Deber de diligencia en el resguardo de datos

Qué es

El deber de diligencia en el resguardo de datos es un estándar de conducta: la ley no exige un resultado (que nunca haya una filtración), sino un nivel de cuidado —medidas técnicas y organizativas razonables, documentadas y auditables— cuyo incumplimiento se sanciona aunque el daño lo haya causado un tercero. Es la diferencia, clásica en el análisis económico del derecho, entre responsabilidad por culpa y responsabilidad estricta: bajo la primera uno responde solo si actuó por debajo del cuidado debido; bajo la segunda responde siempre (Shavell, 1980). El resguardo de datos toma un camino intermedio y por eso confunde: la empresa robada puede ser sancionada, pero lo que se sanciona no es el robo, es la falta de diligencia que lo hizo posible.

Que el sancionado sea la víctima aparente tiene una lógica económica precisa. Los datos personales están en poder de una empresa, pero el costo de una filtración lo pagan sus clientes: suplantación de identidad, fraude, molestias. Es una externalidad negativa en el sentido de Coase (1960): quien decide cuánto invertir en seguridad no es quien sufre la mayor parte del daño, y por lo tanto invierte menos de lo socialmente óptimo. Calabresi (1970) formuló el criterio de asignación: la responsabilidad debe recaer en el least cost avoider, el que puede evitar el accidente al menor costo. El titular de los datos no puede cifrar la base de datos de la empresa a la que se los entregó; la empresa sí. La multa a la empresa robada no es un castigo por haber sido robada: es el mecanismo que internaliza el costo que de otro modo se traslada a terceros.

La segunda pieza —"no basta no hacer mal uso, hay que demostrar diligencia"— resuelve un problema de riesgo moral con esfuerzo inobservable. Holmström (1979) mostró que cuando el principal no puede ver el esfuerzo del agente, el contrato óptimo se ancla en señales observables correlacionadas con ese esfuerzo. El regulador no puede observar cuánto se cuidó una empresa; sí puede observar si tiene registro de actividades de tratamiento, evaluaciones de impacto, control de accesos y protocolos de respuesta. La carga de la prueba invertida convierte un esfuerzo invisible en un expediente verificable. Es también la respuesta al problema de los "limones" (Akerlof, 1970) aplicado a la seguridad informática: como la calidad del resguardo es inobservable antes del incidente, el mercado no paga premio por ser cuidadoso y todos convergen al mínimo (Anderson y Moore, 2006).

El tamaño de las multas obedece a Becker (1968): la sanción esperada es la probabilidad de ser detectado y sancionado multiplicada por la magnitud de la multa. Como la probabilidad de detección de una mala práctica de datos es baja, la magnitud tiene que ser alta para que el cálculo del infractor no le dé negativo. De ahí los topes expresados como porcentaje de las ventas —el diseño del RGPD europeo, que llega al 4% de la facturación anual global— en vez de montos fijos: una multa fija disuade a la empresa chica y es un costo de operación para la grande.

El problema, y es real, aparece en el otro extremo de la distribución. El costo de cumplimiento tiene un componente fijo grande: entender la norma, levantar procesos, contratar asesoría. Ese costo fijo se prorratea entre las ventas, así que pesa mucho más sobre la empresa pequeña, que además enfrenta incertidumbre sobre qué exactamente se le exige —una cosa distinta del riesgo, porque ni siquiera se puede poner probabilidad al resultado—. Stigler (1971) advirtió el efecto de segundo orden: una regulación costosa de cumplir opera como barrera a la entrada y termina favoreciendo a los incumbentes, aunque no haya sido esa la intención. Y si el tope se fija en un porcentaje de las ventas, en sectores de margen delgado como el comercio minorista —donde el margen sobre ventas se mide en pocos puntos— un 4% de las ventas puede exceder la utilidad completa de un año.

Cómo lo explicó el programa

En Buenas Tardes Mercado del 2 de septiembre de 2026 (btm-2026-09-02), en el tema "Multas de hasta 4 millones de dólares y el deber de diligencia", el panel discutió justamente esta arquitectura: el estándar de la ley no es solo no hacer mal uso de los datos, sino poder demostrar diligencia en su resguardo, de modo que a la empresa robada también se la multa. Pepe Arias puso el número sobre la mesa: "la multa máxima que está en esta ley es de 60.000 UTM", junto con topes expresados entre 2% y 4% de las ventas.

El punto que el programa subrayó no fue la cifra sino su asimetría: para la empresa grande el cumplimiento es una línea de presupuesto; para la empresa chica, que muchas veces no sabe qué se espera de ella, el costo de cumplimiento se vuelve existencial. Es la traducción práctica del argumento de Stigler y del costo fijo regresivo.

Relación con otros conceptos

Este deber es un caso particular de internalización de externalidades: la multa cumple el papel de un impuesto pigouviano sobre una actividad cuyo daño recae en terceros. Se apoya en la información asimétrica —el regulador no ve el esfuerzo, el cliente no ve la seguridad— y por eso adopta la forma de un problema de agencia resuelto con señales verificables. Su magnitud responde a la teoría de la disuasión óptima, y su efecto sobre la estructura de mercado conecta con barreras a la entrada y con la economía de la regulación. Que los topes se expresen en UTM y no en pesos es, además, un ejemplo de indexación: la unidad reajustable protege el valor real de la sanción frente a la inflación, igual que en tantos otros contratos chilenos.

Fuentes y lecturas

• Becker, G. (1968), "Crime and Punishment: An Economic Approach", Journal of Political Economy, 76(2).
• Calabresi, G. (1970), The Costs of Accidents: A Legal and Economic Analysis, Yale University Press.
• Holmström, B. (1979), "Moral Hazard and Observability", The Bell Journal of Economics, 10(1).
• Shavell, S. (1987), Economic Analysis of Accident Law, Harvard University Press.
• Anderson, R. y Moore, T. (2006), "The Economics of Information Security", Science, 314(5799).
• Ley 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales (2024), Diario Oficial de la República de Chile.