Chile: La Comisión Ministerial sobre la implementación de la Ley de Protección de Datos recomienda anticipar la instalación y reforzar el presupuesto de la nueva Agencia

La Comisión Asesora Ministerial para la implementación de la Ley N° 21.719, que introduce una reforma profunda del régimen de protección de datos personales en Chile, ha elaborado una serie de informes que abordan la importancia de dicha reforma, los beneficios que implica la nueva normativa para los ciudadanos y diversas recomendaciones para su implementación.

¿Cuáles son los puntos centrales de la nueva ley?

La reforma se enfoca en elevar el estándar jurídico nacional, incorporando principios internacionales para el tratamiento de datos personales y estableciendo nuevos derechos para los titulares. La nueva ley crea mecanismos efectivos de garantía y control e instituye a la Agencia de Protección de Datos Personales (APDP) como la entidad especializada encargada de velar por el cumplimiento de sus disposiciones.

Uno de los objetivos estratégicos fue alinear la regulación chilena con el estándar del RGPD de la Unión Europea, lo cual facilitará las transferencias internacionales de datos y reforzará la competitividad digital nacional. La obtención del reconocimiento como país adecuado permitiría a las empresas chilenas integrarse de manera más fluida en cadenas globales de valor, eliminando costos asociados a la implementación de cláusulas contractuales y certificaciones.

¿Qué recomendaciones hace la Comisión para su implementación?

Comprendiendo que la reforma viene a actualizar una regulación vigente desde hace más de dos décadas, la Comisión Ministerial ha emitido diversas recomendaciones a través de cuatro informes, los cuales abordan las materias consideradas de mayor urgencia para la implementación de la nueva normativa.

• Primer informe: Cronograma de instalación y fortalecimiento de la APDP

En primer lugar, la Comisión identifica una serie de debilidades —principalmente estructurales, normativas, financieras y organizacionales— que ponen en riesgo la correcta implementación y funcionamiento de la Ley y de la Agencia de Protección de Datos Personales en Chile. Se indica que el diseño actual de dicha agencia resulta insuficiente para cumplir de manera oportuna y efectiva los mandatos legales, lo que consecuentemente podría afectar al régimen de protección de datos personales. Frente a ello, se proponen medidas correctivas que deberían materializarse a través de la Ley de Presupuestos 2026 o la Ley de Reajuste del Sector Público del mismo año, entre ellas, un aumento del presupuesto mínimo asignado.

Entre las recomendaciones principales se incluye anticipar la instalación de la Agencia a junio de 2026, permitiendo una implementación progresiva del órgano regulador y evitando vacíos regulatorios. Asimismo, se plantea la necesidad de un fortalecimiento institucional urgente, con mayores recursos humanos y financieros, y una dotación inicial transitoria de funcionarios administrativos. Se recomienda también equiparar las remuneraciones del presidente y consejeros con las de otros organismos fiscalizadores, para asegurar la independencia y atraer perfiles idóneos. Adicionalmente, se propone una estrategia de instalación colaborativa desde inicios de 2026, liderada por el Ministerio de Economía, y se enfatiza la centralidad de contar con un presupuesto adecuado como condición esencial para el éxito del nuevo modelo regulatorio.

• Segundo informe: Transferencias internacionales de datos

Para facilitar la implementación temprana de los mecanismos de transferencia internacional de datos personales previstos en la nueva ley y otorgar certeza y seguridad jurídica desde el momento de su entrada en vigor, la Comisión propone dictar, antes de diciembre de 2025, una serie de actos administrativos que regulen estos mecanismos durante el tiempo en que la Agencia aún no se encuentre plenamente operativa.

Entre las medidas sugeridas, se incluye la aprobación de cláusulas contractuales modelo, tomando como referencia las elaboradas por la Red Iberoamericana de Protección de Datos (RIPD), que facilitan el flujo transfronterizo de datos y ya han sido reconocidas e implementadas por varios países de la región. Asimismo, se recomienda aprobar normas corporativas vinculantes presentadas por grupos empresariales, las cuales podrán posteriormente ser ratificadas o modificadas por la APDP, y elaborar un listado de países con niveles adecuados de protección de datos conforme al artículo 28 de la Ley.

La Comisión también plantea explorar mecanismos de transferencia con Estados Unidos y países APEC, incluyendo el análisis de esquemas de certificación como el CBPR y eventuales fórmulas análogas al Data Privacy Framework. Adicionalmente, se sugiere iniciar gestiones para que Chile sea declarado país adecuado por la Unión Europea, considerando los beneficios económicos y regulatorios de dicha decisión. Finalmente, se recomienda avanzar en la adhesión de Chile al Convenio 108+ del Consejo de Europa —referido a la cooperación transfronteriza en protección de datos—, previo cumplimiento de los requisitos técnicos e institucionales exigidos.

• Tercer informe: Implementación en la Administración del Estado

La Comisión formula una serie de recomendaciones enfocadas en apoyar a los órganos de la Administración del Estado en la implementación de la nueva ley, proponiendo que la Secretaría de Gobierno Digital del Ministerio de Hacienda lidere este proceso mediante un oficio circular, directrices y guías técnicas, con apoyo de otros organismos como ChileCompra y el Servicio Civil. Se busca dotar al sector público de herramientas mínimas y comunes de implementación, sin perjuicio de las futuras definiciones a cargo de la Agencia.

En el ámbito de las acciones recomendadas, se incluye la designación de un responsable o delegado de protección de datos (DPO) en cada servicio público, preferentemente dentro de la dotación existente, y la posible creación de redes sectoriales de DPOs coordinadas centralmente. Asimismo, se sugiere crear comités internos de protección de datos con participación de áreas jurídicas, tecnológicas y operativas, y establecer instancias de coordinación interinstitucional.

También se recomienda que cada organismo elabore y publique una política de protección de datos clara y accesible, diseñe procedimientos administrativos internos para la gestión de los derechos ARCO (acceso, rectificación, supresión, oposición) e integre su tramitación en plataformas unificadas del Estado. Se proponen ajustes contractuales con los proveedores que actúen como encargados del tratamiento, levantamiento voluntario de registros de actividades de tratamiento y la adopción de medidas de seguridad acordes a los riesgos. Finalmente, se enfatiza la necesidad de planes de capacitación y cultura organizacional en protección de datos, con apoyo del Servicio Civil para estandarizar la formación en el sector público.

• Cuarto informe: Recomendaciones generales de implementación

Este informe fue elaborado a partir de un proceso participativo que incluyó audiencias con actores públicos y privados, y una consulta pública con 152 participantes. Las principales recomendaciones abordan los siguientes ejes:

Coordinación regulatoria: Se recomienda que la APDP establezca mecanismos de coordinación permanente con la ANCI, Secretaría de Gobierno Digital, Consejo para la Transparencia, CMF, SUSESO y SERNAC, mediante mesas de trabajo, memorandos de entendimiento y una plataforma única de notificación de incidentes de seguridad.

Régimen para PYMES: El artículo 14 septies de la Ley permite modular estándares según tamaño y riesgos. La Comisión recomienda precisar criterios objetivos considerando factores de riesgo y capacidad organizacional, establecer orientaciones proporcionales en seguridad y crear una unidad especializada de atención a PYMES en la Agencia.

Marketing directo: Chile adoptó un modelo opt-out basado en interés legítimo. Se recomienda que la APDP emita guías interpretativas que precisen la ponderación de intereses y los mecanismos de oposición disponibles para los titulares.

Compliance y prevención de fraude: Se recomienda emitir guías que reconozcan el interés legítimo en prevención de fraude, lavado de activos e infracciones normativas, siguiendo criterios del Comité Europeo de Protección de Datos.

Certificación del modelo de prevención: Se recomienda incorporar terceros evaluadores independientes bajo supervisión de la Agencia, creando un sistema de acreditación que mantenga a la APDP como autoridad certificadora final.

Potestades de fiscalización: Se recomienda que la APDP emita instrucciones generales distinguiendo entre fiscalizaciones individuales y planes sectoriales, y dicte orientaciones sobre notificación de incidentes, estándares de seguridad, anonimización y tratamiento en sectores sensibles (salud, laboral, niños).

Empresas públicas: Se recomienda emitir lineamientos específicos coordinados con el Sistema de Empresas Públicas (SEP), considerando la heterogeneidad de estas entidades y aplicando el régimen general de responsables de datos.