El nuevo rol del Delegado de Protección de Datos, en el marco de la Ley 21.719

La entrada en vigencia de la Ley 21.719 marcará un cambio profundo en la forma en que las organizaciones chilenas deberán gestionar y proteger los datos personales. Ya no será suficiente contar con políticas escritas o declaraciones generales de cumplimiento: las empresas necesitarán procesos, controles, responsables y evidencia que permitan demostrar cómo protegen los datos en la práctica.

En este escenario aparece con especial relevancia la figura del Delegado de Protección de Datos personales, también conocido como DPO. Su función no consiste en concentrar toda la responsabilidad de privacidad de una organización, sino en asesorar, supervisar, articular y ayudar a transformar las exigencias legales en un sistema de cumplimiento operativo.

En el webinar “El nuevo rol del Delegado de Protección de Datos, en el marco de la Ley 21.719”, organizado por Crayon IT junto a RGM Abogados, abordamos precisamente este desafío: cómo llevar la protección de datos desde la norma hacia la operación cotidiana de la empresa, integrando gobierno, aspectos legales, ciberseguridad, gestión de riesgos y evidencia de cumplimiento.

Ver el webinar completo en YouTube

La Ley 21.719 cambia el estándar de cumplimiento

La protección de datos deja de ser un asunto exclusivamente documental y pasa a requerir una capacidad permanente de gestión, supervisión y demostración.

La Ley 21.719 fue publicada el 13 de diciembre de 2024 y entra en vigencia el 1 de diciembre de 2026. La normativa modifica profundamente la Ley 19.628, fortalece los derechos de los titulares, establece nuevas obligaciones para quienes tratan datos personales y crea la Agencia de Protección de Datos Personales como autoridad especializada.

Uno de los conceptos centrales del nuevo régimen es la responsabilidad del responsable de datos. La organización debe adoptar acciones destinadas a prevenir infracciones y estar en condiciones de acreditar que sus decisiones, procesos y medidas de seguridad son coherentes con los riesgos que genera el tratamiento de información personal.

El desafío ya no es solamente afirmar que la organización cumple. El verdadero desafío es poder demostrar cómo cumple, quién interviene, qué controles existen y qué evidencia respalda esas decisiones.

¿Todas las empresas estarán obligadas a tener un DPO?

La respuesta requiere distinguir entre la designación general del delegado y el modelo voluntario de prevención de infracciones.

Uno de los errores más frecuentes al interpretar la Ley 21.719 es afirmar que todas las organizaciones deberán nombrar obligatoriamente un Delegado de Protección de Datos.

El artículo 50 establece que el responsable de datos podrá designar un delegado. Por lo tanto, la ley no configura su nombramiento como una obligación general y automática para todo responsable de datos.

Sin embargo, existe una diferencia importante cuando una organización decide adoptar el modelo de prevención de infracciones regulado en el artículo 49. La adopción de este modelo es voluntaria, pero, una vez que se opta por implementarlo como programa de cumplimiento, la designación de un Delegado de Protección de Datos forma parte de sus elementos mínimos.

Ese modelo también contempla la definición de los medios y facultades del delegado, la identificación de los datos tratados, el análisis de actividades que generan riesgos, procedimientos de prevención, mecanismos de reporte interno y hacia la autoridad, además de mecanismos internos de responsabilidad y cumplimiento.

La ley también permite que el DPO desarrolle otras funciones, siempre que se preserve su independencia y no se generen conflictos de interés. En el caso de sociedades o entidades pertenecientes a un mismo grupo empresarial, puede existir un único delegado cuando operen bajo estándares y políticas comunes y este sea accesible para todas las entidades y establecimientos involucrados.

¿Qué hace realmente un Delegado de Protección de Datos?

El DPO funciona como un punto de articulación entre cumplimiento legal, procesos internos, riesgo, tecnología y relación con los titulares.

La Ley 21.719 entrega al delegado un conjunto concreto de funciones. Vistas desde la operación de una empresa, estas pueden agruparse en tres grandes dimensiones.

Funciones que la ley asigna al DPO

• Informar y asesorar al responsable, a los terceros encargados o mandatarios y a los dependientes respecto de la regulación de protección de datos.
• Promover y participar en la política de protección y tratamiento de datos personales de la organización.
• Supervisar el cumplimiento de la ley y de las políticas internas dentro de su ámbito de competencia.
• Promover la formación permanente de las personas que participan en operaciones de tratamiento.
• Asistir a la organización en la identificación de riesgos derivados del tratamiento y de las medidas necesarias para proteger a los titulares.
• Desarrollar un plan anual de trabajo y rendir cuenta de sus resultados.
• Atender consultas y solicitudes formuladas por los titulares de datos.
• Cooperar y actuar como punto de contacto con la Agencia de Protección de Datos Personales.

Lo que el DPO no reemplaza

Designar un DPO no significa trasladarle toda la responsabilidad legal y operativa por la protección de datos. El responsable de datos continúa siendo quien decide los fines y medios del tratamiento y quien debe cumplir las obligaciones establecidas por la ley.

Por esta razón, un programa efectivo requiere participación coordinada de distintas funciones de la empresa. Legal debe analizar bases jurídicas y contratos; ciberseguridad debe implementar y verificar controles; TI administra plataformas e identidades; Recursos Humanos gestiona tratamientos vinculados con trabajadores; marketing debe revisar sus procesos de captación y comunicaciones; compras debe incorporar requisitos de privacidad a proveedores; y la alta dirección debe proporcionar gobierno, recursos y capacidad de decisión.

Un DPO aislado no crea cumplimiento. El valor del rol aparece cuando puede conectar a las áreas, identificar riesgos, impulsar acciones y producir evidencia verificable.

Cuatro situaciones donde el rol del DPO se vuelve especialmente relevante

Los mayores desafíos aparecen cuando la obligación legal debe convertirse en un proceso que funcione bajo presión y dentro de plazos definidos.

Atención de derechos: el plazo debe convertirse en un proceso

Una persona podrá ejercer derechos sobre sus datos ante el responsable. Como regla general, una vez recibida la solicitud, la organización deberá acusar recibo y pronunciarse dentro de los 30 días corridos siguientes. Este plazo puede prorrogarse una sola vez hasta por otros 30 días corridos.

La empresa deberá, además, conservar respaldo que permita demostrar la remisión de la respuesta, su fecha y su contenido. Es decir, no basta con responder: también será necesario poder acreditar que se respondió correctamente.

Existe un plazo todavía más exigente cuando, junto con una solicitud de rectificación, supresión u oposición, el titular solicita fundadamente el bloqueo temporal de sus datos. En ese supuesto, el responsable deberá responder dentro de dos días hábiles.

Por eso, un procedimiento efectivo debería definir al menos el canal de ingreso, verificación de identidad, clasificación de la solicitud, sistemas que deben consultarse, áreas responsables, responsables de aprobación, plazos internos, evidencias y mecanismo de cierre.

Incidentes: privacidad y ciberseguridad deben trabajar juntas

La Ley 21.719 obliga a adoptar medidas técnicas y organizativas apropiadas considerando el riesgo del tratamiento. Entre los objetivos de seguridad se encuentran preservar la confidencialidad, integridad, disponibilidad y resiliencia, contar con capacidad de restauración y verificar regularmente la eficacia de las medidas adoptadas.

Cuando se produce una vulneración que pueda generar un riesgo razonable para los derechos y libertades de los titulares, el responsable deberá reportarla a la Agencia por los medios más expeditos posibles y sin dilaciones indebidas.

Un punto importante es que la norma chilena no establece en este artículo un plazo general fijo de 72 horas. Esa cifra no debe utilizarse automáticamente como si fuera el plazo establecido por la Ley 21.719.

La organización deberá registrar el incidente y documentar, entre otros antecedentes, su naturaleza, efectos, categorías de datos involucradas, número aproximado de titulares afectados y medidas adoptadas. Cuando se vean comprometidas determinadas categorías, como datos sensibles, datos de niños y niñas menores de 14 años o determinados datos económicos, financieros, bancarios o comerciales, también existen deberes específicos de comunicación a los titulares afectados.

Desde una perspectiva práctica, aquí el DPO no reemplaza al equipo de respuesta a incidentes. Su aporte consiste en ayudar a determinar las implicancias de protección de datos, coordinar el análisis regulatorio, verificar que se preserve la evidencia y facilitar que las decisiones queden adecuadamente documentadas.

Evaluaciones de impacto antes de tratamientos de alto riesgo

La nueva normativa exige una Evaluación de Impacto en Protección de Datos antes de comenzar aquellas operaciones que probablemente generen un alto riesgo para los derechos de las personas, considerando su naturaleza, alcance, contexto, tecnología y finalidad.

Entre los escenarios expresamente contemplados se encuentran:

• Evaluaciones sistemáticas de personas basadas en tratamientos o decisiones automatizadas, incluido el perfilamiento, cuando produzcan efectos jurídicos significativos.
• Tratamientos masivos o a gran escala.
• Observación o monitoreo sistemático de zonas de acceso público.
• Determinados tratamientos de datos sensibles o especialmente protegidos.

La obligación de efectuar la evaluación corresponde al responsable. El DPO puede desempeñar un papel esencial asesorando en la identificación de riesgos, revisando las medidas propuestas y ayudando a incorporar privacidad desde las primeras etapas del proyecto.

Proveedores, SaaS y servicios cloud

Gran parte de los datos de una organización ya no reside exclusivamente en infraestructura propia. CRM, plataformas de recursos humanos, marketing, ERP, servicios cloud y aplicaciones SaaS forman parte de la cadena de tratamiento.

La Ley 21.719 contempla expresamente el tratamiento realizado a través de terceros mandatarios o encargados y exige que la relación esté regulada contractualmente, incluyendo aspectos como el objeto, duración, finalidad, tipo de datos, categorías de titulares y obligaciones de las partes.

Además, el tercero encargado debe seguir las instrucciones del responsable, mantener las obligaciones de confidencialidad y seguridad y reportar al responsable las vulneraciones a las medidas de seguridad que detecte. La subcontratación del tratamiento también requiere control y autorización conforme a las reglas de la ley.

Para el DPO, esto significa que el mapa de privacidad no puede detenerse en los límites de la empresa: debe considerar también su ecosistema de proveedores.

Un plan práctico para los primeros 90 días del DPO

Los 90 días no constituyen un plazo establecido por la ley. Son una forma práctica de ordenar prioridades y construir una línea base de cumplimiento.

Primeros 30 días: entender el escenario

• Formalizar el mandato, dependencia, autonomía, recursos y canales de contacto del DPO.
• Identificar responsables internos y principales áreas que realizan tratamientos de datos personales.
• Levantar las actividades de tratamiento, tipos de titulares, categorías de datos, sistemas y principales proveedores.
• Revisar políticas, avisos de privacidad, consentimientos, contratos y mecanismos actuales de atención de titulares.
• Identificar tratamientos críticos, datos sensibles y procesos con mayor exposición.
• Revisar cómo se gestionan actualmente los incidentes de seguridad que afectan datos personales.

Días 31 a 60: priorizar y diseñar controles

• Clasificar las brechas encontradas según impacto, urgencia y riesgo para los titulares.
• Diseñar o ajustar el procedimiento para el ejercicio de derechos.
• Integrar protección de datos al procedimiento de gestión y respuesta a incidentes de ciberseguridad.
• Definir criterios para detectar cuándo un nuevo tratamiento requiere una evaluación de impacto.
• Revisar contratos y condiciones con proveedores que actúan como encargados de tratamiento.
• Establecer mecanismos de escalamiento hacia legal, ciberseguridad, TI y alta dirección.

Días 61 a 90: probar y demostrar

• Construir el plan anual de trabajo del DPO.
• Definir indicadores de cumplimiento y mecanismos de reporte a la administración.
• Ejecutar ejercicios de prueba para solicitudes de titulares y escenarios de incidentes.
• Implementar un programa inicial de capacitación para las áreas que realizan tratamientos relevantes.
• Establecer un repositorio de evidencias, decisiones, evaluaciones, solicitudes, incidentes y acciones correctivas.
• Presentar a la alta dirección el estado de cumplimiento, principales riesgos y plan priorizado de remediación.

¿Cómo saber si el programa está avanzando?

El DPO necesita convertir el cumplimiento en información que la administración pueda observar, medir y gestionar.

Un programa de protección de datos no debería evaluarse únicamente por la cantidad de documentos elaborados. Es más útil observar si los procesos realmente funcionan y si la organización puede demostrarlo.

Algunos indicadores que pueden incorporarse al plan anual son:

• Porcentaje de actividades de tratamiento identificadas y evaluadas.
• Porcentaje de tratamientos críticos con fundamento jurídico y controles documentados.
• Solicitudes de titulares recibidas, respondidas y resueltas dentro del plazo aplicable.
• Tiempo interno desde la detección de un incidente hasta su escalamiento al equipo responsable.
• Porcentaje de proveedores críticos de datos revisados contractual y técnicamente.
• Tratamientos de alto riesgo evaluados antes de su puesta en producción.
• Porcentaje de personas expuestas a operaciones de tratamiento que han completado capacitación.
• Acciones correctivas abiertas, vencidas y cerradas por período.

Estos indicadores no sustituyen las obligaciones legales ni constituyen una lista oficial de la Agencia. Su utilidad está en transformar el programa en una disciplina de gestión continua y proporcionar evidencia para la toma de decisiones.

Tres errores que pueden debilitar el rol del DPO

Del cumplimiento documental a la responsabilidad demostrable

La figura del Delegado de Protección de Datos puede convertirse en una pieza relevante del gobierno de información de las organizaciones chilenas. Su valor no está en asumir personalmente cada tarea relacionada con privacidad, sino en crear un sistema capaz de identificar riesgos, coordinar responsables, supervisar controles y demostrar que las decisiones adoptadas son coherentes con la Ley 21.719.

Para lograrlo, privacidad y ciberseguridad deben dejar de funcionar como disciplinas separadas. Una política sin controles técnicos es insuficiente, pero un control técnico sin finalidad, base jurídica, gobierno y trazabilidad tampoco resuelve por sí solo el cumplimiento.

La preparación, por tanto, requiere una mirada técnico-legal: conocer qué datos trata la organización, por qué los trata, dónde se encuentran, quién accede a ellos, con qué proveedores se comparten, cuáles son sus riesgos y qué evidencia existe para demostrar que esos riesgos están siendo gestionados.

La pregunta no es solamente si una organización tiene un DPO. La pregunta más importante es si cuenta con un sistema de protección de datos que realmente pueda funcionar y demostrar cumplimiento cuando sea necesario.

Fuentes y referencias

• Biblioteca del Congreso Nacional de Chile — Ley N.º 21.719.
• Webinar: El nuevo rol del Delegado de Protección de Datos en el marco de la Ley 21.719, Crayon IT.

Este contenido tiene carácter informativo y no reemplaza un análisis jurídico o técnico específico de la realidad de cada organización.