Delegado de Protección de Datos: Independencia y conflictos de interés como pilar de cumplimiento

Por Raúl Arrieta Cortés*

El reciente ingreso a la Contraloría General de la República, para su trámite de toma de razón, del Decreto N° 662 de 2025 dictado por el Ministerio de Hacienda, constituye un hito relevante en la consolidación del marco regulatorio de la protección de datos personales en Chile. Este reglamento, que fija los modelos de prevención de infracciones, aborda con especial detalle la figura del Delegado de Protección de Datos, reforzando la necesidad de su autonomía funcional y de su capacidad de actuar sin presiones ni interferencias.

La institucionalidad del Delegado de Protección de Datos no es una mera formalidad. Se erige como una pieza estructural en el nuevo ecosistema de cumplimiento: garante de conformidad, puente entre el responsable del tratamiento, los titulares de datos y la autoridad de control. De su diseño y correcta delimitación dependerá, en gran medida, la eficacia del sistema. Por eso la ley le reconoce dos atributos irrenunciables: independencia y ausencia de conflictos de interés.

Una lectura rápida del Decreto podría llevar a la errada conclusión de que existe amplia flexibilidad, al establecer que el  Delegado de Protección de Datos podrá desempeñar otras funciones y cometidos (artículo 9). Pero lo que en apariencia se ofrece como una concesión generosa, en realidad inaugura un régimen de compatibilidad condicionada de alta exigencia. El responsable del tratamiento no queda liberado, sino obligado a un análisis de riesgos preventivo, a un escrutinio funcional sobre si esas otras funciones comprometen o no la imparcialidad del Delegado de Protección de Datos.

El núcleo de esta regulación descansa en un principio jurídico muy relevante: la prohibición de la autoevaluación. El reglamento es tajante al disponer que el delegado no podrá realizar actividades que estén sujetas a su supervisión o sobre las cuales deba pronunciarse o asesorar (artículo 9, inciso final). La incompatibilidad, entonces, no depende de un listado de cargos vetados, sino de la imposibilidad de que una misma persona sea juez y parte.

La lógica es clara: el Delegado de Protección de Datos no puede diseñar los fines y medios de un tratamiento de datos y, al mismo tiempo, evaluarlos bajo criterios de legalidad, proporcionalidad y seguridad. Permitir tal dualidad vaciaría de contenido su rol, reduciéndolo a una formalidad decorativa y debilitando el régimen de protección de datos. De este modo, se cierra así la puerta a la figura del Delegado de Protección de Datos nominal, cuya supuesta autonomía se ve en realidad capturada por intereses operativos o comerciales de la organización.

De ahí que la obligación del responsable sea eminentemente proactiva: identificar, prevenir y gestionar ex ante cualquier riesgo de conflicto de interés. Y los ejemplos abundan. Un Gerente Comercial cuya meta es maximizar el uso de datos para fines de marketing difícilmente puede compatibilizar ese objetivo con la obligación del Delegado de Protección de Datos de velar por la licitud del consentimiento y la efectividad del derecho de oposición. Allí el conflicto es estructural, no circunstancial.

Un aspecto relevante de la regulación es que esta obligación no distingue si el Delegado de Protección de Datos es un trabajador dependiente o un prestador externo. Tanto el artículo 7 como el artículo 9, inciso final, establecen que el estándar de independencia y ausencia de conflictos se impone con la misma intensidad en ambos escenarios. Con ello se cierra la posibilidad de que la externalización del cargo sea usada como subterfugio para relajar los deberes. La función prevalece sobre la forma contractual.

En la práctica, el análisis no puede limitarse a la denominación del cargo que ostenta el Delegado de Protección de Datos. La pregunta clave es otra: ¿qué decisiones toma? Si esas funciones adicionales le otorgan poder de decisión sobre el “qué”, el “cómo” o el “por qué” del tratamiento de datos, la incompatibilidad es evidente. El criterio es funcional y material, no nominal ni formalista.

El mensaje que deja esta normativa es inequívoco: el Delegado de Protección de Datos no es un consultor complaciente ni un asesor subordinado. Es un supervisor con mandato de independencia, llamado a ejercer un contrapeso institucional en el corazón de la organización. Permitir que su juicio se vea subordinado a presiones operativas o comerciales no solo vulnera la letra de la ley, sino que desnaturaliza la finalidad del régimen de protección de datos.

Por ello, garantizar la autonomía del Delegado de Protección de Datos es mucho más que un requisito de cumplimiento: es una decisión estratégica de gestión de riesgos y de fortalecimiento del gobierno corporativo. Una organización que protege la independencia de su Delegado de Protección de Datos proyecta al mercado y a sus clientes un mensaje claro y potente: la privacidad no es un accesorio, es un pilar de su cultura corporativa y un elemento esencial de su sostenibilidad reputacional.

*Raúl Arrieta Cortés. Socio en GA-Abogados.