Chile fortalece la protección de datos con un marco de certificación para modelos de prevención de infracciones

Con fecha 9 de septiembre de 2026, se publicó en el Diario Oficial el Decreto N° 662, del Ministerio de Hacienda, que aprueba el reglamento que regula los requisitos, modalidades y procedimientos para la implementación, certificación, registro y supervisión de los modelos de prevención de infracciones (MPI) a que se refiere el artículo 49 que incorpora la Ley N° 21.719 a la Ley N° 19.628, sobre Protección de los Datos Personales. Este reglamento desarrolla el sistema voluntario de programas de cumplimiento que los responsables de datos pueden adoptar, estableciendo los elementos del programa, las funciones y requisitos del delegado de protección de datos, y el procedimiento de certificación, registro y supervisión por parte de la Agencia de Protección de Datos Personales.

¿Cuáles son los antecedentes del reglamento?

La Ley N° 21.719, publicada en el Diario Oficial el 13 de diciembre de 2024, modificó la Ley N° 19.628 sobre Protección de la Vida Privada -vigente desde 1999- con el objeto de perfeccionar la regulación sobre protección y tratamiento de los datos personales, elevándola a un estándar internacional, y creó la Agencia de Protección de Datos Personales. Dicha ley incorporó a la Ley N° 19.628 los artículos 49 a 53, que establecen un sistema de prevención de infracciones denominado modelo de prevención de infracciones, consistente en un programa de cumplimiento que puede ser adoptado voluntariamente por cualquier responsable de datos, sea persona natural o jurídica, pública o privada. El inciso final del artículo 51 de la Ley N° 19.628, incorporado por la Ley N° 21.719, dispuso que un reglamento expedido a través del Ministerio de Hacienda y suscrito por el ministro secretario general de la Presidencia y por el ministro de Economía, Fomento y Turismo establecería los requisitos, modalidades y procedimientos para la implementación, certificación, registro y supervisión de los MPI.

¿Cuál es el objeto del reglamento?

El reglamento tiene por objeto establecer los requisitos, modalidades y procedimientos para la implementación, certificación, registro y supervisión de los modelos de prevención de infracciones. Se aplica a todos los responsables de datos, sean personas naturales o jurídicas, públicas o privadas, que voluntariamente adopten e implementen un programa de cumplimiento en materia de protección de datos personales. El reglamento se estructura en tres títulos: (i) disposiciones generales; (ii) de los programas de cumplimiento, que incluye los elementos del programa, la regulación del delegado de protección de datos, y el procedimiento de certificación, registro, implementación y supervisión; y (iii) el articulado final.

¿Cuáles son los principales aspectos que regula el reglamento?

El reglamento consta de 20 artículos organizados en tres títulos. Los principales aspectos regulados son los siguientes:

• Requisitos del programa de cumplimiento: el artículo 3 del reglamento establece que los programas de cumplimiento deberán contener, al menos: (i) la individualización del responsable de datos; (ii) la designación de un delegado de protección de datos personales; (iii) la definición de medios y facultades del delegado; (iv) la caracterización de los datos personales tratados, categorías de datos, bases de datos, ámbito territorial, categorías de titulares, fines del tratamiento, fuentes de los datos, base de licitud, destinatarios, transferencias internacionales, plazos de supresión y existencia de decisiones automatizadas; (v) la identificación de actividades de tratamiento que generen o incrementen el riesgo de comisión de las infracciones de los artículos 34 bis, 34 ter y 34 quáter, con una matriz de riesgos; (vi) protocolos, reglas y procedimientos para prevenir infracciones; (vii) mecanismos de reporte interno y externo; (viii) sanciones administrativas internas; (ix) mecanismos de denuncia interna que aseguren la reserva de identidad del denunciante; y (x) cualquier otra disposición necesaria para el cumplimiento de las normas de protección de datos.
• El delegado de protección de datos: los artículos 6 a 13 del reglamento regulan en detalle la figura del delegado de protección de datos. Su designación es obligatoria en el marco de un programa de cumplimiento y debe ser efectuada por la máxima autoridad directiva o administrativa del responsable. El delegado puede ser dependiente del responsable o actuar mediante contrato de prestación de servicios, y debe contar con autonomía, conocimientos especializados y ausencia de conflictos de interés. En las micro, pequeñas y medianas empresas, el dueño o sus máximas autoridades pueden asumir personalmente estas funciones. Entre sus responsabilidades se incluyen: informar y asesorar al responsable, supervisar el cumplimiento normativo, promover la difusión del programa, asesorar en la identificación de riesgos y en evaluaciones de impacto, desarrollar un plan anual de trabajo, absolver consultas de titulares y cooperar como punto de contacto con la Agencia.
• Certificación y registro: el artículo 15 establece que la Agencia certificará los modelos de prevención que cumplan los requisitos legales y reglamentarios, a solicitud del interesado. Los certificados tendrán una vigencia de tres años y podrán renovarse. La Agencia podrá contratar servicios de terceros para el estudio de las solicitudes. Una vez otorgada la certificación, el modelo será incorporado al Registro Nacional de Sanciones y Cumplimiento.
• Causales de término de vigencia: el artículo 16 establece que las certificaciones quedarán sin efecto por: revocación dispuesta por la Agencia, fallecimiento del responsable persona natural, disolución de la persona jurídica, resolución judicial ejecutoriada o cese voluntario de la actividad del responsable.
• Supervisión y revocación: la Agencia podrá supervisar el cumplimiento de los modelos certificados y revocar la certificación si el responsable infringe los requisitos legales o reglamentarios, o si es sancionado por la comisión de infracciones a la ley. El responsable cuya certificación haya sido revocada podrá volver a solicitarla acreditando que ha subsanado las infracciones.

¿Qué obligaciones adicionales establece el reglamento para los responsables de datos?

El reglamento establece diversas obligaciones complementarias: (i) la regulación interna derivada del programa debe incorporarse como obligación en los contratos de trabajo o de prestación de servicios de todos los trabajadores, empleados y prestadores de servicios, incluidos los máximos ejecutivos, o en el reglamento interno del trabajo conforme a los artículos 153 y siguientes del Código del Trabajo; (ii) el responsable debe difundir la existencia del programa entre sus trabajadores, empleados y prestadores de servicios; (iii) el responsable solo podrá publicitar que su programa está certificado mediante la referencia directa al Registro Nacional de Sanciones y Cumplimiento; y (iv) el responsable debe publicar los datos de contacto del delegado en su sitio web u otro medio equivalente.

¿Cuál es el efecto de adoptar un modelo de prevención de infracciones?

La adopción e implementación de un programa de cumplimiento certificado por la Agencia puede operar como atenuante de las sanciones que la Agencia imponga en el ejercicio de sus potestades de fiscalización y sanción, de conformidad con lo dispuesto en la Ley N° 19.628. No obstante, la adopción de un programa de cumplimiento no exime al responsable de su deber general de adoptar acciones destinadas a prevenir la comisión de infracciones y a dar cumplimiento a las disposiciones de la ley.

Conclusiones

La publicación de este reglamento constituye un hito relevante en la implementación del nuevo régimen de protección de datos personales en Chile, al desarrollar el marco normativo de los modelos de prevención de infracciones previstos en la Ley N° 21.719. El reglamento establece con detalle los requisitos del programa de cumplimiento, la figura del delegado de protección de datos, y los procedimientos de certificación, registro y supervisión a cargo de la Agencia de Protección de Datos Personales.