Modelo de prevención de infracciones y delegado de protección de datos
Es voluntario. Conviene decirlo primero porque circula bastante material que lo presenta como una obligación general, y no lo es.
Qué dice la ley
Los responsables de datos podrán voluntariamente adoptar un modelo de prevención de infracciones consistente en un programa de cumplimiento.
Se lee por ahí que la Ley 21.719 «obliga a nombrar un delegado de protección de datos» a todas las empresas, o que el modelo de prevención es un requisito para operar.
Lo que dice la ley que el artículo 49 dice literalmente «podrán voluntariamente». La designación del delegado aparece como el primer elemento que debe contener un modelo de prevención; es decir, es obligatoria dentro del modelo, para quien decide adoptarlo. No es una obligación general e independiente para toda organización.
La figura viene de la tradición chilena de compliance penal de la Ley N° 20.393, que introdujo los modelos de prevención de delitos para personas jurídicas. La lógica es la misma: la ley no obliga a tenerlo, pero le reconoce efectos a quien lo tiene y lo aplica efectivamente.
Qué debe contener · elementos mínimos
Si decides adoptarlo, el programa de cumplimiento debe contener al menos:
- a) La designación de un delegado de protección de datos personales.
- b) La definición de los medios y facultades del delegado.
- c) La identificación del tipo de información que la entidad trata, el ámbito territorial en que opera, la categoría, clase o tipos de datos o bases de datos que administra, y la caracterización de los titulares.
- d) La identificación de las actividades o procesos —habituales o esporádicos— en cuyo contexto se genere o incremente el riesgo de cometer las infracciones de los artículos 34 bis, 34 ter y 34 quáter.
- e) El establecimiento de protocolos, reglas y procedimientos específicos que permitan a las personas de la organización actuar conforme a la ley.
Fíjate en la letra c): es esencialmente un registro de actividades de tratamiento. Quien ya hizo el trabajo de inventariar sus datos tiene buena parte del modelo avanzada.
Para qué sirve
¿Le conviene a tu organización?
Explicado en simple
Para la mayoría de las pymes, la respuesta honesta es: todavía no, y no es lo primero.
Antes de un modelo de prevención hay cosas que sí son obligatorias y que rinden más: tener la información pública que exige la ley, un canal que funcione para que la gente ejerza sus derechos, saber qué datos tienes y proteger razonablemente los sistemas. Un modelo de prevención montado sobre una organización que no sabe qué datos maneja es papeleo.
Ahora bien, hay casos donde sí conviene desde temprano:
- Si tratas datos sensibles a escala: salud, biométricos, situación socioeconómica.
- Si tu negocio vive de los datos: marketing, scoring, plataformas.
- Si le vendes a empresas grandes o al Estado, que te van a exigir garantías.
- Si transfieres datos al extranjero de forma intensiva y quieres una vía adicional para ampararlo.
Y una nota sobre el delegado: no tiene que ser un cargo nuevo a tiempo completo. Tiene que ser alguien identificable, con medios y facultades definidos, que efectivamente pueda hacer el trabajo. Nombrar a alguien que no tiene tiempo ni autoridad es peor que no nombrar a nadie.
Para equipos técnicos y legales
Consideraciones para diseñar el modelo si se decide adoptarlo:
- La letra d) es el corazón del modelo. Exige mapear procesos donde se genere o incremente el riesgo de cometer las infracciones tipificadas. Eso obliga a leer el catálogo de los artículos 34 bis/ter/quáter como una matriz de riesgo operacional y a asociar cada tipo infraccional a un proceso concreto y a un control.
- Independencia real del delegado. La letra b) exige definir «medios y facultades». Un delegado que reporta a quien decide los tratamientos que debe supervisar tiene un conflicto estructural. Define línea de reporte, presupuesto y capacidad de escalar.
- El modelo tiene que ser aplicado, no sólo aprobado. La experiencia de la Ley 20.393 en Chile es clara: los modelos de papel no producen efectos. Se necesitan evidencias de operación: capacitaciones con registro, revisiones periódicas, incidentes tratados conforme al protocolo, hallazgos cerrados.
- Alineación con el registro de tratamientos. La letra c) coincide en gran medida con el registro que ya necesitas para acreditar licitud (art. 3° a)) y para responder el art. 14 ter d). Mantener dos documentos separados garantiza divergencia; deriva ambos de una única fuente.
- Certificación por la Agencia. Los requisitos, procedimiento y vigencia de la certificación dependerán de lo que establezca la Agencia. Diseña el modelo de modo que sus componentes sean auditables por un tercero desde el principio.
- Uso en transferencias. Si la motivación es el art. 27 c), ten presente que la vía exige que ambas partes —quien transfiere y quien recibe— adopten un modelo que cumpla los requisitos de la ley. No basta con el tuyo.
Por dónde empezar si es lo que necesitas
Información pública del art. 14 ter, canal de derechos operativo, inventario de tratamientos y medidas de seguridad razonables. Ver el checklist.
Recorrer el catálogo de infracciones y asociar cada una a los procesos de tu organización donde podría materializarse.
Designar delegado con facultades reales, escribir protocolos que la gente pueda seguir, y dejar evidencia de que se aplican.
Preguntas frecuentes
¿Es obligatorio tener un modelo de prevención de infracciones?
No. El artículo 49 señala expresamente que los responsables de datos podrán voluntariamente adoptar un modelo de prevención de infracciones consistente en un programa de cumplimiento.
¿Es obligatorio nombrar un delegado de protección de datos?
La designación de un delegado de protección de datos personales es uno de los elementos mínimos que debe contener un modelo de prevención. Como el modelo es voluntario, la designación del delegado va asociada a la decisión de adoptarlo.
¿Quién certifica el modelo de prevención?
La Agencia de Protección de Datos Personales. Entre sus funciones está certificar y supervisar los modelos de prevención de infracciones.
¿Para qué sirve tener uno?
Es relevante en la evaluación de la conducta del responsable dentro del régimen sancionatorio, y además es una de las vías que el artículo 27 reconoce para amparar transferencias internacionales de datos.
Sigue leyendo
¿Y cómo está tu sitio hoy?
Leer la ley es el primer paso. El segundo es mirar tu sitio con los mismos ojos con que lo mirará cualquiera: qué formularios pides, qué scripts de terceros cargas, qué informas y qué no. PixaPrivacy revisa el estado técnico y público de un sitio web y te entrega un informe priorizado con hallazgos, evidencia y una hoja de ruta.
PixaPrivacy es una herramienta de diagnóstico técnico. No emite certificaciones legales ni sustituye la asesoría de un abogado.
Sobre esta página
El contenido de esta página se redactó contrastando cada afirmación con el texto oficial de la Ley N° 21.719 publicado por la Biblioteca del Congreso Nacional y con el estado de tramitación publicado por el Senado. Puedes verificarlo tú mismo en fuentes oficiales.
Información general, no asesoría legal. PixaWeb es una empresa de desarrollo web y software, no un estudio jurídico. Esta guía explica la norma de forma divulgativa y no considera las circunstancias de tu organización. Para decisiones concretas —especialmente sobre bases de licitud, datos sensibles o incidentes— consulta con un abogado o abogada especialista.