Camila atiende a clientes en una tienda online de ropa en Santiago. El primer lunes de diciembre abre la bandeja y encuentra ciento cuarenta correos que dicen, con distintas palabras, lo mismo: «borren mis datos», «no me manden más ofertas», «quiero saber qué tienen de mí». Una noticia sobre la nueva ley circuló el fin de semana. Camila piensa en pegar todos los correos en un chat de IA para que los clasifique.
Una persona que pide borrar sus datos es un trámite. Ciento cuarenta, con plazo, es una operación.
Lo que cambia en una tienda: el volumen
Toda empresa tiene que responder a las personas que ejercen sus derechos. Lo distinto en el comercio es la escala: una tienda trata datos de miles de clientes, muchos con una sola compra, y la mayoría recibe correos de ofertas. Es el escenario donde más solicitudes llegan, y llegan en olas.
La Ley 21.719 le da a cada persona derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo (artículo 4°). Las que más le van a llegar a Camila son dos:
- Supresión (artículo 7°): borrar los datos, en casos como que ya no sean necesarios para el fin con que se recogieron, que la persona haya revocado su consentimiento y no exista otro fundamento legal, o que haya ejercido su oposición.
- Oposición (artículo 8°): que la tienda deje de hacer un tratamiento determinado. Uno de sus casos es el más común en el comercio: oponerse al tratamiento que se hace exclusivamente con fines de marketing directo.
No son lo mismo, y conviene no tratarlas igual. Quien escribe «no me manden más ofertas» se opone a un uso; no necesariamente pidió que lo borren de todo. Y la supresión tiene límites: no procede cuando el tratamiento es necesario, entre otras causas, para cumplir una obligación legal o ejecutar un contrato con la persona (artículo 7°). Si una obligación legal le exige a la tienda conservar los datos de una compra, esos no se borran porque el cliente lo pida.
Ejemplo. «Borren mis datos, no quiero más correos» pide dos cosas. La tienda puede dejar de mandarle publicidad y borrar lo que sólo servía para eso, y explicarle que conserva lo que una obligación legal le exige guardar sobre su compra.
Los plazos del artículo 11
El artículo 11 fija el procedimiento, y con volumen sus plazos mandan:
- La persona presenta su solicitud por escrito, al correo, formulario o medio electrónico que la tienda haya dispuesto.
- La tienda debe acusar recibo y pronunciarse a más tardar dentro de treinta días corridos desde que ingresó la solicitud. Puede prorrogar ese plazo una sola vez, hasta por otros treinta.
- Debe responder por escrito y guardar los respaldos que le permitan demostrar que respondió: a qué dirección, en qué fecha y con qué contenido íntegro.
- Si rechaza la solicitud, total o parcialmente, debe fundarlo y avisarle a la persona que tiene treinta días hábiles para reclamar ante la Agencia de Protección de Datos Personales.
Hay un plazo más corto que suele pasar inadvertido. Cuando alguien pide supresión, rectificación u oposición, puede pedir además el bloqueo temporal de sus datos mientras se resuelve. Esa solicitud debe ser fundada, y la tienda tiene que responderla dentro de dos días hábiles; mientras no la resuelva, no puede tratar los datos que forman parte del requerimiento (artículo 11). Con ciento cuarenta correos, separar los que piden bloqueo es lo primero.
Y la ley pide que todo esto sea fácil para la persona: medios sencillos, expeditos y eficaces, y sin costo para la rectificación, la supresión y la oposición (artículo 10). Responder fuera de plazo o de forma incompleta es una infracción leve (artículo 34 bis, letra c); impedir u obstaculizar el ejercicio de estos derechos, una grave (artículo 34 ter, letra e). Lo general de los derechos está en los derechos de una persona sobre sus datos.
Usar IA para ordenar la bandeja
La IA sirve mucho aquí: para clasificar las solicitudes por tipo y para redactar plantillas de respuesta. Lo que no necesita es saber quién pidió qué.
Ejemplo. Camila no pega los ciento cuarenta correos con sus firmas. Le pide a la IA: «Dame cinco plantillas de respuesta a solicitudes de clientes de una tienda online: supresión completa, oposición a publicidad, supresión con datos que debemos conservar por obligación legal, solicitud de acceso, y rechazo fundado con aviso del plazo para reclamar ante la Agencia». Para clasificar, le pasa el texto de cada correo sin la firma ni el correo de quien lo envió.
Es la proporcionalidad de la ley: sólo los datos necesarios para el fin (artículo 3°, letra c). Y hay una razón práctica más: si alguien pegó la base de clientes en un chat de IA gratuito, la tienda ni siquiera sabe qué quedó ahí, y menos puede borrarlo cuando un cliente lo pida. El artículo 11 obliga además a comunicar la supresión u oposición a quienes la tienda les haya comunicado esos datos. Lo vemos en la base de clientes de una tienda online en un chat de IA.
Dónde ayuda Plumii
En Plumii, la regla de la tienda tapa nombres, RUT, correos, teléfonos y direcciones antes de que el mensaje llegue al modelo, así que si Camila pega un correo con su firma, el modelo recibe «{NAME}» y no el nombre del cliente. El filtro reconoce los datos por el contexto, y uno raro o mal escrito puede pasar: sacar la firma antes sigue siendo buena costumbre. Plumii trabaja como encargado bajo contrato, y queda un registro de uso, sin las conversaciones, con qué datos traía cada mensaje y qué regla se aplicó, para poder mostrar cómo la tienda usa la IA si un cliente o la Agencia pregunta. Más en atención a clientes.
Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.