El Decreto N.º 662 establece los requisitos y procedimientos para implementar, certificar, registrar y supervisar los Modelos de Prevención de Infracciones en materia de protección de datos personales.
El 9 de septiembre de 2026 fue publicado en el Diario Oficial el Decreto N.º 662 del Ministerio de Hacienda, que aprueba el reglamento asociado a los Modelos de Prevención de Infracciones contemplados en el artículo 49 incorporado por la Ley N.º 21.719 a la Ley N.º 19.628.
La publicación constituye un nuevo avance en la implementación del marco regulatorio de protección de datos personales en Chile, ya que entrega mayor detalle respecto de los requisitos, modalidades y procedimientos para la implementación, certificación, registro y supervisión de estos modelos.
Pero ¿qué establece concretamente el reglamento y qué deberían considerar las organizaciones?
¿Qué es el Modelo de Prevención de Infracciones?
El reglamento establece que los responsables de datos, sean personas naturales o jurídicas, públicas o privadas, podrán adoptar e implementar voluntariamente un Modelo de Prevención de Infracciones consistente en un programa de cumplimiento.
Su finalidad es establecer medidas organizativas y de funcionamiento orientadas al cumplimiento de la normativa y a la protección de los derechos de los titulares de datos personales.
Aquí existe una distinción especialmente importante:
El Modelo de Prevención es voluntario. El deber de cumplir la normativa y adoptar acciones para prevenir infracciones no lo es.
El propio reglamento establece que la adopción de un programa de cumplimiento no afecta el deber general de todos los responsables de datos de adoptar acciones destinadas a prevenir infracciones y cumplir las disposiciones de la Ley N.º 19.628.
¿Qué debe contener el programa de cumplimiento?
Uno de los principales aportes del Decreto N.º 662 es que entrega una estructura mucho más concreta respecto de los elementos que deberán formar parte de estos programas.
El artículo 3 contempla, entre otras materias:
- La individualización del responsable de datos y de su representante legal, cuando corresponda.
- La designación de un Delegado de Protección de Datos Personales.
- La definición de los medios y facultades del delegado.
- La caracterización de los datos personales y las operaciones de tratamiento.
- La identificación de actividades o procesos que puedan generar o incrementar riesgos de infracción y su incorporación a una matriz de riesgos.
- Protocolos, reglas y procedimientos específicos.
- Mecanismos de reporte interno y de comunicación a la autoridad.
- Sanciones administrativas internas y procedimientos aplicables.
- Mecanismos internos de denuncia.
- Otras disposiciones necesarias para cumplir las normas aplicables a la protección de datos personales.
Esto refuerza una idea fundamental: implementar un modelo de cumplimiento en protección de datos implica conocer los tratamientos, identificar riesgos, establecer responsabilidades y generar controles concretos dentro de la organización.
El RAT adquiere especial relevancia
Uno de los elementos relevantes del nuevo reglamento es el nivel de detalle exigido para la caracterización de las actividades de tratamiento.
Entre otros antecedentes, se deberán identificar los tipos de datos tratados; si existen datos sensibles o categorías especiales; los titulares; las finalidades del tratamiento; las fuentes de los datos; la base de licitud; los terceros a quienes puedan comunicarse; las transferencias internacionales; los plazos de supresión; y la existencia de decisiones automatizadas, incluida la elaboración de perfiles.
Y el reglamento establece expresamente que:
Esta caracterización podrá realizarse a través de un Registro de Actividades de Tratamiento (RAT).
El RAT se consolida así como una herramienta relevante para comprender cómo circulan los datos personales dentro de una organización y apoyar su gestión.
Antes de proteger adecuadamente los datos, es necesario saber qué datos existen, dónde están, para qué se utilizan y quiénes intervienen en su tratamiento.
El rol del Delegado de Protección de Datos
El reglamento también desarrolla ampliamente el estatuto del Delegado de Protección de Datos (DPD/DPO).
Existe aquí otra precisión importante: el responsable puede designar un DPD, pero su designación será obligatoria en el marco de la adopción y certificación de un programa de cumplimiento.
El reglamento aborda aspectos como su designación, autonomía, independencia, recursos, conocimientos especializados, comunicación con los titulares, confidencialidad y funciones.
Además, establece que el delegado puede ser dependiente del responsable del tratamiento o desempeñar sus funciones mediante un contrato de prestación de servicios. Incluso una misma persona natural puede actuar como DPD de más de un responsable, siempre que se cumplan los requisitos legales y reglamentarios.
¿Qué requisitos debe cumplir el DPD?
El artículo 10 señala que su designación debe considerar:
Conocimientos especializados + experiencia + habilidades profesionales.
Asimismo, deberá mantener sus conocimientos actualizados respecto de las normas aplicables, las decisiones y normas que dicte la Agencia y la jurisprudencia relevante.
El responsable deberá, además, ser capaz de demostrar la idoneidad del delegado dentro del procedimiento de certificación.
Esto confirma que el DPD no debe entenderse únicamente como un cargo formal dentro del organigrama.
Debe contar con las condiciones necesarias para ejercer efectivamente su función.
El programa debe llegar a toda la organización
El reglamento no limita el cumplimiento a la creación de documentos.
Su artículo 4 establece que la regulación interna derivada de la implementación del programa deberá incorporarse expresamente como obligación en los contratos de trabajo o de prestación de servicios, cuando corresponda, incluyendo a los máximos cargos ejecutivos. También deberá incorporarse al reglamento interno en los casos pertinentes.
Además, el responsable deberá difundir la existencia del programa de cumplimiento entre trabajadores, empleados y prestadores de servicios, así como sus posteriores modificaciones o actualizaciones.
Este punto resulta especialmente relevante desde una perspectiva de cultura organizacional.
Un programa de cumplimiento difícilmente será efectivo si las personas que participan en los tratamientos de datos no conocen sus responsabilidades ni comprenden los procedimientos que deben aplicar.
Certificación, registro y supervisión
El Decreto N.º 662 también regula el proceso de certificación de los Modelos de Prevención de Infracciones.
La futura Agencia de Protección de Datos Personales podrá certificar, registrar y supervisar aquellos modelos que cumplan con los requisitos establecidos en la ley y el reglamento.
La certificación:
→ se inicia a solicitud del interesado;
→ tendrá una vigencia de tres años;
→ podrá renovarse;
→ y dará lugar a la incorporación del modelo al Registro Nacional de Sanciones y Cumplimiento.
Este registro permitirá el acceso público a los certificados emitidos por la Agencia.
El reglamento también contempla la posibilidad de supervisar posteriormente los modelos certificados y de revocar una certificación cuando dejen de cumplirse los requisitos correspondientes.
Por lo tanto, la certificación no debería entenderse como el término del proceso.
El modelo deberá mantenerse funcionando y cumpliendo sus requisitos en el tiempo.
De la regulación a la implementación
La publicación del Decreto N.º 662 entrega nuevas definiciones para aquellas organizaciones que evalúen adoptar un Modelo de Prevención de Infracciones.
El desafío ahora será llevar estos requerimientos a la realidad de cada organización.
Eso implica avanzar en materias como:
RAT · gestión de riesgos · DPD · políticas · procedimientos · mecanismos de reporte · capacitación · controles · evidencia de cumplimiento.
La protección de datos personales comienza así a transitar desde las definiciones regulatorias hacia un modelo de gestión, gobernanza y cumplimiento permanente.
En Eticactiva continuaremos analizando las nuevas disposiciones de la Ley N.º 21.719 y sus reglamentos, con especial atención a sus implicancias prácticas para las organizaciones.
Revisa el Reglamento completo
Para quienes quieran profundizar en sus disposiciones, dejamos disponible el documento oficial publicado en el Diario Oficial:
Reglamento de Modelos de Prevención de Infracciones – Ley N.º 21.719 | Decreto N.º 662
