Clase 10 · Protección de datos y secreto bancario

← 09 · Reclamos y resolución de conflictos · Índice de la parte · 11 · Disciplina de mercado: Pilar 3 →

Parte 12 — Regulación, cumplimiento y auditoría · Nivel: Profesional — perfil bancario · Duración: 90 minutos

🎯 Propósito

Gestionar la información de los clientes cumpliendo obligaciones que a veces se contradicen: el secreto bancario protege el dato, la prevención de lavado obliga a reportarlo, la protección de datos concede derechos al titular y la conservación normativa impide borrarlo. Esta clase ordena ese conjunto.

Esta clase trata dos regímenes que se solapan y no coinciden: el secreto bancario, que es antiguo y protege la relación, y la protección de datos, que es reciente y protege a la persona. Cumplir uno no implica cumplir el otro, y sus excepciones son distintas.

📚 Objetivos

Al finalizar podrás:

1. Distinguir secreto bancario, protección de datos y reserva de información.
2. Aplicar las bases de licitud del tratamiento de datos personales.
3. Gestionar los derechos del titular y sus límites.
4. Resolver conflictos entre obligaciones concurrentes.
5. Diseñar el proceso de notificación de una brecha de datos.

Agenda de 90 minutos

La clase dura noventa minutos y se recorre en cinco tramos. No es un horario rígido: es el orden en que los bloques de esta página se sostienen unos a otros, y por eso conviene respetarlo aunque cambien los tiempos.

Los diez primeros minutos se dedican a recuperar la clase anterior, porque casi todo lo que aquí se explica supone algo que ya se vio. Los veinticinco siguientes desarrollan los conceptos con la fuente oficial a la vista: las referencias del final de la página no son un adorno bibliográfico, se consultan mientras se estudia. Del minuto 35 al 55 se resuelve el ejemplo guiado paso a paso, sin saltarse ninguno, porque el error típico vive precisamente en el paso que parece obvio. Los veinticinco minutos siguientes son de práctica con datos propios o sintéticos —nunca reales de terceros—, que es cuando se comprueba si se entendió. Los diez últimos cierran con las preguntas de comprobación y el registro del entregable.

Si el tiempo aprieta, lo que se recorta es la práctica y se traslada al laboratorio de la parte; lo que no se recorta nunca es el ejemplo guiado.

🧩 Conceptos centrales

Los tres primeros términos son los regímenes y las categorías de dato; los cinco siguientes, las bases y los roles. La base de licitud es el concepto operativo: sin una base válida no se puede tratar un dato, y el consentimiento es solo una de varias y no siempre la mejor.

🧠 Modelo mental

El modelo mental son tres círculos que se cruzan: secreto bancario, protección de datos y obligaciones de reporte. Una misma información puede estar protegida por uno, no por otro y ser de entrega obligatoria por el tercero, y hay que saber cuál manda en cada caso.

CUATRO OBLIGACIONES SOBRE EL MISMO DATO

  SECRETO BANCARIO        no lo reveles
  PREVENCIÓN DE LAVADO    repórtalo a la autoridad
  PROTECCIÓN DE DATOS     el titular tiene derechos sobre él
  CONSERVACIÓN            no lo borres durante N años

  no se contradicen si se entiende la jerarquía:
  las obligaciones legales de reporte y conservación
  son EXCEPCIONES previstas al secreto y a los derechos

  el conflicto aparente casi siempre se resuelve
  identificando la base legal aplicable

📖 Desarrollo

1. Tres regímenes distintos

Los tres regímenes protegen cosas distintas y sus excepciones no coinciden. La tabla los separa.

Los tres regimenes se superponen sobre un mismo cliente, y el caso de la empresa muestra que no coinciden.

UNA EMPRESA NO TIENE DATOS PERSONALES
  pero sí está protegida por el secreto bancario
  y sus representantes, apoderados y beneficiarios finales
  SÍ son personas naturales con datos personales

2. Bases de licitud

Cada base de licitud da al titular derechos distintos. La tabla las recoge.

UN TRATAMIENTO SIN BASE DE LICITUD ES ILÍCITO,
POR ÚTIL O BIENINTENCIONADO QUE SEA

  1. CONSENTIMIENTO         libre, informado, específico, revocable
  2. EJECUCIÓN DE CONTRATO  necesario para el contrato con el titular
  3. OBLIGACIÓN LEGAL       reporte normativo, conservación
  4. INTERÉS VITAL          protección de la vida
  5. INTERÉS PÚBLICO        cuando la norma lo prevé
  6. INTERÉS LEGÍTIMO       del responsable, si prevalece sobre
                            los derechos del titular (exige ponderación)

El error más común es apoyarse en el consentimiento cuando existe una base mejor. Si el tratamiento es necesario para el contrato, pedir consentimiento crea un derecho de revocación que el banco no puede honrar sin incumplir el contrato: la base correcta era el contrato.

3. Derechos del titular y sus límites

Los derechos existen y tienen límites, algunos por obligaciones del propio banco. La tabla los recoge.

De todos esos limites hay uno que no admite matices y que obliga a responder con especial cuidado.

EL LÍMITE MÁS IMPORTANTE
  el derecho de acceso NO alcanza a la información
  sobre un reporte de operación sospechosa

  revelarlo constituiría soplo (Parte 12, clase 3)
  → la solicitud se responde sin incluir esa información,
    con el fundamento normativo, y sin negar ni confirmar
    su existencia

4. Encargados y transferencias

Compartir datos con proveedores y con otros países tiene requisitos propios. La tabla los recoge.

CUANDO UN TERCERO TRATA DATOS POR CUENTA DEL BANCO
  · debe existir un contrato que fije finalidad, alcance,
    medidas de seguridad, subencargados y devolución o borrado
  · el banco sigue siendo RESPONSABLE ante el titular
  · el banco debe poder auditar al encargado

TRANSFERENCIA INTERNACIONAL
  · exige que el país de destino tenga protección adecuada,
    o mecanismos contractuales que la garanticen
  · el uso de un proveedor de nube con centros de datos
    en el exterior es una transferencia internacional,
    aunque no se perciba como tal

5. Brechas de datos

Una brecha activa obligaciones de notificación con plazos muy cortos. Los pasos siguientes las recogen.

PROCESO
  1. DETECCIÓN          identificar y contener
  2. EVALUACIÓN         ¿qué datos, cuántos titulares, qué riesgo?
  3. NOTIFICACIÓN A LA AUTORIDAD
                        plazo corto (frecuentemente 72 horas)
  4. NOTIFICACIÓN A LOS TITULARES
                        si el riesgo para sus derechos es alto
  5. REGISTRO           todas las brechas, se notifiquen o no
  6. REMEDIACIÓN        y lecciones aprendidas

El contenido de la notificación importa menos que el momento, y sobre el momento hay un malentendido frecuente.

EL PLAZO CORRE DESDE EL CONOCIMIENTO, NO DESDE LA RESOLUCIÓN
  no se espera a tener el diagnóstico completo:
  se notifica con lo que se sabe y se complementa después

🧮 Ejemplo guiado

El ejemplo determina qué régimen aplica a una solicitud de información concreta. Conviene comprobar los tres: la respuesta cambia según cuál se invoque.

Situación. El banco enfrenta tres solicitudes y un incidente en la misma semana.

CASO 1
  Un cliente solicita acceso a todos sus datos y la supresión
  de su historial de operaciones. Cerró sus productos hace 8 meses.

CASO 2
  Una empresa solicita que el banco entregue a su casa matriz
  extranjera la información de las cuentas de sus 340 empleados,
  a quienes paga la remuneración por ese banco.

CASO 3
  Un cliente solicita saber si fue reportado a la autoridad
  por una operación que el banco le pidió justificar.

CASO 4
  Un proveedor de análisis de datos sufre una intrusión.
  Tenía, para un proyecto de segmentación, un conjunto con
  184 000 registros: identificador interno, edad, comuna,
  productos contratados y monto de ingreso estimado.

Paso 1 — resuelve el Caso 1: acceso y supresión.

ACCESO
  procede: se entrega la información de los datos tratados,
  sus finalidades, destinatarios y plazo de conservación

SUPRESIÓN
  NO procede respecto de:
    · expediente de identificación del cliente
      → conservación obligatoria (5-10 años según norma)
    · registro de operaciones
      → conservación obligatoria
    · información asociada a análisis de prevención de lavado
      → conservación obligatoria y reserva

  SÍ procede respecto de:
    · datos tratados con base en consentimiento para marketing
    · datos que ya no son necesarios para ninguna finalidad
      ni obligación

RESPUESTA
  se entrega el acceso completo, se ejecuta la supresión parcial
  y se explica al cliente qué datos se conservan, por cuánto tiempo
  y con qué fundamento normativo

Paso 2 — resuelve el Caso 2: solicitud de un tercero.

QUIÉN ES EL TITULAR
  las cuentas son de los 340 empleados, personas naturales
  la empresa NO es titular de esos datos ni de esas cuentas

QUÉ PROTEGE
  · secreto bancario: la relación es con cada empleado
  · protección de datos: los titulares son los empleados

BASE DE LICITUD PARA ENTREGARLO
  ¿contrato? el contrato del banco es con cada empleado, no con la empresa
  ¿obligación legal? no existe
  ¿interés legítimo? el de la empresa no habilita al banco
  ¿consentimiento? sería de cada uno de los 340 empleados,
                   libre e informado, y en una relación laboral
                   la libertad del consentimiento es cuestionable

DECISIÓN: NO se entrega
  se explica a la empresa el fundamento
  se le indica que puede solicitar a sus empleados
  la información que necesite, directamente

Paso 3 — resuelve el Caso 3: solicitud sobre un reporte.

la información sobre reportes de operación sospechosa
está excluida del derecho de acceso

y confirmar o negar su existencia constituiría soplo

RESPUESTA
  se entrega el acceso a los datos personales tratados
  se indica que existe información excluida del derecho de acceso
  por disposición legal, citando la norma
  NO se confirma ni se niega la existencia de un reporte

este tipo de respuesta debe estar redactada de antemano
y ser IDÉNTICA para todos los casos:
  si la respuesta difiere entre quienes fueron reportados
  y quienes no, la diferencia misma revela la información

Paso 4 — evalúa el Caso 4: ¿es una brecha notificable?

¿SON DATOS PERSONALES?
  el conjunto tiene identificador interno, no nombre
  pero incluye edad, comuna, productos y monto de ingreso

  ¿es reidentificable?
    edad + comuna + combinación de productos + ingreso
    en comunas pequeñas, la combinación es única
    → SÍ es dato personal (seudonimizado, no anonimizado)

¿HAY DATOS SENSIBLES?
  no en sentido estricto
  pero el monto de ingreso y los productos contratados
  son datos financieros con protección reforzada
  en la mayoría de las normativas

Paso 5 — evalúa el riesgo para los titulares.

RIESGOS PROBABLES
  · uso para fraude dirigido: conocer productos e ingreso
    permite construir una suplantación creíble
  · discriminación: uso del ingreso estimado por terceros
  · reidentificación en comunas de baja densidad

184 000 titulares afectados
RIESGO EVALUADO: ALTO
→ notificación a la autoridad Y a los titulares

Paso 6 — ejecuta la notificación.

A LA AUTORIDAD (plazo: 72 horas desde el conocimiento)
  qué ocurrió, cuándo, categorías de datos, número de afectados,
  consecuencias probables, medidas adoptadas, punto de contacto
  → se notifica aunque la investigación esté en curso

A LOS TITULARES
  comunicación directa, en lenguaje claro
  qué datos suyos estuvieron comprometidos
  qué riesgos concretos corren (fraude dirigido)
  qué deben hacer: desconfiar de contactos que mencionen
  sus productos, no entregar claves, canal de contacto del banco
  qué hace el banco: monitoreo reforzado de sus cuentas

Paso 7 — extrae la lección de gobierno.

PREGUNTAS QUE EL INCIDENTE OBLIGA A RESPONDER

1. ¿por qué el proveedor tenía 184 000 registros
   para un proyecto de segmentación?
   → una muestra estratificada de 8 000 habría bastado
   → FALLA DE MINIMIZACIÓN

2. ¿por qué el conjunto era reidentificable?
   → agrupar edad en tramos, comuna en región
     y monto en tramos habría preservado la utilidad analítica
   → FALLA DE ANONIMIZACIÓN

3. ¿el contrato con el proveedor exigía notificación inmediata?
   → sí, y se cumplió

4. ¿había derecho de auditoría y se ejerció?
   → sí lo había; nunca se ejerció

CONTROLES A IMPLANTAR
  · aprobación de cesión de datos a terceros con evaluación
    de minimización obligatoria
  · técnica de anonimización o seudonimización verificada
    por un tercero antes de cada cesión
  · calendario de ejercicio del derecho de auditoría
  · registro de todas las cesiones vigentes y su vencimiento

Interpreta: los tres primeros casos se resolvieron identificando quién es el titular y cuál es la base de licitud: con esas dos preguntas, un conflicto aparentemente complejo se vuelve determinado. El cuarto mostró que la falla no estuvo en el proveedor sino en la decisión previa: entregar 184 000 registros reidentificables cuando bastaban 8 000 agregados. La protección de datos empieza en cuántos datos se recogen y se ceden, no en cómo se protegen después.

🏦 Del cliente al banco

El cliente ejerce un derecho y el banco comprueba qué régimen aplica y qué obligaciones propias lo limitan. La tabla enfrenta las dos lecturas.

🧪 Práctica

El laboratorio pide resolver cinco solicitudes de información con los tres regímenes. Dos de ellas se resuelven distinto según el régimen que aplique.

En labs/lab-05.md, sección de datos:

1. Asigna la base de licitud a diez tratamientos bancarios.
2. Resuelve cinco solicitudes de derechos con sus límites y fundamento.
3. Evalúa si un conjunto de datos es reidentificable y propón su anonimización.
4. Redacta la notificación de una brecha a la autoridad y a los titulares.

⚠️ Errores frecuentes

Los síntomas de la tabla describen entregas o negativas indebidas de información. La causa es haber aplicado el régimen equivocado.

❓ Preguntas de comprobación

1. ¿Por qué una empresa está protegida por el secreto bancario y no por la protección de datos?
2. ¿Por qué apoyarse en el consentimiento cuando existe otra base es un error?
3. ¿Por qué la respuesta a una solicitud sobre un reporte debe ser idéntica en todos los casos?
4. ¿Cuándo un conjunto sin nombres sigue siendo dato personal?
5. ¿Desde qué momento corre el plazo de notificación de una brecha?

📥 Entregable

Guarda en portfolio/parte-12/clase-10/:

• las bases de licitud asignadas a diez tratamientos;
• las cinco solicitudes resueltas con su fundamento;
• la evaluación de reidentificación y la propuesta de anonimización;
• las dos notificaciones de brecha redactadas.

🔐 Seguridad, ética y límites

Trabaja siempre con datos sintéticos o propios: nunca uses datos reales de terceros, números de cuenta, documentos de identidad ni antecedentes crediticios ajenos. Este material es formativo y no constituye asesoría financiera, tributaria ni legal; las tasas, comisiones, límites y normas citados cambian y deben verificarse en la fuente oficial vigente del país donde se aplique. Cuando un cálculo alimente una decisión que afecte a otra persona, registra los supuestos y quién los aprobó.

📗 Fuentes y verificación

• OECD (2013). OECD Privacy Guidelines (revisión de las Directrices sobre protección de la privacidad y flujos transfronterizos de datos personales). OECD. https://www.oecd.org/digital/privacy/
• Unión Europea (2016). Reglamento General de Protección de Datos (UE) 2016/679. Bases de licitud, derechos y notificación de brechas.
• Financial Action Task Force (2021). Stocktake on Data Pooling, Collaborative Analytics and Data Protection. FATF. Tensión entre compartir datos para prevenir delitos y proteger al titular.
• Basel Committee on Banking Supervision (2020). Sound management of risks related to money laundering and financing of terrorism, sección sobre intercambio de información. BIS.
• NIST (2015). NISTIR 8053: De-Identification of Personal Information. NIST. Técnicas de anonimización y sus límites reales. https://csrc.nist.gov/publications/detail/nistir/8053/final
• Verificación local: revisa la ley de protección de datos de tu país, la norma sobre secreto bancario, sus excepciones, los plazos de conservación y el régimen de notificación de brechas.