La nueva normativa establece los requisitos para implementar y certificar programas de cumplimiento en materia de datos personales y refuerza el rol del Delegado de Protección de Datos. Los modelos certificados podrán ser considerados como atenuante ante eventuales sanciones.
Santiago, 11 de septiembre de 2026 – El Gobierno publicó en el Diario Oficial el Decreto N° 662 del Ministerio de Hacienda, que aprueba el reglamento que regula los requisitos, modalidades y procedimientos para la implementación, certificación, registro y supervisión de los modelos de prevención de infracciones en materia de protección de datos personales.
La normativa, publicada el 9 de septiembre de 2026, desarrolla lo establecido por la Ley N°21.719, que modificó la Ley N°19.628 sobre protección de la vida privada y creó la Agencia de Protección de Datos Personales. El objetivo es establecer un sistema que permita a los responsables de datos implementar medidas organizativas y de funcionamiento destinadas a promover el cumplimiento de la normativa y proteger los derechos de los titulares.
La adopción de estos modelos será voluntaria para los responsables de datos, ya sean personas naturales o jurídicas, públicas o privadas. Sin embargo, contar con un modelo certificado adquiere especial relevancia, ya que puede constituir una circunstancia atenuante frente a las sanciones que pueda imponer la futura Agencia de Protección de Datos Personales.
¿Qué deberá contener el programa de cumplimiento?
El reglamento establece una serie de elementos mínimos que deberán considerar las organizaciones que decidan implementar un modelo. Entre ellos se encuentra la identificación del responsable de datos; la designación de un Delegado de Protección de Datos (DPO); la caracterización de los datos, bases de datos y operaciones de tratamiento; y la identificación de aquellas actividades que presenten mayores riesgos de incumplimiento, las que deberán incorporarse a una matriz de riesgos.
También deberán existir protocolos, reglas y procedimientos específicos para prevenir infracciones, junto con mecanismos internos de reporte y denuncia. El reglamento permite que estos últimos se integren a canales de denuncia ya existentes en las organizaciones, siempre que cumplan con las exigencias establecidas para protección de datos personales.
El programa deberá contemplar, además, mecanismos para reportar determinados hechos a la Agencia o a los titulares de los datos, procedimientos de autodenuncia, sanciones administrativas internas y canales de denuncia ante el delegado que permitan resguardar la identidad del denunciante y evitar medidas desfavorables en su contra.
El DPO adquiere un papel central
Uno de los aspectos relevantes del reglamento es el desarrollo de la figura del Delegado de Protección de Datos. Su designación será obligatoria para las organizaciones que adopten y busquen certificar un programa de cumplimiento. El DPO podrá ser un dependiente de la organización o desempeñar sus funciones mediante una prestación de servicios externa.
El delegado deberá ser designado por la máxima autoridad directiva o administrativa y contar con autonomía respecto de la administración en las materias relacionadas con protección de datos. En el caso de las micro, pequeñas y medianas empresas, el dueño o las máximas autoridades podrán asumir directamente estas funciones. Además, las compañías pertenecientes a un mismo grupo empresarial podrán contar con un único delegado bajo determinadas condiciones.
El reglamento también precisa el perfil que deberá tener este profesional: conocimientos especializados en regulación de protección de datos personales, experiencia en la materia y las habilidades necesarias para desarrollar sus funciones. La organización tendrá que ser capaz de demostrar su idoneidad durante el proceso de certificación.
Entre sus responsabilidades estarán asesorar a la organización, supervisar el cumplimiento normativo, participar en la revisión del programa, impulsar la capacitación interna, colaborar en la identificación de riesgos y evaluaciones de impacto, atender consultas de los titulares y actuar como punto de contacto con la Agencia de Protección de Datos Personales. También deberá desarrollar un plan anual de trabajo y rendir cuenta de sus resultados, al menos una vez al año, ante la autoridad que lo designó.
Certificaciones tendrán una vigencia de tres años
La futura Agencia de Protección de Datos Personales será responsable de certificar, registrar y supervisar estos modelos. La certificación se realizará a solicitud del interesado y tendrá una vigencia de tres años, pudiendo posteriormente renovarse. Los modelos certificados serán incorporados al Registro Nacional de Sanciones y Cumplimiento, que permitirá el acceso público a los certificados emitidos.
La Agencia también tendrá facultades para supervisar los modelos certificados y requerir la información necesaria. La entrega de antecedentes falsos, incompletos o manifiestamente erróneos, así como el incumplimiento de los requerimientos de información, podrá ser sancionada conforme a la ley.
Asimismo, podrá revocar una certificación cuando el responsable deje de cumplir los requisitos establecidos por la ley o el reglamento, o en determinados casos sea sancionado por infracciones a la normativa. Una organización cuya certificación haya sido revocada podrá volver a solicitarla una vez que acredite que subsanó las causas que originaron esa decisión.
Cumplimiento deberá permear a toda la organización
El reglamento deja en evidencia que los modelos no estarán limitados a una política documental o a una función específica dentro de las áreas legales o tecnológicas. Las obligaciones derivadas del programa deberán incorporarse, cuando corresponda, a los contratos de trabajo y de prestación de servicios, incluyendo a los máximos cargos ejecutivos, además de difundirse entre trabajadores, empleados y prestadores de servicios.
De esta manera, la regulación avanza hacia un enfoque de cumplimiento que involucra gobernanza, gestión de riesgos, procedimientos internos, capacitación y responsabilidades claramente definidas dentro de las organizaciones.
Este último punto mantiene abierta una definición relevante para las organizaciones: aunque existe una propuesta legislativa para aplazar la entrada en vigencia, el reglamento ya entrega un marco concreto sobre cómo deberán estructurarse los modelos de prevención y cuáles serán las exigencias para quienes busquen certificarlos ante la nueva Agencia.
