos de control en las operaciones internacionales, todo lo cual impacta directamente en las estrategias de cumplimiento y gestión de riesgos de las empresas chilenas y latinoamericanas.
El evento fue una instancia valiosa para que ejecutivos, abogados y profesionales del área pudieran anticiparse a posibles escenarios y ajustar sus estrategias frente a un contexto político internacional cambiante.
El 25 de febrero de 2025, la Asamblea Legislativa aprobó la Ley de Fomento de la Inteligencia Artificial y Tecnologías (en adelante, la «Ley IA«). Su objetivo es impulsar el desarrollo, la investigación y la aplicación de la inteligencia artificial (en adelante, «IA«) en El Salvador, fomentando la innovación y asegurando su uso responsable para contribuir al avance tecnológico y el crecimiento económico del país. La Ley IA aplica a todas las personas naturales o jurídicas involucradas en la investigación, desarrollo y aplicación de la inteligencia artificial, así como a quienes recopilen, almacenen y procesen datos para estas actividades.
Principios fundamentales. Los principios claves que rigen la Ley IA son: transparencia y explicabilidad, equidad e inclusión, seguridad y privacidad, responsabilidad y rendición de cuentas, y sostenibilidad ambiental.
Creación de la Agencia Nacional de Inteligencia Artificial (ANIA). Para garantizar la correcta implementación de la Ley IA, se crea la Agencia Nacional de Inteligencia Artificial (“ANIA”), una institución autónoma adscrita a la Presidencia de la República. Sus principales funciones incluyen:
Libre Participación. Las personas naturales y jurídicas, tanto nacionales como extranjeras, tendrán la libertad de realizar directamente o participar en el desarrollo, investigación, entrenamiento e implementación de la IA y tecnologías similares en El Salvador.
Registro y Salvaguardas. Las personas o entidades que hagan uso exclusivo de datos de dominio abierto o de su propiedad en proyectos que no busquen fines comerciales o de uso público deberán inscribirse en el Registro Nacional de Desarrollo, Innovación y Aplicación de IA para poder acceder a las salvaguardas de la ley, tales como:
Si las actividades se encuentran relacionadas con funciones públicas o áreas supervisadas, deberán cumplir también con las normativas técnicas de seguridad establecidas por ACE y otras entidades competentes.
Evaluación de riesgo de la IA y tecnologías similares. La ANIA implementará un marco integral de evaluación de riesgos que equilibre la innovación tecnológica con la seguridad pública y el bienestar social. Su cumplimiento será obligatorio únicamente para sistemas que manejen datos confidenciales, reservados o personales según la legislación vigente. Este marco será flexible para adaptarse a nuevos estándares y clasificaciones internacionales de seguridad.
Responsabilidad en el ciclo de vida de la IA o tecnologías similares. Las partes involucradas en el ciclo de vida de la IA, incluyendo desarrolladores, implementadores, proveedores de servicios y usuarios finales, deberán asumir la responsabilidad correspondiente a su rol para garantizar un uso ético y seguro de estos sistemas. Los desarrolladores deberán diseñar soluciones que cumplan con los estándares técnicos y éticos establecidos. Por su parte, los implementadores serán responsables de su correcta aplicación y del cumplimiento de las normas de seguridad. En el caso de los proveedores de servicios, deberán garantizar una infraestructura segura, y los usuarios finales deberán emplear los sistemas de IA de manera responsable, respetando su propósito y alcance.
Decisiones Automatizadas y Derecho a Impugnación. Cuando se utilice la IA comercialmente o para acceder a derechos o servicios dentro de la república, se estará en la obligación de informar al usuario de sí, la decisión fue adoptada directamente por la IA o fue impulsada por esta. Además, se establecerán mecanismos para que los ciudadanos puedan impugnar dichas decisiones ante una persona natural competente, quien podrá confirmar, modificar o revocar la resolución.
Protección de Datos Personales y Seguridad. El uso de datos personales en el desarrollo de IA deberá cumplir con la Ley de Protección de Datos Personales y con las normativas de seguridad emitidas por la ANIA y ACE.
Protección de la propiedad intelectual en el desarrollo de IA. La propiedad intelectual de la IA, incluidas patentes, derechos de autor y secretos industriales, pertenece exclusivamente a su creador. En proyectos colaborativos, los derechos deben definirse mediante acuerdos previos. Los algoritmos, bases de datos y sistemas de IA desarrollados en el país están protegidos por la ley, prohibiéndose su uso o divulgación sin autorización del propietario.
Libre Competencia y Desarrollo de IA de Código Abierto. Se prohíbe la imposición de restricciones arbitrarias en el desarrollo de IA de código abierto; igualmente, se fomentará la participación internacional en proyectos de IA, garantizando la colaboración y el acceso a innovaciones tecnológicas.
Este decreto está sujeto a posibles modificaciones antes de su publicación en el Diario Oficial. La Ley IA entrará en vigencia ocho días después de su publicación en el Diario Oficial.