Por Pablo Contreras V.*
La Contraloría General de la República tomó razón, a fines de agosto, del Decreto N° 662 del Ministerio de Hacienda, que aprueba el reglamento de los modelos de prevención de infracciones incorporados por la Ley N° 21.719 a la Ley N° 19.628. Resta su publicación en el Diario Oficial y entrará en vigor junto con la ley, el 1 de diciembre de 2026. Conviene revisar su contenido, porque define el estándar de diligencia que las organizaciones podrán acreditar.
El reglamento fija los requisitos, modalidades y procedimientos para implementar, certificar, registrar y supervisar los programas de cumplimiento a que se refiere el artículo 49 de la Ley N° 19.628 (“LPDP”). Su adopción es voluntaria para cualquier responsable de tratamiento de datos de sector privado. Dicha voluntariedad, como es obvio, no libera a nadie del deber general de prevenir infracciones y cumplir la ley. La distinción conviene subrayarla, porque el modelo no sustituye al cumplimiento sino que ofrece una vía para acreditarlo y atenuar la responsabilidad infractora del responsable.
El contenido mínimo del programa está en el artículo 3°, en concordancia con el art. 49 LPDP. El responsable debe individualizarse junto a su representante legal, designar un delegado de protección de datos definiendo sus medios y facultades, caracterizar los datos y las operaciones de tratamiento, identificar las actividades que generan o incrementan el riesgo de infracción a los artículos 34 bis, 34 ter y 34 quáter LPDP, establecer protocolos y procedimientos específicos, disponer mecanismos de reporte interno y de reporte a la Agencia y a los titulares, contemplar sanciones administrativas internas y habilitar canales de denuncia.
La caracterización de los datos exigida es amplia y apunta al conocido “Registro de Actividades de Tratamiento” (RAT). Comprende el tipo de datos, incluidos los sensibles y las categorías especiales, el ámbito territorial, las categorías de titulares y de bases de datos, los fines, la fuente, la base de licitud y el interés legítimo cuando corresponda, las comunicaciones a terceros, las transferencias internacionales, los plazos de supresión y la existencia de decisiones automatizadas y elaboración de perfiles. El reglamento admite cumplirla mediante un RAT, salvando la omisión que la LPDP tuvo respecto de este tipo de instrumentos de compliance. A partir de ahí el responsable debe construir una matriz de riesgos que considere la graduación de las sanciones legales, de modo que el ejercicio queda anclado en el régimen sancionatorio de la ley.
Para las organizaciones, hay dos puntos que deben atender especialmente en la etapa de preparación en que hoy se encuentran. En primer lugar, deben integrar contractual y laboralmente el programa. La regulación interna derivada del modelo debe incorporarse expresamente como obligación en los contratos de trabajo y de prestación de servicios de todos los trabajadores y prestadores, incluidos los máximos cargos ejecutivos, y en el reglamento interno de los artículos 153 y siguientes del Código del Trabajo, con las medidas de publicidad del artículo 156. El responsable debe además difundir el programa y sus actualizaciones, y solo puede publicitar su certificación por referencia directa al Registro Nacional de Sanciones y Cumplimiento. Esto convierte al modelo en un instrumento de gobernanza y no en un documento de escritorio, pero supone un rediseño contractual y reglamentario que las organizaciones tienden a subestimar.
El segundo punto es el estatuto del delegado de protección de datos, cuya designación es obligatoria en el marco de la adopción y certificación del programa. Debe ser nombrado por la máxima autoridad directiva o administrativa, contar con autonomía y rendir cuenta ante ella, y el responsable debe proveerle medios suficientes, evitar conflictos de interés y publicar sus datos de contacto.
El reglamento zanjó un punto relevante respecto del DPO: éste puede ser interno o también se puede externalizar. Por lo tanto, se habilita expresamente los servicios de DPO (DPO as a service). Esta modalidad, además, reduce considerablemente los problemas de independencia y conflictos de intereses que pueden afectar a un DPO interno.
El reglamento se cierra con la certificación, que se inicia a solicitud del interesado, se rige por la Ley N° 19.880 y las instrucciones generales de la Agencia, y tiene una vigencia de tres años renovable. Las entidades certificadas se incorporan al Registro Nacional de Sanciones y Cumplimiento, de acceso público. La Agencia puede supervisar el cumplimiento y requerir información, que debe entregarse de manera íntegra y oportuna, y revocar la certificación de manera fundada, caso en el cual una nueva solicitud exige acreditar la subsanación de la causal.
Como establece la ley, el modelo es voluntario, su implementación es costosa pero el incentivo jurídico y económico radica en configurar una atenuante de responsabilidad infraccional frente a una sanción. En cualquier caso, lo razobable es construir un programa ahora por su valor sustantivo, esto es, por el registro de actividades de tratamiento, la matriz de riesgos, los protocolos y la capacitación, y tratar la certificación como un beneficio posterior.
*Pablo Contreras V.
Director del Doctorado en Derecho, Universidad Central de Chile. Socio de DataCompliance.
