Régimen Jurídico de la Seguridad de la Información y Control Interno en los Servicios de Bienestar del Sector Público
Régimen Jurídico de la Seguridad de la Información y Control Interno en los Servicios de Bienestar del Sector Público es un estatuto protector y de control interno de orden público, inserto en la arquitectura del Derecho de la Seguridad Social y el Derecho Administrativo. Su naturaleza jurídica corresponde a un sistema integral de gestión de riesgos diseñado para preservar la confidencialidad, integridad y disponibilidad de los activos de información institucionales. En el ordenamiento jurídico actual, la relevancia de esta institución estriba en la imperatividad de salvaguardar datos de carácter sensible (médicos y financieros) administrados por entidades que, careciendo de personalidad jurídica propia, operan como dependencias de las instituciones públicas empleadoras. El fin teleológico de este estatuto es garantizar la continuidad operativa del otorgamiento de beneficios sociales complementarios y proscribir el acceso no autorizado o la fuga de datos. La potestad normativa, reguladora y de fiscalización sobre el cumplimiento de estas directrices preventivas recae privativamente en la Superintendencia de Seguridad Social (SUSESO).
Seminario completo
https://www.youtube.com/live/zi0OG9m0KDk?si=y5opQof0Q0AYtfBx
Contexto y Antecedentes
El marco normativo basal que rige la existencia de los Servicios de Bienestar se remonta a la Ley N° 11.764 del año 1954 (artículo 134), complementada por la Ley N° 16.395 Orgánica de la SUSESO y reglamentada exhaustivamente por el Decreto Supremo N° 28 del año 1994 del Ministerio del Trabajo y Previsión Social. El estado del arte en materia de gestión de datos evidencia una evolución normativa impulsada por la transformación digital del Estado. Históricamente, la protección de la información se limitaba al resguardo del soporte material (papel). Este paradigma se subvirtió mediante la promulgación de la Ley N° 21.180 sobre Transformación Digital del Estado (2019), la dictación de la Norma Técnica de Seguridad de la Información y Ciberseguridad, y recientemente, la promulgación de la Ley Marco de Ciberseguridad del año 2024, con entrada en vigencia el 1 de enero de 2025. Para armonizar la gestión de los Servicios de Bienestar con estas exigencias suprasectoriales, la SUSESO dictó el 20 de junio de 2024 la Circular N° 3867, incorporando un título específico sobre seguridad de la información, protección de datos y control interno en el Compendio de Normas respectivo.
Desarrollo Temático
La sistematización técnica de este estatuto exige desglosar la dogmática de los atributos de la información, la distinción teórica frente a la ciberseguridad, el tratamiento de datos sensibles y las cargas procedimentales de control interno.
Natureza y Administración de los Servicios de Bienestar
Los Servicios de Bienestar son entidades destinadas a complementar los beneficios de la seguridad social, con un piso mínimo exigible de prestaciones de orden médico. La doctrina consagra que adolecen de personalidad jurídica, operando como dependencias de la institución matriz. Su administración recae en un Consejo Administrativo de integración paritaria (entre 4 y 8 miembros), con representación de la institución y de las asociaciones de funcionarios que cumplan con los cuórums legales. Su ámbito de aplicación subjetivo abarca a funcionarios de planta, contrata, regidos por el Código del Trabajo y jubilados de la institución matriz.
Dogmática de los Atributos de la Información y Ciberseguridad
La norma técnica, informada por estándares internacionales (ISO 27000), consagra la obligación de tutelar tres atributos fundamentales de los activos de información: • Confidencialidad: Propiedad que asegura que la información sea accesible exclusivamente por personas o procesos autorizados. • Integridad: Garantía de que la información se mantenga completa, exacta y libre de alteraciones no autorizadas (corrupción de datos o modificaciones sin trazabilidad). • Disponibilidad: Propiedad que exige que la información sea utilizable y accesible cuando la entidad lo requiera, exigiendo planes de continuidad operativa y respaldos (backups). La doctrina distingue perentoriamente entre Seguridad de la Información y Ciberseguridad. La primera constituye el género (abarca todo formato: físico, verbal o digital), mientras que la segunda es una especie circunscrita a la protección de la infraestructura tecnológica (hardware, software, redes) frente a ciberataques.
Estatuto de Protección de Datos Sensibles
El acervo documental de un Servicio de Bienestar (remuneraciones, licencias médicas, beneficios otorgados) constituye información y datos sensibles. El ordenamiento impone al personal el deber irrenunciable del secreto profesional, el cual no decae tras la expiración del vínculo laboral con el servicio. Asimismo, el tratamiento de estos datos se subordina al principio de finalidad: solo pueden utilizarse para el fin con el cual fueron recabados (otorgamiento de beneficios), proscribiéndose su uso para fines diversos salvo autorización legal o consentimiento expreso del titular.
Cargas Procedimentales de Control Interno (Circular N° 3867)
La instrucción administrativa impone a los Servicios de Bienestar el cumplimiento de imperativos operativos, entre los que destacan: • Gestión de Credenciales: Obligación de erradicar el uso de perfiles genéricos y claves compartidas, imponiendo la modificación de contraseñas con una periodicidad mínima anual. • Respaldo y Subrogancia: Exigencia de mantener copias de seguridad contable en dispositivos ajenos a la dependencia del bienestar. Asimismo, se impone la formalización de subrogancias para la jefatura y el contador a fin de garantizar la continuidad del servicio. • Principio de Subsidiaridad en Reembolsos: Se instaura un control procedimental estricto para la bonificación médica. El Servicio de Bienestar solo se encuentra habilitado para reembolsar a posteriori de que hayan operado efectivamente las coberturas de los sistemas de salud base (ISAPRE/FONASA) y de los seguros complementarios privados del afiliado, proscribiendo que la bonificación global exceda el gasto real incurrido. • Formalización de Giradores: El ordenamiento exige que la designación de la dupla de giradores de fondos (quienes deben contar con póliza de fianza) se materialice mediante un acto administrativo formal (Resolución) emanado de la entidad matriz, toda vez que suelen ser funcionarios externos al propio bienestar. • Depuración de Padrones: Obligación de contrastar periódicamente las cargas familiares vigentes mediante la Plataforma Integrada (PIAS), para enervar el pago de beneficios a quienes han perdido la calidad de causantes.
Análisis Crítico y Dogmático
Del escrutinio normativo, la casuística de fiscalización y los debates doctrinarios expuestos, emergen las siguientes fricciones jurídicas y lagunas procesales: • Fricción de Dependencia Orgánica vs. Autonomía Financiera: Se constata una tensión estructural derivada de la carencia de personalidad jurídica de los Servicios de Bienestar. Al ser dependencias de la entidad matriz, requieren de esta para la provisión de recursos tecnológicos, informáticos y contables. La doctrina administrativa es categórica al señalar que no existe una obligación legal para que la institución matriz asigne un contador de dedicación "exclusiva" al bienestar, lo que supedita la eficacia del control interno a las capacidades presupuestarias y a la priorización que otorgue la jefatura superior del servicio. • Vulnerabilidad de los Repositorios Físicos vs. Eliminación Documental: Frente a la escasez de espacio físico, surge el conflicto sobre la conservación de la documentación probatoria. Aunque el Compendio de Normas (Libro VI, numeral 2.2) autoriza la eliminación de la documentación contable transcurrido un plazo de 5 años, el estado del arte revela prácticas consuetudinarias de alto riesgo, como la recepción de solicitudes mediante "buzones en la puerta". La autoridad advierte que la dependencia material (papel) configura un riesgo basal inaceptable frente a incendios o sustracciones, instando a la digitalización inmediata como medida de mitigación mientras prescriben los plazos legales de guarda. • Indeterminación Procedimental de Avales para Jubilados (Punto de discusión pendiente): Surge una severa laguna en materia crediticia respecto a los afiliados pasivos (pensionados). La exigencia reglamentaria de presentar un "aval" o fiador para la obtención de préstamos resulta materialmente gravosa para los jubilados, quienes carecen de compañeros en servicio activo. Más aún, frente a la contingencia del fallecimiento del aval de un trabajador activo, la doctrina institucional reconoce carecer de una normativa expresa que resuelva la subrogación o exigibilidad de la fianza extinta, derivando esta materia exclusivamente a los controles administrativos internos y configurando un Punto de discusión pendiente en la uniformidad del crédito social público. • Superposición Normativa en Ciberseguridad: Frente a la interrogante de si los Servicios de Bienestar deben regirse por sus propias políticas o por las de la institución matriz, se colige que la Ley Marco de Ciberseguridad recae sobre la entidad empleadora. Las instrucciones de la SUSESO (Circular 3867) operan como un "piso normativo mínimo y básico" en seguridad de la información, no eximiendo al servicio de bienestar de subsumirse a los protocolos de ciberseguridad corporativos de mayor complejidad que decrete la casa matriz.
Conclusiones
La configuración del Régimen Jurídico de Seguridad de la Información y Control Interno mediante la Circular N° 3867 exterioriza el esfuerzo del Estado por erradicar la informalidad procedimental en los Servicios de Bienestar. La imposición de directrices basadas en la confidencialidad, integridad y disponibilidad, sumada a la proscripción de prácticas negligentes como las claves genéricas o la remisión de datos mediante plataformas de mensajería no institucionales, eleva el estándar de tutela hacia los datos sensibles de los funcionarios. No obstante, el diseño normativo padece de una fricción originaria: al carecer los Servicios de Bienestar de autonomía presupuestaria y personalidad jurídica, la exigibilidad material de estas medidas preventivas —tales como la instauración de respaldos informáticos redundantes o la dedicación contable especializada— recae en última ratio sobre la voluntad administrativa de la entidad matriz. En consecuencia, la eficacia erga omnes de este estatuto dependerá no solo del rigor fiscalizador de la Superintendencia de Seguridad Social, sino del empoderamiento de los Consejos Administrativos para exigir el presupuesto y el soporte tecnológico necesarios para blindar su operatividad.
Bibliografía y Notas al Pie / Referencias de Origen
• Fuentes Normativas Nacionales: Ley N° 11.764; Ley N° 16.395; Ley N° 21.180; Ley Marco de Ciberseguridad de 2024; Ley N° 18.010; Decreto Supremo N° 28 de 1994, Ministerio del Trabajo y Previsión Social. • Jurisprudencia Administrativa e Institucional: Circular N° 3867 de 2024, Superintendencia de Seguridad Social (SUSESO); Compendio de Normas de la SUSESO (Libro VI: Servicios de Bienestar). • Fuentes de Referencia de Origen: Transcripción Oficial y Doctrina Administrativa expuesta en el seminario telemático: "SUSESO Capacita en Seguridad de la Información en Servicios de Bienestar", organizado por la Superintendencia de Seguridad Social (SUSESO). Expositores principales: Irvin Contreras y Luz Montalba; Moderadora: Silvia Valdivia. Archivo Institucional SUSESO [1 al 68].
