El modelo de prevención de infracciones es un programa de cumplimiento voluntario que cualquier responsable de datos puede implementar. No es obligatorio, pero cumple dos funciones: reduce el riesgo de cometer infracciones a la Ley 19.628 y, si igual ocurre una infracción, puede atenuar las sanciones que imponga la Agencia de Protección de Datos Personales. El Decreto 662 fijó las reglas de certificación, registro y supervisión de estos modelos.
Qué es el modelo de prevención de infracciones
El modelo de prevención de infracciones es un programa de cumplimiento que adopta voluntariamente un responsable de datos. Consiste en identificar los procesos de la organización en los que se trata información personal, reconocer los riesgos de infracción y establecer protocolos, reglas y procedimientos para prevenirlos.
La Ley 21.719 incorporó esta figura en los artículos 49 a 53 de la Ley 19.628. El Decreto 662, publicado en junio de 2025, desarrolló los requisitos, modalidades y procedimientos para implementar, certificar, registrar y supervisar estos modelos. Como explico en la guía de la Ley 21.719, el cumplimiento de la nueva normativa es obligatorio para todos los responsables de datos, pero el modelo de prevención es una herramienta adicional y opcional.
El programa debe contener, como mínimo, estos elementos:
- La designación de un delegado de protección de datos personales.
- La definición de medios y facultades del delegado.
- La identificación del tipo de información que la entidad trata, el ámbito territorial en que opera, la categoría de datos y la caracterización de los titulares.
- La identificación de las actividades o procesos en los que se genere o incremente el riesgo de cometer infracciones graves o gravísimas.
- El establecimiento de protocolos, reglas y procedimientos específicos para prevenir esas infracciones.
- Un sistema de denuncia interna de infracciones.
- Un plan de capacitación periódica sobre protección de datos.
- Un mecanismo de supervisión interna del modelo y de las actividades de tratamiento.
Para qué sirve: el efecto atenuante de sanciones
El modelo de prevención de infracciones tiene un efecto jurídico concreto: puede funcionar como atenuante de las sanciones que imponga la Agencia de Protección de Datos. Esto significa que si tu empresa comete una infracción y tiene un modelo certificado, la multa puede ser menor.
Eso sí, el modelo no es un salvoconducto. Si el responsable es sancionado por una infracción grave o gravísima, la Agencia puede revocar la certificación del modelo. Y la adopción de un programa de cumplimiento no exime del deber de todos los responsables de datos de cumplir con la ley: el modelo es una capa adicional, no un reemplazo del cumplimiento básico.
El otro beneficio es operativo: implementar un modelo de prevención obliga a la organización a mapear sus procesos, identificar riesgos y establecer controles. Eso reduce la probabilidad de cometer infracciones por desconocimiento o por falta de procedimientos claros.
Cuándo tiene sentido implementar un modelo de prevención
No todas las empresas necesitan un modelo de prevención certificado. Una pyme de cinco personas que trata solo datos de contacto de clientes puede cumplir la ley sin un programa formal. Pero si tu empresa trata datos sensibles, opera en sectores regulados, tiene procesos de tratamiento complejos o enfrenta riesgo reputacional alto, el modelo puede ser una inversión razonable.
Ejemplos de organizaciones que podrían considerar un modelo: una clínica con historias clínicas electrónicas, una empresa de recursos humanos que gestiona datos laborales de terceros, una institución financiera, una empresa de marketing con bases de datos de perfilamiento, o un colegio con información de menores de edad.
Cómo se certifica: el proceso ante la Agencia de Protección de Datos
La Agencia de Protección de Datos es la entidad encargada de certificar que el modelo de prevención de infracciones reúna los requisitos establecidos en la ley y en el Decreto 662. El procedimiento de certificación se inicia a solicitud del interesado y se tramita según las reglas de la Ley 19.880 y las instrucciones generales que dicte la Agencia.
El Decreto 662 establece que la Agencia certificará los modelos de prevención que cumplan con los requisitos legales y reglamentarios. Una vez certificado, el modelo se incorpora al Registro Nacional de Sanciones y Cumplimiento, con acceso público. El registro incluye el nombre del responsable, la fecha de certificación y su plazo de vencimiento.
Los certificados tienen una vigencia de tres años. Quedan sin efecto por revocación de la Agencia, por fallecimiento del responsable en caso de personas naturales, por disolución de la persona jurídica, por resolución judicial ejecutoriada o por cese voluntario de la actividad del responsable.
Qué revisa la Agencia al certificar
La Agencia verifica que el modelo contenga los elementos mínimos que exige la ley: delegado de protección de datos con medios y facultades suficientes, identificación de los procesos de tratamiento y los riesgos asociados, protocolos específicos de prevención, sistema de denuncia interna, plan de capacitación y mecanismo de supervisión interna.
También revisa que el delegado de protección de datos cumpla los requisitos de idoneidad y que el responsable pueda demostrar que el modelo se ha implementado de manera efectiva, no solo en el papel. La Agencia puede supervisar el cumplimiento de los modelos certificados y revocar la certificación si el responsable deja de cumplir con los requisitos o si es sancionado por una infracción grave o gravísima.
El rol del delegado de protección de datos en el modelo
La designación de un delegado de protección de datos es obligatoria dentro del modelo de prevención de infracciones. Este delegado no es un cargo decorativo: tiene funciones específicas y debe contar con medios y facultades reales para ejercerlas.
El delegado debe asesorar al responsable en el cumplimiento de la normativa, supervisar la aplicación de la política de protección de datos, preocuparse de la formación permanente de las personas que participan en las operaciones de tratamiento, asistir a los miembros de la organización en la identificación de riesgos, desarrollar un plan anual de trabajo, rendir cuenta de sus resultados, absolver las consultas y solicitudes de los titulares de datos, y actuar como punto de contacto de la Agencia.
El responsable que lo designe debe ser capaz de demostrar la idoneidad del delegado para el ejercicio de sus funciones, en el marco del procedimiento de certificación. Además, debe publicar los datos de contacto del delegado en su sitio web o en cualquier otro medio de información equivalente.
Implementación, supervisión y revocación
La implementación del modelo de prevención se realiza por cada responsable y puede iniciarse antes de que la Agencia incorpore a la entidad en el Registro Nacional de Sanciones y Cumplimiento. Es decir, puedes empezar a trabajar en el modelo antes de solicitar la certificación.
Una vez certificado, la Agencia puede supervisar el cumplimiento del modelo y de las reglas legales y reglamentarias que le son aplicables. Si detecta incumplimientos, puede revocar la certificación de manera fundada. También puede revocarla si el responsable es sancionado por una infracción grave o gravísima.
El responsable cuya certificación haya sido revocada puede volver a solicitarla, dando cumplimiento a todos los requisitos que la ley y el reglamento establecen. El procedimiento de revocación se inicia de oficio o a petición de interesado, de conformidad con la Ley 19.880 y las normas que dicte la Agencia.
El Decreto 662 y su importancia práctica
El Decreto 662, publicado el 13 de junio de 2025, es el reglamento que desarrolla los artículos 49 a 53 de la Ley 19.628. Fue suscrito por el Ministerio de Hacienda, el Ministerio Secretaría General de la Presidencia y el Ministerio de Economía, Fomento y Turismo, y establece las condiciones formales para implementar, certificar, registrar y supervisar los modelos de prevención de infracciones.
El decreto fija los requisitos del programa de cumplimiento, las atribuciones del delegado de protección de datos, el procedimiento de certificación ante la Agencia, las reglas de vigencia y revocación de los certificados, y las facultades de supervisión de la Agencia. Para conocer el texto completo y sus implicancias, puedes revisar la guía completa del Decreto 662.
El decreto también establece que la adopción e implementación de un programa de cumplimiento no obsta al deber de todos los responsables de datos de adoptar acciones destinadas a prevenir la comisión de infracciones y, en general, a dar cumplimiento a las disposiciones de la Ley 19.628. Es decir, el modelo de prevención es una herramienta adicional, no un sustituto del cumplimiento básico.
Preguntas frecuentes
¿Es obligatorio tener un modelo de prevención de infracciones?
No. El modelo de prevención de infracciones es voluntario. Cualquier responsable de datos puede adoptarlo, pero no está obligado a hacerlo. Lo que sí es obligatorio es cumplir con la Ley 19.628, con o sin modelo de prevención.
¿Cuánto cuesta certificar un modelo de prevención ante la Agencia?
El Decreto 662 no especifica aranceles ni costos de certificación. La Agencia de Protección de Datos deberá establecer esos valores mediante instrucciones generales. Lo que sí tiene costo es el trabajo previo: implementar el modelo, designar un delegado con medios reales, mapear procesos, establecer protocolos y capacitar al personal.
¿Qué pasa si tengo un modelo certificado y cometo una infracción?
El modelo puede funcionar como atenuante de la sanción, pero no te exime de responsabilidad. Si la infracción es grave o gravísima, la Agencia puede revocar la certificación del modelo. El efecto atenuante no es automático: depende de que el modelo esté vigente, implementado de manera efectiva y de que la infracción no sea producto de negligencia grave.
¿Puedo implementar un modelo de prevención sin certificarlo?
Sí. Puedes implementar un programa de cumplimiento interno sin solicitar la certificación de la Agencia. En ese caso, el modelo no tendrá el efecto atenuante de sanciones ni aparecerá en el Registro Nacional de Sanciones y Cumplimiento, pero igual te ayudará a ordenar tus procesos y reducir riesgos.
Siguiente paso: ordenar el cumplimiento antes del 1 de diciembre de 2026
El modelo de prevención de infracciones es una herramienta voluntaria, pero útil para empresas que enfrentan riesgos altos o que tratan datos sensibles. Implementarlo requiere trabajo previo: mapear procesos, identificar riesgos, establecer protocolos y designar un delegado con medios reales. Si tu empresa está evaluando esta opción, el primer paso es ordenar el cumplimiento básico de la Ley 21.719. En MenteGlobal ofrecemos CumplePyme, un paquete de documentos y acompañamiento para empresas que necesitan cumplir con la nueva normativa de protección de datos personales.