Resumen Ejecutivo
El Decreto N° 662 del Ministerio de Hacienda de Chile establece las condiciones, requisitos y procedimientos formales para implementar, certificar, registrar y supervisar los Modelos de Prevención de Infracciones en materia de datos personales.
Este reglamento desarrolla los artículos 49 a 53 incorporados a la Ley N° 19.628 por medio de la Ley N° 21.719, consolidando un marco normativo para la adopción de programas de cumplimiento voluntario. Su principal incentivo radica en que una implementación efectiva actúa como circunstancia atenuante de las sanciones administrativas aplicables por la Agencia de Protección de Datos Personales (APDP).
Contexto Normativo y Marco Legal del Decreto N° 662
Instrumento Legal y Publicación
- Fecha de dictación: 13 de junio de 2025, por el Ministerio de Hacienda, suscrito por el Ministro Secretario General de la Presidencia y el Ministro de Economía, Fomento y Turismo.
- Publicación formal: 9 de septiembre de 2026 en el Diario Oficial de la República de Chile.
Relación con la Ley N° 19.628 y la Ley N° 21.719
La Ley N° 21.719 (publicada el 13 de diciembre de 2024 y con entrada en vigencia general el 1° de diciembre de 2026) modificó sustancialmente la Ley N° 19.628 sobre Protección de la Vida Privada para:
- Elevar el estándar de protección constitucional (artículo 19 N° 4 de la Constitución).
- Crear la Agencia de Protección de Datos Personales (APDP).
- Incorporar un sistema de prevención de infracciones, encomendando su detalle operativo y reglamentación al Decreto N° 662.
Naturaleza del Modelo de Prevención de Infracciones
Carácter Voluntario de la Adopción
Cualquier responsable del tratamiento de datos —ya sea una persona natural o jurídica, pertenecientes al sector público o privado— puede adoptar e implementar de manera voluntaria un programa de cumplimiento corporativo.
Nota clave: La adopción voluntaria del modelo no exime al responsable de su deber general e ininterrumpido de cumplir con toda la normativa legal vigente.
Beneficio Regulatorio como Circunstancia Atenuante
El principal incentivo estratégico para las organizaciones es que la adopción e implementación efectiva de un programa de cumplimiento debidamente certificado opera como una circunstancia atenuante frente a los procesos sancionatorios que curse la APDP.
Requisitos y Elementos Mínimos del Programa de Cumplimiento
De acuerdo con el artículo 3° del reglamento, todo programa de cumplimiento debe estar integrado por una serie de instrumentos operativos y contar, a lo menos, con diez elementos estructurales divididos en las siguientes áreas fundamentales:
1. Gobernanza e Identificación Inicial
- Individualización del Responsable: Identificación completa del responsable de datos y de su representación legal.
- Designación del Delegado de Protección de Datos (DPO): Nombramiento formal de la persona o entidad encargada de velar por el cumplimiento.
- Medios y Facultades del DPO: Asignación explícita de recursos presupuestarios, materiales y atribuciones para el ejercicio efectivo de sus funciones.
2. Caracterización de las Actividades de Tratamiento (Registro RPA)
El programa debe caracterizar minuciosamente las operaciones mediante un Registro de Actividades de Tratamiento (RPA), detallando:
- Tipos de datos tratados (especificando si corresponden a datos sensibles o categorías especiales).
- Ámbito territorial de las operaciones de tratamiento.
- Categorías de bases de datos administradas y de titulares afectados.
- Fines perseguidos, fuentes de origen y bases de licitud (incluyendo el interés legítimo).
- Destinatarios de cesiones, transferencias internacionales y sus respectivos mecanismos de resguardo.
- Plazos o criterios definidos para la supresión de los datos.
- Uso de decisiones automatizadas o elaboración de perfiles, explicitando la lógica aplicada y los efectos para el titular.
3. Gestión de Riesgos y Procedimientos Operativos
- Matriz de Riesgos: Identificación y evaluación de procesos internos habituales o esporádicos que presenten riesgo de incurrir en infracciones leves, graves o gravísimas (conforme a los artículos 34 bis, ter y quáter de la Ley N° 19.628).
- Protocolos y Reglas Específicas: Procedimientos diseñados a la medida según el volumen de datos, nivel de riesgo, tamaño y capacidad económica de la organización.
4. Canales Internos, Sanciones y Denuncias
- Mecanismos de Reporte y Notificación: Canales permanentes para informar incidencias internas, notificar vulneraciones de seguridad a la APDP y titulares, y tramitar autodenuncias.
- Régimen Sancionatorio Interno: Sanciones y procedimientos disciplinarios por incumplimientos del programa o de la ley (en el sector público, especificando el régimen disciplinario aplicable a funcionarios).
- Canal de Denuncia Interna: Vías de comunicación hacia el DPO que garanticen estricta reserva de identidad y la prohibición absoluta de represalias o medidas desfavorables contra el denunciante.
- Disposiciones Complementarias: Reglas adaptadas a la naturaleza particular de la entidad.
El Delegado de Protección de Datos (DPO)
Calidad, Nombramiento y Autonomía
- Obligatoriedad: Su designación es un requisito indispensable para certificar e implementar el programa de cumplimiento.
- Modalidades de Contratación: Puede ser un colaborador interno (dependiente) o un prestador externo (persona natural o jurídica). En el sector público, debe pertenecer a la dotación vigente del servicio.
- Autonomía e Interlocución Directa: Debe ser nombrado por la máxima autoridad directiva o administrativa (Directorio, socios administradores o jefe de servicio) y rendir cuentas directamente ante ella con total autonomía funcional.
Reglas Especiales para MiPyMEs y Grupos Empresariales
- MiPyMEs: El dueño o máxima autoridad directiva de una micro, pequeña o mediana empresa puede asumir directamente el rol de DPO.
- Grupos Empresariales: Las entidades bajo un mismo grupo o controlador pueden designar un DPO único, siempre que compartan las mismas políticas y el DPO resulte accesible para todas las filiales.
Requisitos de Idoneidad y Deber de Confidencialidad
El DPO debe acreditar conocimientos técnicos especializados y experiencia actualizada en los criterios de la APDP y jurisprudencia relevante. Su idoneidad será evaluada durante el proceso de certificación. Asimismo, está sujeto a un deber estricto de secreto y confidencialidad permanente.
Funciones Principales del DPO
- Asesoría continua: Informar y asesorar a la organización sobre el marco normativo y resoluciones de la APDP.
- Desarrollo del programa: Participar activamente en la elaboración y actualización del programa de cumplimiento.
- Cultura organizacional: Promover programas de capacitación y sensibilización continua en protección de datos.
- Supervisión e informes: Monitorear el cumplimiento e informar de inmediato a la alta dirección sobre cualquier brecha o infracción.
- Evaluaciones de Impacto: Asesorar en el desarrollo de las Evaluaciones de Impacto en Protección de Datos (EIPD / PIA).
- Planificación y Rendición de Cuentas: Elaborar un plan anual de trabajo y presentar el informe final de resultados a la alta dirección.
- Enlace institucional: Atender consultas de los titulares y actuar como punto de contacto formal ante la APDP.
Proceso de Certificación, Registro y Supervisión por la APDP
Certificación y Vigencia
La Agencia de Protección de Datos Personales (APDP) es el órgano competente para certificar la conformidad técnica y legal del modelo.
- El trámite se inicia a solicitud de parte en conformidad con la Ley N° 19.880.
- La APDP podrá apoyarse en evaluadores externos autorizados.
- Vigencia: Las certificaciones otorgadas tienen una validez de 3 años, renovables a petición de la entidad.
Registro Nacional de Sanciones y Cumplimiento
Las entidades que obtengan la certificación ingresarán al Registro Nacional de Sanciones y Cumplimiento, el cual es de carácter público.
Importante: La difusión comercial o pública de contar con un programa certificado solo podrá realizarse mediante referencia directa a dicho registro. No obstante, la ejecución operativa del modelo puede iniciarse antes de su inscripción registral.
Supervisión y Causales de Revocación
La APDP conserva la facultad de auditar y supervisar periódicamente los modelos vigentes. La certificación podrá ser revocada si:
- Se detecta el incumplimiento de los requisitos estructurales del modelo.
- La entidad es sancionada por infracciones a la Ley N° 19.628.
En caso de revocación, la obtención de una nueva certificación exigirá acreditar que las brechas fueron subsanadas y que se incorporaron nuevas medidas preventivas y organizativas de fondo.
Integración Contractual y Difusión Interna
Para que el modelo de prevención posea validez y eficacia jurídica plena, la organización debe asegurar su integración formal:
- Contratos de Trabajo y Servicios: Las reglas y deberes del programa deben incorporarse formalmente como cláusulas obligatorias en los contratos laborales y de prestación de servicios de empleados, ejecutivos y proveedores.
- Reglamento Interno (RIOHS): Cuando aplique, deben incorporarse al Reglamento Interno de Orden, Higiene y Seguridad, de acuerdo con los artículos 153 y 156 del Código del Trabajo.
- Comunicación Interna: La entidad está obligada a difundir activamente el programa y todas sus actualizaciones a la totalidad de su personal.
Conclusión
El Decreto N° 662 marca un hito en la regulación chilena al entregar certezas claras para la construcción de programas de cumplimiento normativo en protección de datos.
Más allá de constituir una herramienta para mitigar riesgos sancionatorios ante la APDP, la correcta adopción de un modelo preventivo —respaldado por un DPO idóneo, una matriz de riesgos actualizada y una sólida gobernanza interna— permite a las organizaciones consolidar un estándar superior de responsabilidad proactiva y generar valor y confianza ante sus titulares y el mercado.
Fuente: Diario Oficial