Protección de Datos Personales: Reglamento del Modelo de Prevención de Infracciones y postergación de la Ley N° 21.719
Durante los últimos días se produjeron dos novedades especialmente relevantes para el nuevo régimen chileno de protección de datos personales.
En primer lugar, con fecha 1 de septiembre de 2026 el Ejecutivo ingresó al Senado, con suma urgencia, un proyecto de ley (Boletín N° 110-374) que posterga al 1 de diciembre de 2027 la entrada en vigencia de la Ley N° 21.719 y fortalece la institucionalidad de la Agencia de Protección de Datos Personales.
En segundo lugar, la Contraloría General de la República tomó razón del Decreto Supremo N° 662, de 13 de junio de 2025, del Ministerio de Hacienda, que aprueba el Reglamento que regula los requisitos, modalidades y procedimientos para la implementación, certificación, registro y supervisión de los modelos de prevención de infracciones.
A continuación, revisamos el contenido de ambos instrumentos y sus efectos prácticos para las organizaciones.
I. Proyecto de ley que modifica la Ley N° 21.719
El proyecto propone principalmente los siguientes cambios:
- Postergar la entrada en vigencia de la ley hasta el 1 de diciembre de 2027: actualmente la entrada en vigencia es el 1 de diciembre de 2026.
- Consejo Directivo de la Agencia: se aumenta su integración de tres a cinco consejeros y se eleva el quórum mínimo para sesionar. Además, el Consejo se renovará parcialmente cada dos años.
- Amonestación por escrito: la posibilidad de ser sancionado con amonestación escrita en lugar de multa durante los primeros doce meses de vigencia deja de estar reservada a las empresas de menor tamaño y se extiende a todos los responsables.
II. Reglamento del Modelo de Prevención de Infracciones
- Objeto y carácter voluntario: el Reglamento desarrolla el modelo de prevención de infracciones consistente en un programa de cumplimiento, y fija directrices concretas para su diseño e implementación. Su adopción es voluntaria para cualquier responsable de datos, sea persona natural o jurídica, pública o privada, y no lo libera del deber general de prevenir infracciones y cumplir la ley.
- Contenido mínimo del programa (artículo 3):
⁻Delegado de protección de Datos: individualización del responsable y designación obligatoria de un delegado, con definición de sus medios y facultades.
⁻Registro de Actividades de Tratamiento (RAT): caracterización de los datos y operaciones, con contenido mínimo -tipo de datos, incluidos sensibles y categorías especiales; ámbito territorial; categorías de bases y de titulares; fines; fuente; base de licitud; comunicaciones a terceros; transferencias internacionales; plazos de supresión, y decisiones automatizadas o elaboración de perfiles-.
⁻Matriz de riesgos: identificación de las actividades o procesos, habituales o esporádicos, que generen o incrementen el riesgo de cometer infracciones a la ley.
⁻Protocolos, reglas y procedimientos específicos: definidos en atención a las operaciones de tratamiento, la cantidad y tipo de datos tratados, los riesgos asociados y el tamaño y capacidad económica de la entidad.
⁻Mecanismos de reporte interno y de reporte a la Agencia y a los titulares: comprenden la comunicación de brechas de seguridad y la autodenuncia.
⁻Sanciones administrativas internas y canales de denuncia ante el delegado: con reserva de identidad del denunciante y prohibición de medidas desfavorables en su contra.
- Integración contractual y laboral: la regulación interna derivada del programa debe incorporarse como obligación en los contratos de trabajo y de prestación de servicios -incluidos los máximos cargos ejecutivos- y, cuando corresponda, en el Reglamento Interno de Orden, Higiene y Seguridad, con las medidas de publicidad que exige el Código del Trabajo.
- El Delegado de Protección de Datos: su designación es obligatoria para la adopción y certificación del programa y debe ser efectuada por la máxima autoridad directiva o administrativa, ante la cual el delegado deberá rendir cuenta, manteniendo autonomía en el ejercicio de las funciones y materias reguladas por la ley.
La función podrá ser desempeñada por un dependiente del responsable o externalizarse mediante un tercero, mientras que, tratándose de micro, pequeñas y medianas empresas, podrá ser asumida directamente por el dueño o por sus máximas autoridades.
En todo caso, el responsable deberá acreditar la idoneidad de quien ejerza la función, publicar sus datos de contacto y resguardar tanto el deber de secreto como la ausencia de conflictos de interés.
- Certificación y registro: el responsable podrá solicitar a la Agencia la certificación de su modelo, la que constituirá una circunstancia atenuante frente a eventuales sanciones. La certificación tendrá una vigencia de tres años, podrá renovarse a petición del interesado y, una vez otorgada, el modelo certificado se incorporará al Registro Nacional de Sanciones y Cumplimiento, el cual será de acceso público.
III. Qué significa para tu organización
El Reglamento desarrolla y concreta las obligaciones establecidas por la Ley, precisando tanto el estándar de diligencia exigible en materia de protección de datos como las condiciones para la adopción y certificación de un Modelo de Prevención de Infracciones.
En este contexto, recomendamos avanzar desde ya en aquellas medidas necesarias para adecuar la organización a las nuevas obligaciones legales, especialmente mediante la revisión de sus procesos de tratamiento de datos personales, contratos, políticas y procedimientos internos.
Además, las organizaciones que opten por adoptar un Modelo de Prevención de Infracciones deberán, entre otras medidas: (i) levantar el RAT; (ii) elaborar una matriz de riesgos; y (iii) designar un delegado de protección de datos, interno o externo, asegurando su autonomía y los medios necesarios para ejercer sus funciones.
En caso de requerir mayor información se puede contactar con Sofía Vial O. al email svial@vfcabogados.cl o Andrea Castro P. al email acastro@vfcabogados.cl.
