Hablemos de ilegalidades: las cláusulas contractuales modelo para transferencias de datos del Ministerio de Economía

Por Ivonne Bueno Moraga y Carlos Reusser Monsálvez*

El día 19 de diciembre de 2025, el Ministerio de Economía publicó en el Diario Oficial una resolución que aprueba cláusulas contractuales modelo para transferencias internacionales de datos personales.

Parece técnico y lo es, pero incide en materia de derechos fundamentales, por lo que merece ser explicado con detalle.

Primero, la idea básica: algunos países del mundo han sido reconocidos como lugares seguros para proteger los datos personales de sus ciudadanos (tienen un “nivel adecuado”). Estar entre esos países tiene ventajas enormes: protege mejor los derechos de las personas y facilita que las empresas puedan mover datos de un país a otro sin barreras, favorece las inversiones, crea nuevas empresas, genera nuevos servicios, además de empleo y desarrollo tecnológico. Allí están, por ejemplo, Japón, toda la Unión Europea, Corea del Sur, Nueva Zelanda, Uruguay y así hasta llegar a unos 40 países.

¿Qué necesita Chile para estar en ese grupo selecto? Básicamente, cumplir estándares de protección de datos personales, tener una autoridad independiente que supervise su cumplimiento y un marco de sanciones que funcione. Y, claro, que la Comisión Europea tome nota de ello y así nos lo reconozca.

En ese nuevo contexto, el libre tránsito de datos personales operará, desde luego, entre países que tienen ese “nivel adecuado”, pero ¿qué pasa si una empresa chilena quiere transmitir los datos de sus ciudadanos a un país que no tiene tal reconocimiento, porque lo necesita para hacer algún negocio?

Puede hacerlo igualmente, pero con garantías especiales que protejan a la gente: la ley dice que nuestra Agencia de Protección de Datos Personales —que existirá en 2026— puede, entre varias alternativas, aprobar cláusulas tipo en materia de protección de datos que incluyan dichas garantías, que deben ser incluidas en los contratos que celebren las empresas contratantes y sólo a partir de ese momento los datos de los chilenos podrán viajar a otras latitudes.

Es más, el artículo 28 del nuevo texto de la Ley 19.628 dice expresamente quién es el que redacta esas cláusulas tipo: la Agencia de Protección de Datos, porque solo ella está facultada para estudiar las distintas realidades y determinar tanto a qué países se aplican y cuál es el tipo de garantías que son adecuadas para cada país. A distintos países se le pueden aplicar diferentes tipos de garantías, pues incluso las cláusulas modelo podrían ser insuficientes.

Que la ley ordene esto, es completamente lógico: la protección de datos es un derecho fundamental establecido en la Constitución, y ella misma ha reservado su regulación a la ley. Y la ley dice que quién debe establecer los términos y condiciones bajo las cuales los datos de los ciudadanos chilenos viajan a otros países, es la Agencia de Protección de Datos Personales.

Por lo tanto, cuando el Ministerio de Economía se arroga la atribución de, mediante una simple resolución administrativa, definir la forma en que se protege un derecho fundamental (¡a lo que hemos llegado!), incurre en una ilegalidad evidente y preocupante. No le corresponde, no está dentro de sus competencias y, lo que es aún más grave, expone a empresas e instituciones a escenarios de incertidumbre jurídica, a posibles rectificaciones futuras de la autoridad competente y, eventualmente, a responsabilidades patrimoniales que terminarán pagando todos los ciudadanos.

La resolución afirma que busca entregar “certeza jurídica” durante este período transitorio. Sin embargo, consigue exactamente lo contrario. No solo instala confusión entre las empresas respecto de supuestas nuevas obligaciones, sino que además las expone a realizar un doble esfuerzo: primero, adoptando estas cláusulas para intentar cumplir con la reciente regulación; y luego, eventualmente, teniendo que eliminarlas o modificarlas cuando la Agencia de Protección de Datos Personales —la única autoridad legalmente competente— establezca sus propias condiciones o determine garantías distintas para determinados países. En lugar de claridad, lo que se crea es incertidumbre y riesgo innecesario.

En síntesis, si se observa el cuadro completo, la situación roza lo absurdo: Chile aún no ha alcanzado el reconocimiento internacional de “nivel adecuado” de protección de datos; la nueva ley todavía no entra en vigor; hoy no existe restricción alguna para el libre flujo de datos personales; el Ministerio de Economía ni tiene ahora ni tendrá en el futuro competencia para fijar las garantías en transferencias internacionales; y, cuando la Agencia se establezca en 2026, podría —con toda legitimidad— definir estándares completamente distintos.

La pregunta, entonces, es inevitable: ¿por qué el Ministerio de Economía insiste en avanzar por la vía de la ilegalidad manifiesta? ¿Por qué decide intervenir en materias que la ley reservó expresamente a la Agencia de Protección de Datos? ¿Por qué pretende, mediante una resolución administrativa, determinar la aplicación de un derecho constitucional? No son solo dudas jurídicas: son preguntas sobre deferencia institucional, respeto al legislador y responsabilidad pública.

La propia resolución ofrece la respuesta: se fundan en las recomendaciones de la «Comisión Asesora Ministerial para la implementación de la ley N.º 21.719». Esta justificación, empero, no resulta suficiente, toda vez que se trata de una instancia integrada por personas designadas discrecionalmente, sin responsabilidad política ni administrativa, donde confluyen actores que representan intereses sectoriales y particulares, no exclusivamente el interés general del país. En consecuencia, era deber del Ministerio de Economía adoptar los resguardos necesarios.

Después de todo el camino recorrido para construir una regulación moderna, legítima y técnicamente seria; después de las discusiones académicas, políticas y ciudadanas; después del esfuerzo de tantos actores por llegar a instalar en Chile una cultura de protección de datos robusta y alineada con los mejores estándares, lo mínimo exigible es el rigor y respeto al marco jurídico. No tiene sentido, después de tan larga navegación, venir a morir en la playa.

*Ivonne Bueno Moraga es abogada, Universidad de Chile. Máster en Derecho por la Universidad de Edimburgo y Máster en Políticas Públicas por King’s College London. Socia de Habeas Data Consultores y fundadora del Observatorio Ciudadan@ Digital.

*Carlos Reusser Monsálvez es abogado, Universidad de Chile. Doctor en Derecho por la Universidad de Salamanca y Magíster en Derecho Constitucional por la Pontificia Universidad Católica de Chile. Profesor de Derechos Digitales en la Universidad Alberto Hurtado.