Corte Suprema establece límites para el tramitamiento de datos biométricos de menores de edad

Al igual que en varios países, Worldcoin, ha generado controversia en Chile por recopilar datos biométricos del iris a cambio de dinero mediante su criptomoneda. Aunque la transacción es voluntaria, ha sido fuertemente cuestionada por la falta de medidas adecuadas para proteger los derechos de los titulares de datos personales, y por la obtención de datos de menores de edad sin autorización de sus padres o tutores, sin adoptar resguardos adicionales. 

Solo en Chile se habrían escaneado los iris de más de 700.000 personas.

Las sentencias

Recientemente, la Corte Suprema dictó dos sentencias contra Worldcoin SpA, ambas en el contexto de recursos de protección presentados en favor de menores de edad cuyos datos biométricos fueron recolectados sin el consentimiento de sus representantes legales.

El primer caso (Rol N°18566-2024), la Corte Suprema determinó que el consentimiento nunca se había perfeccionado, ya que, conforme a la Ley N° 21.430, el tratamiento de datos personales de menores debe realizarse con una información clara y en un lenguaje que ellos puedan comprender, de manera que puedan aquilatar la envergadura de aquello a lo que están accediendo, lo que no se habría cumplido con la información provista a la menor. Asimismo, la Corte Suprema revocó el fallo de la Corte de Apelaciones al considerar que la recurrida no acreditó de manera suficiente la eliminación de los datos, estimando insuficiente el certificado “unilateral” acompañado por ésta y señalando que el borrado de la información debiera demostrarse mediante los estándares de la norma ISO 27001, por lo que ordenó a Worldcoin SpA eliminar definitivamente los datos biométricos de la menor y dar cuenta de ello con información fidedigna.

El segundo caso (Rol N°35760-2024), la Corte Suprema también revocó el fallo de la Corte de Apelaciones, que no había tenido por acreditada la ocurrencia del hecho, la presentación de la acción dentro de plazo ni la permanencia de los hechos en el tiempo. Así, el máximo tribunal determinó que la empresa no verificó la edad de los usuarios ni obtuvo consentimiento válido al no haber informado al menor sobre la envergadura de aquello a lo que accedía y por no haberse otorgado el consentimiento por parte de sus padres o representantes legales, lo que vulneró los derechos fundamentales del menor. En consecuencia, ordenó la eliminación definitiva y comprobable de los datos biométricos del menor, también bajo los estándares de la ISO 27001.

Cuestiones jurídicas relevantes

Las sentencias de la Corte Suprema reafirman que los datos biométricos de menores requieren una protección reforzada, y que el consentimiento sobre este tipo de datos debe ser comprobable, no siendo válido si no se informan suficientemente los usos, riesgos y envergadura de la información que se entrega.

Otro punto clave de los fallos es la determinación de responsabilidad en el tratamiento de datos, puesto que se rechazó la alegación de falta de legitimación pasiva de la recurrida, que indicó que solo suministraba los datos a Worldcoin en el extranjero sin acceder a la información. Al respecto, la Corte sostuvo que, aun cuando operara bajo mandato de una entidad extranjera, su rol como encargada del tratamiento de los datos la obliga a cumplir con la normativa nacional, distinguiendo claramente los roles y responsabilidades del caso.

Además, los fallos exigen un alto nivel de seguridad para eliminar y comprobar el borrado de los datos al requerir el uso de la ISO 27001 como estándar para estos efectos.

Tras estos importantes avances jurisdiccionales en la aplicación y protección de los derechos de los titulares de datos personales, queda preguntarse por los cambios que introducirá la nueva Ley N° 21.719, que comenzará a regir en diciembre de 2026. Aunque esta norma también plantea que los padres o representantes legales son quienes pueden otorgar su consentimiento para el tratamiento de los datos personales de menores, el artículo 16 quáter enfatiza que el tratamiento de dichos datos solo puede realizarse atendiendo su interés superior y respetando su autonomía progresiva, lo que conlleva una obligación para los responsables de datos de plantearse que los tratamientos que realizan cumplan con ambas prerrogativas aun cuando cuenten con consentimiento para ello.

No conforme con ello, en consideración a la autonomía progresiva de los menores, esta ley permitirá que sean los propios adolescentes mayores de 14 años quienes otorguen su consentimiento debidamente informado para el tratamiento de sus datos personales, pudiendo incluso consentir el tratamiento de sus datos sensibles sin requerir de sus padres o representantes legales una vez cumplidos los 16 años.

Esto plantea importantes desafíos para el tratamiento de los datos de menores, ya que será fundamental que cada organización asuma su propia responsabilidad y resguardos para proteger el interés superior de los menores, pero debiendo aceptar su autonomía progresiva en el ejercicio de sus derechos, para lo que deberán poner mucho cuidado en la información y orientación respecto de los riesgos y consecuencias de los consentimientos que otorgan.

Conclusión

Los fallos de la Corte Suprema marcan un precedente relevante en la protección de los datos personales de menores en Chile. Refuerzan la importancia del consentimiento informado, subrayan los estándares superiores de cuidado y seguridad que se requieren para tratar datos de menores y ponen de relieve la responsabilidad que les corresponde a las empresas que procesan datos, incluso cuando lo hacen por mandato de terceros. Asimismo, queda de manifiesto que en Chile las organizaciones deberán implementar medidas efectivas de resguardo de los menores de edad, que contemplen aspectos como la verificación de su edad, el planteamiento sobre los intereses superiores de los menores, el respeto por el ejercicio de sus derechos en el marco de su autonomía progresiva y, para ello, un especial cuidado en la manera de informar y precaver sobre los riesgos y efectos de los consentimientos que otorguen para tratar sus datos personales y sensibles.

CONTACTO

Romina Garrido
Directora
rgarrido@prieto.cl

Fernanda Carvajal
Asociada
fcarvajal@prieto.cl

Agustín Prado
Asociado
aprado@prieto.cl

Josefina Navarrete
Asociada
jnavarrete@prieto.cl

La información contenida en esta alerta ha sido preparada con fines informativos y no constituye asesoría legal*