Protección de datos personales

Qué es

La protección de datos personales es el conjunto de reglas que gobierna quién puede tratar información sobre una persona identificada o identificable, para qué, por cuánto tiempo y bajo qué controles. No es un derecho de propiedad sobre los datos —nadie "es dueño" de su nombre— sino un derecho de control sobre su circulación, que en la doctrina alemana clásica se llamó autodeterminación informativa y que el Tribunal Constitucional Federal alemán consagró en 1983 al anular parcialmente la ley del censo.

Su núcleo económico es viejo y bien conocido: la información personal es un bien no rival y de costo marginal de reproducción casi nulo, así que quien la obtiene puede replicarla y venderla indefinidamente sin dejar de tenerla. Eso produce dos fallas de mercado que interesan a un economista. La primera es una asimetría de información en el sentido de Akerlof (1970): el titular no puede observar la calidad del cuidado que la empresa dará a sus datos, así que no puede pagar más por el proveedor cuidadoso, y el mercado tiende al proveedor descuidado. La segunda es una externalidad: la filtración de una base de datos impone costos sobre miles de personas que no fueron parte del contrato de recolección, un caso de manual de aquello que Coase (1960) analizó como daño recíproco cuya asignación depende de los costos de transacción —y aquí los costos de negociar individualmente con cada titular son prohibitivos, que es justamente el argumento para asignar el derecho por ley en vez de por contrato.

La literatura económica moderna sobre el tema arranca con Stigler (1980) y Posner (1981), que veían la privacidad con desconfianza: ocultar información sobre uno mismo, argumentaban, permite comportamientos oportunistas y encarece los contratos. La revisión posterior de Acquisti, Taylor y Wagman (2016) mostró que el efecto neto es ambiguo y depende del uso: los datos que permiten personalizar un servicio generan excedente, mientras los que permiten discriminación de precios perfecta lo transfieren al vendedor. De ahí que ninguna legislación seria prohíba el tratamiento: lo condiciona.

Los principios operativos se conocen en América Latina por la sigla ARCO —acceso, rectificación, cancelación y oposición—, los cuatro derechos que el titular puede ejercer frente a quien trata sus datos, a los que las normas más recientes suman portabilidad y límites al tratamiento automatizado. Alrededor de ellos operan reglas de finalidad (los datos se usan para lo que se declaró al pedirlos), proporcionalidad (no se pide más de lo necesario), seguridad, y una categoría reforzada de datos sensibles —salud, origen étnico, biometría, orientación sexual, afiliación política o sindical— cuyo tratamiento requiere consentimiento explícito porque su filtración habilita discriminación directa.

El diseño institucional importa tanto como el catálogo de derechos. Una ley de datos sin autoridad de control es una ley que solo pueden hacer valer quienes pueden pagar un juicio; con agencia, el cumplimiento se vuelve administrativo, con fiscalización de oficio y multas graduadas. Ese es el modelo del Reglamento General de Protección de Datos europeo (2016/679), la referencia que las leyes latinoamericanas de la última década han seguido con más o menos fidelidad. Y ahí aparece el problema que interesa aquí: la ley crea la obligación en una fecha, pero la capacidad estatal para hacerla exigible se construye después, y el desfase entre ambas cosas no es un detalle administrativo, es la diferencia entre un régimen que funciona y uno que solo genera costos de cumplimiento sin dar protección.

Cómo lo explicó el programa

El 2 de septiembre de 2026, en Buenas Tardes Mercado, el panel discutió la entrada en vigencia de la ley 21.719, que reemplaza la norma chilena de 1999 y alinea al país con los principios ARCO. El punto del programa no fue la sustancia de la ley sino su implementación: en los dos años de vacancia legal, el Estado no creó la agencia de protección de datos ni dictó los reglamentos que la propia ley le mandató, de modo que la obligación empieza a regir sobre empresas y organismos públicos sin la contraparte institucional que debía interpretarla y fiscalizarla.

De ahí la conclusión de Pepe Arias, que resume el argumento entero: "es más razonable posponerlo que partir mal". La lógica es la de cualquier regulación con costos de cumplimiento altos y hundidos: si el regulado debe invertir en sistemas, contratos y procesos sin saber todavía cómo el fiscalizador leerá la norma, invierte mal, y corregir después cuesta más que haber esperado. Un año de postergación tiene un costo —los titulares siguen sin protección efectiva ese año— pero se compara contra el riesgo de un régimen que nace desacreditado por inaplicable.

Relación con otros conceptos

Este tema es un caso particular de falla de mercado por información asimétrica, y su remedio típico —obligaciones de transparencia y consentimiento informado— es el mismo que se usa en etiquetado de alimentos o en información financiera al consumidor. Como toda regulación, genera costos de cumplimiento que actúan como costo fijo y por lo tanto pesan proporcionalmente más sobre empresas pequeñas, con el consiguiente efecto sobre las barreras de entrada y la concentración del mercado. El punto del programa conecta además con la capacidad estatal y con lo que la literatura de regulación llama la brecha entre norma y enforcement: una ley que no puede fiscalizarse cumple una función expresiva, no económica. Finalmente, se cruza con la discusión sobre economía de plataformas, donde los datos personales son a la vez insumo productivo y fuente de poder de mercado, y con los derechos de propiedad en el sentido de Coase: definirlos con claridad es condición para que exista intercambio eficiente.

Fuentes y lecturas

• Akerlof, G. (1970), The Market for "Lemons": Quality Uncertainty and the Market Mechanism, Quarterly Journal of Economics 84(3).
• Coase, R. (1960), The Problem of Social Cost, Journal of Law and Economics 3.
• Posner, R. (1981), The Economics of Privacy, American Economic Review 71(2).
• Acquisti, A., Taylor, C. y Wagman, L. (2016), The Economics of Privacy, Journal of Economic Literature 54(2).
• Parlamento Europeo y Consejo (2016), Reglamento (UE) 2016/679, General Data Protection Regulation.