Reglamento de los modelos de prevención de infracciones en protección de datos personales: qué deben saber las empresas
El 09 de septiembre de 2026 se publicó en el Diario Oficial el Decreto N° 662 del Ministerio de Hacienda, que aprueba el reglamento que regula los requisitos, modalidades y procedimientos para la implementación, certificación, registro y supervisión de los modelos de prevención de infracciones a que se refiere el artículo 49 que la Ley N° 21.719 incorpora a la Ley N° 19.628, sobre protección de la vida privada. Este reglamento, dictado en cumplimiento del mandato del artículo 51 de la Ley N° 19.628, viene a completar el diseño institucional de la nueva normativa de protección de datos personales, que entrará en vigencia el 01 de diciembre de 2026, y que crea, entre otras instituciones, la Agencia de Protección de Datos Personales.
El reglamento cobra especial relevancia porque, de acuerdo con los considerandos del propio decreto, la adopción de un modelo de prevención de infracciones puede operar como atenuante de las sanciones que la Agencia imponga en ejercicio de sus potestades de fiscalización. Se trata, en su estructura, de un mecanismo análogo al de los modelos de prevención de delitos que contempla la Ley N° 20.393 en materia de responsabilidad penal de las personas jurídicas, ahora trasladado al ámbito de la protección de datos personales.
Naturaleza voluntaria del modelo de prevención
El reglamento es explícito en cuanto a que la adopción del modelo de prevención de infracciones es voluntaria. Cualquier responsable de datos, sea persona natural o jurídica, pública o privada, puede adoptarlo e implementarlo, pero esta adopción no exime al responsable del deber general de adoptar acciones destinadas a prevenir la comisión de las infracciones que establece la Ley N° 19.628 ni de dar cumplimiento a sus disposiciones. En otras palabras, no contar con un programa de cumplimiento certificado no libera a ninguna entidad de sus obligaciones sustantivas en materia de datos personales; lo que el modelo ofrece es, principalmente, una vía formal de acreditación de diligencia que puede incidir favorablemente en un eventual procedimiento sancionatorio.
El contenido mínimo del programa de cumplimiento
El artículo 3 del reglamento detalla los elementos que, como mínimo, debe contener todo programa de cumplimiento. Entre ellos destaca la individualización del responsable de datos y de su representante legal, la designación de un delegado de protección de datos personales y la definición de sus medios y facultades. Un elemento particularmente exigente es la caracterización de las actividades de tratamiento que realiza el responsable, que debe incluir el tipo de datos tratados, el ámbito territorial del tratamiento, las categorías de titulares, los fines del tratamiento, la fuente de los datos, la base de licitud invocada, las categorías de terceros a quienes se comunican o ceden los datos, la existencia de transferencias internacionales y la existencia de decisiones automatizadas o elaboración de perfiles, entre otros aspectos. El reglamento permite que esta caracterización se realice a través de un registro de actividades de tratamiento.
A partir de esa caracterización, el responsable debe identificar las actividades o procesos en cuyo contexto se genere o incremente el riesgo de incurrir en las infracciones que tipifica la Ley N° 19.628, incorporando las de mayor riesgo en una matriz que debe considerar la graduación de las sanciones legales. Sobre esa base, el programa debe establecer protocolos, reglas y procedimientos específicos que prevengan la comisión de infracciones, mecanismos de reporte interno accesibles para los miembros de la organización, mecanismos de reporte a la Agencia y de autodenuncia, sanciones administrativas internas, mecanismos de denuncia interna que resguarden la reserva de identidad del denunciante y cualquier otra disposición útil para el cumplimiento de la normativa aplicable, según las operaciones de tratamiento que realice cada responsable.
El delegado de protección de datos
Mientras la designación de un delegado de protección de datos personales es en general facultativa, el reglamento establece que se vuelve obligatoria en el marco de la adopción y certificación de un programa de cumplimiento. El delegado puede ser un dependiente del responsable o prestar servicios bajo un contrato de prestación de servicios, y una misma persona natural puede actuar como delegado de más de un responsable, siempre que cumpla los requisitos legales y reglamentarios. La designación corresponde a la máxima autoridad directiva o administrativa del responsable, entendiéndose por tal el directorio, un socio administrador o la máxima autoridad de la entidad pública o privada, y el delegado debe contar con autonomía respecto de la administración en las materias relacionadas con la ley, rindiendo cuenta directamente ante quien lo designó. En las micro, pequeñas y medianas empresas, el propio dueño o sus máximas autoridades pueden asumir personalmente las tareas de delegado, y las entidades pertenecientes a un mismo grupo empresarial pueden compartir un único delegado si operan bajo estándares y políticas comunes.
El reglamento exige que el delegado sea designado considerando sus conocimientos especializados en protección de datos, su experiencia y sus habilidades profesionales, y que mantenga conocimientos actualizados sobre la normativa, las decisiones de la Agencia y la jurisprudencia relevante. Entre sus funciones, el artículo 13 del reglamento contempla informar y asesorar al responsable y a sus dependientes sobre la normativa aplicable, participar en la elaboración y revisión del programa de cumplimiento, promover su difusión y comprensión al interior de la organización, supervisar el cumplimiento de la ley, comunicar a la autoridad correspondiente las infracciones de que tome conocimiento, ocuparse de la capacitación permanente en la materia, asesorar en la identificación de riesgos y en la evaluación de impacto en protección de datos personales, elaborar un plan anual de trabajo y rendir cuenta de sus resultados, y absolver las consultas y solicitudes de los titulares de datos. El delegado, además, queda sujeto a un deber de secreto, reserva o confidencialidad respecto de los datos personales y demás información de que tome conocimiento en el ejercicio de su cargo.
Incorporación contractual y difusión del programa
El artículo 4 del reglamento exige que la regulación interna derivada de la implementación del programa se incorpore expresamente como obligación en los contratos de trabajo o de prestación de servicios de todos los trabajadores, empleados y prestadores de servicios de la entidad, incluidos sus máximos cargos ejecutivos. Cuando corresponda, esta regulación también debe incorporarse al reglamento interno regulado en los artículos 153 y siguientes del Código del Trabajo, con sujeción a las medidas de publicidad que exige el artículo 156 del mismo cuerpo legal. Adicionalmente, el responsable debe difundir la existencia del programa de cumplimiento, así como sus modificaciones o actualizaciones, entre sus trabajadores, empleados y prestadores de servicios. El reglamento precisa, en todo caso, que un responsable solo puede publicitar que su programa está certificado mediante referencia directa, pura y simple al Registro Nacional de Sanciones y Cumplimiento, evitando afirmaciones que sugieran un alcance mayor al efectivamente certificado.
Certificación, registro y vigencia
La certificación del modelo de prevención corresponde a la Agencia de Protección de Datos Personales, que además puede registrar y supervisar los modelos certificados, revocar la certificación y aplicar las sanciones que contempla la ley. El procedimiento de certificación se inicia a solicitud del interesado y se rige por las reglas de la Ley N° 19.880, pudiendo la Agencia contratar servicios de terceros para el estudio de la solicitud conforme a la Ley N° 19.886. Si la Agencia concede la certificación, dispone que el modelo se incorpore al Registro Nacional de Sanciones y Cumplimiento, individualizando al responsable y a su representante legal, la fecha de incorporación y el plazo de vencimiento. Los certificados tienen una vigencia de tres años y pueden renovarse a petición del interesado. El registro es de acceso público, y el responsable o su representante legal pueden solicitar a la Agencia una constancia de la certificación y su registro.
El reglamento contempla también las causales de término de vigencia de las certificaciones, la revocación dispuesta por la Agencia, el fallecimiento del responsable cuando se trate de una persona natural, la disolución de la persona jurídica, la resolución judicial ejecutoriada y el cese voluntario de la actividad certificada, que debe informarse a la Agencia dentro de los treinta días siguientes. El término de vigencia por cualquiera de estas causales es inoponible a terceros mientras no se elimine del registro, y la Agencia debe ordenar dicha eliminación junto con la resolución de revocación o dentro de los cinco días hábiles siguientes a que tome conocimiento de la causal respectiva.
Supervisión y revocación de la certificación
La implementación del modelo puede comenzar incluso antes de que la Agencia incorpore al responsable en el Registro Nacional de Sanciones y Cumplimiento, pero siempre con plena sujeción a la Ley N° 19.628, al reglamento y a las demás normas administrativas aplicables. Una vez certificado el modelo, la Agencia puede supervisar su cumplimiento y requerir toda la información necesaria para ello, información que el delegado debe poner a su disposición de manera íntegra y oportuna, salvo que se encuentre amparada por una obligación de secreto o confidencialidad, cuya concurrencia debe acreditarse específicamente. El incumplimiento en la entrega de información, o la entrega de información falsa, incompleta o manifiestamente errónea, se sanciona conforme a la Ley N° 19.628.
La Agencia puede revocar la certificación de manera fundada cuando el responsable infrinja o deje de cumplir los requisitos legales o reglamentarios exigidos para certificar el modelo, o cuando sea sancionado por infracciones a los artículos 34 bis, 34 ter o 34 quater de la Ley N° 19.628 con infracción al artículo 48 de la misma ley. El procedimiento de revocación puede iniciarse de oficio o a petición de interesado, conforme a la Ley N° 19.880. El responsable cuya certificación haya sido revocada puede solicitarla nuevamente, pero debe acreditar fehacientemente que ha subsanado las infracciones que dieron lugar a la revocación, acompañando los antecedentes que demuestren las medidas organizativas y de funcionamiento adoptadas para prevenir que la infracción se repita.
Consideraciones prácticas para las empresas
Con la entrada en vigencia de la Ley N° 19.628 modificada por la Ley N° 21.719 fijada para el 1 de diciembre de 2026, y ahora con las reglas reglamentarias que permiten poner en marcha el sistema de certificación, las empresas que tratan datos personales a escala relevante tienen un horizonte concreto para evaluar si les conviene adoptar un modelo de prevención de infracciones. La decisión no es meramente formal: exige designar un delegado con autonomía real respecto de la administración, levantar un registro detallado de las actividades de tratamiento, construir una matriz de riesgos y definir protocolos, mecanismos de reporte y sanciones internas efectivas, e incorporar todo ello contractualmente a la relación con trabajadores y prestadores de servicios. La ventaja, en contrapartida, es contar con un antecedente que la propia normativa reconoce como atenuante frente a la Agencia de Protección de Datos Personales, en un contexto en que esta última comenzará a ejercer plenamente sus facultades fiscalizadoras y sancionatorias.
En C&L Abogados asesoramos tanto a empresas que deben adecuar sus operaciones de tratamiento de datos personales a la nueva normativa, incluyendo el diseño e implementación de modelos de prevención. Esta experiencia nos permite conocer a detalle las exigencias prácticas del sistema de certificación y diseñar estrategias de cumplimiento efectivas y proporcionales al tamaño y a la realidad de cada organización.