Diario Oficial publica el reglamento sobre modelos de prevención de infracciones en protección de datos personales

El Diario Oficial publicó este 9 de septiembre de 2026 el Decreto Supremo N°662 del Ministerio de Hacienda, que aprueba el reglamento destinado a regular los requisitos, modalidades y procedimientos para la implementación, certificación, registro y supervisión de los modelos de prevención de infracciones contemplados en el artículo 49 y siguientes de la Ley N°19.628, en la redacción incorporada por la Ley N°21.719.

El reglamento no regula de manera general todos los aspectos operativos de la nueva legislación de datos personales. Su objeto es más específico: desarrollar el régimen aplicable a los programas de cumplimiento que los responsables de datos podrán implementar como modelo de prevención de infracciones.

La norma parte de una distinción relevante. La adopción de este modelo es voluntaria, tanto para personas naturales como jurídicas, públicas o privadas. Sin embargo, el propio reglamento precisa que esa voluntariedad no elimina el deber general de todo responsable de datos de adoptar medidas destinadas a prevenir infracciones y cumplir con la Ley N°19.628.

Qué debe contener un programa de cumplimiento

Uno de los principales desarrollos del reglamento se encuentra en su artículo 3, que detalla el contenido mínimo que deberá tener un programa de cumplimiento.

El modelo debe individualizar al responsable de datos y, cuando corresponda, a su representante legal. Asimismo, debe contemplar la designación de un delegado de protección de datos personales y definir los medios y facultades con que éste contará para desarrollar sus funciones.

La regulación exige, además, una caracterización detallada de las actividades de tratamiento realizadas por la organización, que deberá identificar, entre otros aspectos: los tipos de datos personales tratados; la existencia de datos sensibles o categorías especiales; las categorías de bases de datos; los tipos de titulares involucrados; las finalidades del tratamiento; la fuente de los datos; la base de licitud aplicable; el interés legítimo, cuando corresponda; los terceros a quienes se comunican o ceden datos; las transferencias internacionales; los plazos o condiciones de supresión; y la existencia de decisiones automatizadas o elaboración de perfiles.

En este último caso, el programa deberá incluir información significativa acerca de la lógica utilizada y las consecuencias previstas del tratamiento para el titular. El propio reglamento señala que esta caracterización podrá realizarse mediante un registro de actividades de tratamiento.

Matriz de riesgos y protocolos internos

El reglamento también exige identificar aquellas actividades de tratamiento, habituales o esporádicas, en las que exista riesgo de comisión de las infracciones previstas en la legislación.

A partir de esa identificación, el responsable deberá determinar cuáles presentan un mayor riesgo e incorporarlas a una matriz de riesgos, cuya elaboración deberá considerar la graduación de las sanciones establecidas por la ley.

El programa deberá incorporar, asimismo, protocolos, reglas y procedimientos específicos destinados a que las personas que intervengan en las operaciones de tratamiento puedan ejecutar sus labores de forma compatible con la normativa de protección de datos.

Para establecer estas reglas deberán considerarse las operaciones de tratamiento realizadas, la cantidad y naturaleza de los datos tratados, los riesgos asociados y el tamaño y capacidad económica de la entidad.

Canales internos, reportes y denuncias

Otro de los componentes exigidos por el reglamento corresponde a los mecanismos internos de reporte.

Los programas deberán establecer vías expeditas y de acceso permanente que permitan informar sobre el cumplimiento o eventual comisión de infracciones a la normativa sobre datos personales. El reglamento permite que estos mecanismos se integren a canales de denuncia ya existentes en la organización, siempre que cumplan las exigencias previstas en la legislación de protección de datos.

También deberán contemplarse mecanismos para efectuar reportes a la autoridad o a los titulares de los datos cuando corresponda, así como mecanismos asociados a la autodenuncia prevista en la ley.

El programa debe contener, además, las sanciones administrativas internas y los procedimientos aplicables frente a incumplimientos de las normas de tratamiento de datos personales o del propio programa de cumplimiento.

Respecto de las denuncias internas, la regulación exige que exista un mecanismo que permita denunciar infracciones ante el delegado de protección de datos. El denunciante podrá solicitar la reserva de su identidad.

El denunciante no podrá ser objeto de medidas desfavorables como consecuencia de su denuncia.

El programa ingresa expresamente a la regulación laboral interna

Desde una perspectiva laboral, el artículo 4 contiene una regulación particularmente directa.

El reglamento dispone que las reglas internas derivadas de la implementación del programa deberán incorporarse expresamente como una obligación en los contratos de trabajo o de prestación de servicios de trabajadores, empleados y prestadores de servicios de las entidades responsables o de terceros que efectúen tratamientos de datos.

La disposición incluye expresamente a los máximos cargos ejecutivos de las entidades.

Cuando corresponda, estas obligaciones también deberán incorporarse al Reglamento Interno de Orden, Higiene y Seguridad, conforme a los artículos 153 y siguientes del Código del Trabajo, debiendo observarse las medidas de publicidad establecidas en el artículo 156 del mismo Código.

El reglamento agrega que el responsable deberá difundir la existencia del programa entre trabajadores, empleados y prestadores de servicios, obligación que se extiende también a sus futuras modificaciones o actualizaciones.

El delegado de protección de datos

La norma dedica un párrafo completo a regular la figura del delegado de protección de datos.

Su designación puede efectuarse voluntariamente por un responsable de datos, pero pasa a ser obligatoria cuando éste decide adoptar y certificar un programa de cumplimiento.

El delegado puede ser un trabajador dependiente del responsable o prestar sus funciones mediante un contrato de servicios. Si el servicio es prestado por una persona jurídica, el contrato deberá identificar a la persona natural que ejercerá efectivamente las funciones de delegado.

La designación deberá efectuarla la máxima autoridad directiva o administrativa del responsable, entendiendo por tal al directorio, socio administrador o máxima autoridad de la entidad pública o privada, según corresponda.

El reglamento exige que el delegado cuente con autonomía respecto de la administración en las materias relacionadas con protección de datos y que rinda cuenta directamente ante la autoridad que lo designó.

También permite que las sociedades pertenecientes a un mismo grupo empresarial, empresas relacionadas o entidades sometidas a un mismo controlador designen a un único delegado, siempre que operen bajo los mismos estándares y políticas en materia de tratamiento de datos y que éste resulte accesible para todas las entidades y establecimientos involucrados.

Independencia y conflictos de interés

El responsable deberá entregar al delegado los medios y facultades suficientes para el cumplimiento de sus funciones, tomando en consideración el tamaño de la organización, su capacidad económica, la naturaleza de las operaciones de tratamiento, el volumen y tipo de datos y sus riesgos asociados.

El delegado puede desarrollar otras funciones dentro de la organización, pero el reglamento exige evitar conflictos de interés. En particular, señala que no podrá desarrollar actividades que posteriormente queden sujetas a su propia supervisión o respecto de las cuales deba pronunciarse o prestar asesoría en calidad de delegado.

Asimismo, deberá contar con conocimientos especializados en regulación de datos personales, experiencia en la materia y habilidades profesionales adecuadas. El reglamento exige además mantener conocimientos actualizados respecto de normas, decisiones de la futura Agencia y jurisprudencia relevante.

Un delegado con funciones operativas y de supervisión

La norma entrega al delegado un catálogo amplio de funciones: informar y asesorar al responsable, terceros encargados y trabajadores respecto de las normas de protección de datos; participar en la revisión y modificación del programa; promover su difusión y conocimiento dentro de la organización; y supervisar el cumplimiento de la Ley N°19.628 y de las instrucciones que dicte la Agencia.

Cuando tome conocimiento de una infracción, deberá comunicarla directamente a la autoridad ante la cual rinde cuenta, con el objeto de que ésta adopte las medidas organizativas, funcionales o disciplinarias correspondientes.

Otra función expresamente asignada consiste en preocuparse de la formación y capacitación permanente de quienes participen en operaciones de tratamiento de datos personales dentro de la organización.

El delegado deberá también asesorar en la identificación de riesgos y en las evaluaciones de impacto en protección de datos, elaborar un plan anual de trabajo y rendir cuenta de sus resultados, al menos una vez al año.

A ello se agrega la función de responder consultas y solicitudes de titulares de datos y actuar como punto de contacto y cooperación con la Agencia de Protección de Datos Personales.

Certificación ante la Agencia

El reglamento también desarrolla el procedimiento de certificación de estos modelos.

La Agencia de Protección de Datos será la encargada de certificar, registrar y supervisar los modelos que cumplan con las exigencias legales y reglamentarias, además de poder revocar las certificaciones cuando se configuren las hipótesis previstas por la normativa.

El procedimiento de certificación se iniciará a solicitud del interesado y se regirá por la Ley N°19.880 y por las instrucciones generales que dicte la Agencia.

Las certificaciones tendrán una duración de tres años y podrán renovarse a petición del interesado.

Los responsables que obtengan una certificación vigente serán incorporados al Registro Nacional de Sanciones y Cumplimiento, el que tendrá acceso público respecto de los certificados emitidos por la Agencia.

Implementación y supervisión

El modelo podrá comenzar a implementarse incluso antes de que la Agencia incorpore formalmente al responsable en el Registro Nacional de Sanciones y Cumplimiento, siempre bajo sujeción a la ley, al reglamento y a las demás normas administrativas aplicables.

Una vez certificado, la Agencia podrá supervisar su cumplimiento y requerir la información necesaria para ejercer esa función. El delegado deberá poner a disposición de la autoridad los antecedentes solicitados de manera íntegra y oportuna.

El reglamento contempla también la posibilidad de revocar la certificación si el responsable deja de cumplir los requisitos exigidos para mantener el modelo o se producen las circunstancias reguladas por la propia norma.

Una regulación centrada en la estructura interna de cumplimiento

El texto publicado desarrolla la dimensión organizacional de los modelos de prevención establecidos por la nueva regulación de datos personales: identificación de tratamientos y riesgos, procedimientos internos, canales de reporte, reglas disciplinarias, capacitación, intervención contractual, designación de un delegado y posterior certificación y supervisión por parte de la Agencia.

El reglamento fue dictado mediante el Decreto Supremo N°662, de 13 de junio de 2025, y publicado finalmente en el Diario Oficial el miércoles 9 de septiembre de 2026.