La protección de datos personales en Chile vivió una jornada de importantes novedades regulatorias. La toma de razón del reglamento sobre Modelos de Prevención de Infracciones y la presentación de un proyecto que busca postergar la entrada en vigencia de la Ley N.º 21.719 abren un nuevo escenario para las organizaciones.
Durante los últimos meses, empresas e instituciones han comenzado a prepararse para la entrada en vigencia de la nueva regulación sobre protección de datos personales.
Hoy ese proceso suma nuevos antecedentes que será necesario seguir de cerca.
Por una parte, se hizo pública la toma de razón del reglamento que desarrolla los Modelos de Prevención de Infracciones contemplados por la nueva regulación.
Por otra, fue presentado un proyecto que busca postergar por un año la entrada en vigencia de la Ley N.º 21.719.
Son dos movimientos que impactan el escenario regulatorio, pero que no necesariamente cambian una de las principales conclusiones para las organizaciones:
La preparación para la nueva normativa debería continuar.
Un nuevo paso para los Modelos de Prevención de Infracciones
El 28 de agosto de 2026, la Contraloría General de la República tomó razón del Decreto N.º 662, que aprueba el reglamento destinado a regular los requisitos, modalidades y procedimientos para la implementación, certificación, registro y supervisión de los Modelos de Prevención de Infracciones.
Este avance es especialmente relevante porque comienza a entregar mayor detalle respecto de cómo deberán estructurarse estos modelos.
El reglamento señala que los responsables de datos, sean personas naturales o jurídicas, públicas o privadas, podrán adoptar e implementar voluntariamente un Modelo de Prevención de Infracciones consistente en un programa de cumplimiento. Además, aclara que adoptar este programa no elimina el deber general de prevenir las infracciones establecidas en la normativa.
¿Qué contempla un programa de cumplimiento?
El Decreto N.º 662 permite aterrizar varios elementos que hasta ahora podían parecer más conceptuales.
Entre ellos se encuentran la individualización del responsable de datos; la designación del Delegado de Protección de Datos cuando corresponda dentro del modelo; la caracterización de los datos y operaciones de tratamiento; la identificación de actividades de mayor riesgo; protocolos y procedimientos internos; mecanismos de reporte y denuncia; y medidas destinadas a prevenir infracciones.
Un punto especialmente interesante es que el reglamento establece que la caracterización de las actividades de tratamiento podrá realizarse a través de un Registro de Actividades de Tratamiento (RAT).
Esto refuerza la importancia de que las organizaciones conozcan efectivamente:
- qué datos personales tratan;
- para qué los utilizan;
- cuál es la base que legitima su tratamiento;
- quiénes intervienen;
- a qué terceros pueden comunicarse;
- cuánto tiempo se conservan;
- y qué riesgos existen asociados a esas operaciones.
En otras palabras, el cumplimiento comienza mucho antes de redactar una política de privacidad.
Comienza por entender cómo circulan los datos dentro de la organización.
El Delegado de Protección de Datos también adquiere mayor definición
El reglamento dedica varios artículos a desarrollar la figura del Delegado de Protección de Datos (DPD o DPO).
Entre otras materias, aborda su designación, autonomía, medios y recursos, independencia, posibles conflictos de interés, conocimientos especializados, comunicación con los titulares, deber de confidencialidad y funciones.
El texto establece además que el DPD debe contar con conocimientos especializados en la regulación aplicable a la protección de datos personales, experiencia en la materia y habilidades profesionales adecuadas para las labores que deberá desempeñar. También deberá mantener actualizados sus conocimientos respecto de las normas, decisiones de la futura Agencia y jurisprudencia relevante.
Esto entrega una señal importante: el DPD no debería entenderse únicamente como una designación formal dentro de un organigrama.
Para cumplir adecuadamente su función necesitará autonomía, conocimientos y recursos suficientes.
Certificar, registrar y supervisar
Otro aspecto relevante del reglamento es que desarrolla el proceso mediante el cual la futura Agencia de Protección de Datos Personales podrá certificar, registrar y supervisar los modelos.
La Agencia podrá certificar aquellos que cumplan los requisitos establecidos y, cuando corresponda, incorporarlos al Registro Nacional de Sanciones y Cumplimiento. Las certificaciones tendrán una vigencia de tres años y podrán renovarse.
La regulación también contempla la supervisión posterior de los modelos certificados e incluso las circunstancias bajo las cuales una certificación podría ser revocada.
Esto refuerza otra idea fundamental:
el cumplimiento no termina cuando el modelo se diseña.
Debe poder implementarse, mantenerse y acreditarse en el tiempo.
Al mismo tiempo, se abre la discusión sobre una eventual prórroga
En paralelo a este avance reglamentario, el Ejecutivo presentó un proyecto destinado a modificar el calendario previsto para la entrada en vigencia de la Ley N.º 21.719.
La iniciativa busca postergar por doce meses su entrada en vigor.
Este nuevo escenario deberá seguirse a medida que avance su tramitación legislativa. Por ello, es importante diferenciar entre la presentación de una propuesta de prórroga y una modificación definitiva de la fecha de entrada en vigencia.
¿Una eventual prórroga significa que las organizaciones pueden esperar?
Esta probablemente sea una de las preguntas más relevantes que surge a partir de estas novedades.
Desde una perspectiva de gestión, postergar el trabajo de implementación podría convertirse en uno de los principales riesgos de una eventual extensión del plazo.
La adecuación a la nueva regulación no consiste únicamente en modificar contratos, políticas o avisos de privacidad.
Implica revisar cómo la organización recopila, utiliza, almacena, comunica y elimina información personal.
También supone identificar tratamientos, documentarlos, evaluar riesgos, revisar procesos y proveedores, establecer responsabilidades, implementar controles y capacitar a las personas que participan en el tratamiento de datos.
Todo esto requiere tiempo.
Por eso, una eventual prórroga podría representar una oportunidad para realizar una implementación más sólida, pero no debería interpretarse como una invitación a comenzar más tarde.
Más tiempo debería significar mejor implementación
La publicación del reglamento permite dimensionar precisamente el nivel de profundidad que puede alcanzar un sistema de cumplimiento en protección de datos.
RAT, matrices de riesgo, protocolos, mecanismos de reporte, capacitación, responsabilidades internas, DPD, certificación y supervisión forman parte de un ecosistema que requiere coordinación entre distintas áreas de una organización.
Legal, tecnología, seguridad de la información, recursos humanos, marketing, operaciones, compliance y alta dirección pueden tener responsabilidades distintas dentro de este proceso.
Por eso, independientemente de cómo evolucione la discusión sobre la fecha definitiva de entrada en vigencia, las organizaciones tienen hoy una oportunidad importante para seguir avanzando.
El calendario puede cambiar. La preparación no debería detenerse.
Las novedades conocidas representan un nuevo capítulo en la implementación del marco de protección de datos personales en Chile.
Por una parte, el reglamento comienza a entregar mayor claridad respecto de cómo podrán estructurarse y acreditarse los Modelos de Prevención de Infracciones.
Por otra, la discusión legislativa podría modificar los tiempos inicialmente previstos.
Pero el desafío de fondo permanece.
La protección de datos personales requiere pasar desde una lógica exclusivamente documental hacia una verdadera gestión de datos, riesgos y responsabilidades dentro de las organizaciones.
Una eventual extensión del plazo puede entregar más tiempo.
La pregunta será cómo utilizarlo.
Desde Eticactiva continuaremos siguiendo los avances regulatorios y compartiendo sus principales implicancias para las organizaciones.
