El modelo de prevención de infracciones de la Ley de Datos
El modelo de prevención de infracciones es el programa de cumplimiento voluntario del artículo 49 de la Ley 19.628: la herramienta que la ley de datos ofrece a las empresas para prevenir infracciones, atenuar multas y acreditar gobierno de datos ante la nueva Agencia. Su reglamento, el Decreto Supremo N° 662, ya define con exactitud qué debe contener.
Última actualización:
El modelo de prevención de infracciones es un programa de cumplimiento que cualquier responsable de datos, sea persona natural o jurídica, pública o privada, puede adoptar voluntariamente (artículo 49 de la Ley 19.628, según la Ley 21.719, y artículo 1 del reglamento). Su finalidad es concreta: medidas de organización que prevengan las infracciones que la ley sanciona.
Voluntario no significa irrelevante. El cumplimiento diligente acreditado con certificación es atenuante expresa cuando la Agencia determina una multa (artículo 36 N° 5), y las entidades certificadas ingresan al Registro Nacional de Sanciones y Cumplimiento, un registro público que clientes, bancos y contrapartes pueden consultar. La misma lógica que aplica la Ley 20.393 en materia penal: el programa es opcional, sus efectos no.
Desde el 9 de septiembre de 2026 el estándar dejó de ser abstracto. El Decreto Supremo N° 662, del Ministerio de Hacienda, el reglamento que manda el artículo 51, detalla en 20 artículos qué debe contener el programa, cómo opera el delegado dentro de él y cómo la Agencia certifica, registra, supervisa y revoca.
Un nombre parecido, dos modelos distintos
La práctica chilena de compliance ya conoce un “modelo de prevención”: el modelo de prevención de delitos de la Ley 20.393, que protege a la empresa de la responsabilidad penal. Este es otro. El modelo de prevención de infracciones pertenece a la ley de datos, previene infracciones administrativas y no delitos, y su premio es una multa atenuada y una certificación pública, no una eximente penal.
Los dos programas conviven sin duplicarlo todo. El reglamento permite expresamente integrar los mecanismos de reporte interno del programa de datos a canales de denuncia que la organización ya opera para otras materias, siempre que cumplan lo que exigen la Ley 19.628 y el reglamento (artículo 3 letra g). La empresa que ya tiene un canal ético funcionando construye sobre él; no parte de cero.
Los elementos del programa (artículo 3 del reglamento)
El artículo 3 enumera el contenido mínimo de todo programa de cumplimiento. El reglamento gradúa el estándar: los protocolos deben considerar las operaciones que el responsable realmente ejecuta, la cantidad y el tipo de datos que trata, y el tamaño y la capacidad económica de la entidad.
Responsable y delegado individualizados
El programa individualiza al responsable y a su representante legal, designa un delegado de protección de datos y define los medios y facultades con que ese delegado va a operar.
Caracterización del tratamiento
Qué datos trata la empresa y cómo: once menciones mínimas, desde las categorías de datos sensibles y las bases de licitud hasta las transferencias internacionales, los plazos de supresión y las decisiones automatizadas. Un registro de actividades de tratamiento satisface este elemento.
Matriz de riesgos graduada por sanción
La empresa mapea los procesos que elevan el riesgo de cometer las infracciones de los artículos 34 bis, ter y quáter, y construye su matriz de riesgos considerando la graduación de las sanciones correspondientes.
Protocolos que previenen, no decoran
Reglas y procedimientos específicos para que quienes intervienen en el tratamiento programen y ejecuten sus tareas de una manera que prevenga las infracciones, en proporción a las operaciones, los datos y el tamaño de la empresa.
Reporte y denuncia interna
Mecanismos de reporte interno expeditos y de acceso permanente, más un canal para denunciar infracciones ante el delegado. El denunciante puede pedir reserva de su identidad y no puede sufrir ninguna medida desfavorable por denunciar.
Sanciones internas
Sanciones administrativas internas y los procedimientos para aplicarlas cuando alguien vulnera las normas de datos o el propio programa. Los organismos públicos indican las sanciones que la ley declara aplicables a sus funcionarios.
El programa no vive en un archivador. La regulación interna que genera debe incorporarse expresamente como obligación en los contratos de trabajo y de servicios de todos los trabajadores y prestadores, incluidos los máximos ejecutivos, y en el reglamento interno cuando corresponda (artículo 4). El responsable además debe difundir el programa, y cada actualización, a toda la organización (artículo 5).
El delegado dentro del modelo
Designar un delegado de protección de datos es voluntario como regla general, pero obligatorio en el marco de la adopción y certificación de un programa de cumplimiento (artículo 6). Lo designa la máxima autoridad directiva o administrativa, el directorio, un socio administrador o la máxima autoridad de la entidad, y el delegado rinde cuenta directamente a quien lo designó, con autonomía respecto de la administración (artículo 8).
El reglamento hace operable la figura a toda escala: el delegado puede ser dependiente o un externo bajo contrato de servicios, una misma persona natural puede servir a varios responsables, un grupo empresarial bajo un mismo controlador puede compartir un único delegado y, en las micro, pequeñas y medianas empresas, el dueño puede asumir personalmente la función (artículos 7 y 8). La empresa debe publicar los datos de contacto del delegado en su sitio web y mantener informada a la Agencia (artículo 11).
Certificación: tres años, registro público y causales para perderla
La Agencia certifica los programas que cumplen la ley y el reglamento, a solicitud del interesado (artículo 15). Los certificados duran tres años y son renovables. Las entidades certificadas ingresan al Registro Nacional de Sanciones y Cumplimiento, donde los certificados son de acceso público (artículo 17), y la implementación puede iniciarse antes de la incorporación al registro (artículo 18).
Qué gana la empresa
- Una atenuante expresa cuando la Agencia determina una multa (artículo 36 N° 5).
- Una credencial de gobierno de datos verificable en un registro público, visible en cualquier due diligence.
- Una estructura operativa, delegado, inventario, matriz y protocolos, para deberes que la ley impone de todos modos.
Cómo se pierde la certificación
- Revocación por la Agencia si el responsable deja de cumplir los requisitos (artículo 20).
- Revocación si el responsable es sancionado por infracciones de los artículos 34 bis, ter o quáter.
- Volver a solicitarla exige acreditar fehacientemente que la causal de revocación fue subsanada.
Una regla de publicidad merece atención: la empresa solo puede publicitar que su programa está certificado mediante la referencia directa, pura y simple, al Registro Nacional (artículo 5). Sellos, insignias y frases de marketing más allá de esa referencia quedan fuera de lo que el reglamento autoriza.
¿Conviene esperar la postergación?
Las modificaciones de la Ley 21.719 entran en vigencia el 1 de diciembre de 2026, con un proyecto en el Senado que las movería al 1 de diciembre de 2027. El reglamento, en cambio, ya está publicado, y el artículo 18 permite iniciar la implementación antes de la incorporación al registro. El trabajo de fondo no cambia con la fecha: el inventario de tratamientos, la matriz de riesgos, los protocolos y el delegado son el mismo esfuerzo en 2026 y en 2027. La empresa que construye el programa temprano llega al primer ciclo de fiscalización de la Agencia con la posición atenuante ganada; la que espera pasa ese tiempo acumulando exposición.
Preguntas frecuentes
¿Es obligatorio el modelo de prevención de infracciones?
No. El artículo 49 de la Ley 19.628 y el artículo 1 del reglamento lo definen como un programa de cumplimiento que cualquier responsable de datos puede adoptar voluntariamente. Sus efectos, en cambio, no son voluntarios: el cumplimiento diligente acreditado con la certificación de la Agencia es circunstancia atenuante (artículo 36 N° 5), y las entidades certificadas figuran en el Registro Nacional de Sanciones y Cumplimiento, un registro público.
¿Qué exige el reglamento (Decreto Supremo N° 662)?
El artículo 3 del reglamento enumera los elementos mínimos del programa: individualización del responsable, designación de un delegado de protección de datos con medios y facultades, caracterización de los tratamientos (que un registro de actividades de tratamiento satisface), matriz de riesgos graduada según la gravedad de las infracciones, protocolos específicos, mecanismos de reporte interno, sanciones internas y un canal de denuncia ante el delegado que resguarda la identidad del denunciante.
¿El modelo exige designar un delegado de protección de datos?
Sí. La designación del delegado es voluntaria como regla general, pero se vuelve obligatoria en el marco de la adopción y certificación de un programa de cumplimiento (artículo 6 del reglamento). Lo designa la máxima autoridad directiva o administrativa, como el directorio o un socio administrador, y puede ser interno o externo. En las micro, pequeñas y medianas empresas, el dueño o sus máximas autoridades pueden asumir personalmente la función.
¿Cómo se certifica el modelo y cuánto dura la certificación?
La certificación la otorga la Agencia de Protección de Datos Personales a solicitud del interesado (artículo 15 del reglamento). El certificado dura tres años renovables e incorpora a la entidad al Registro Nacional de Sanciones y Cumplimiento, de acceso público. La Agencia puede revocar la certificación de manera fundada, entre otras causales, si el responsable deja de cumplir los requisitos o es sancionado por infracciones de los artículos 34 bis, ter o quáter (artículo 20).
¿Es lo mismo que el modelo de prevención de delitos de la Ley 20.393?
No. El modelo de prevención de delitos de la Ley 20.393 previene delitos y su ausencia expone a la empresa a responsabilidad penal. El modelo de prevención de infracciones previene infracciones administrativas a la ley de datos y su adopción certificada atenúa las multas de la Agencia. Son programas distintos, con normas y consecuencias distintas, aunque el reglamento permite integrar el reporte interno a canales de denuncia ya existentes en la organización.
¿Puedo implementar el modelo antes de que la Agencia opere?
Sí, y conviene. El artículo 18 del reglamento permite iniciar la implementación antes de que la Agencia incorpore a la entidad al registro, con plena sujeción a la ley. El trabajo de fondo, como el inventario de tratamientos, la matriz de riesgos y los protocolos, es el mismo con o sin postergación de la vigencia, y la empresa que lo documenta temprano llega a la certificación con el programa ya operando.
Fuentes oficiales
- Decreto Supremo N° 662 (2025), Ministerio de Hacienda, reglamento del modelo de prevención de infracciones, publicado el 9 de septiembre de 2026: Diario Oficial
- Ley 19.628, artículos 34 bis a quáter, 36 y 49 a 53 (infracciones, atenuantes y modelo de prevención): BCN/LeyChile
- Ley 21.719, que regula la protección de datos personales y crea la Agencia: BCN/LeyChile
Servicios relacionados
Explora prácticas complementarias y análisis normativos de nuestro equipo.
Ley 21.719 Protección de Datos
El marco de la Ley 21.719 rumbo a su vigencia: principios, derechos, obligaciones y sanciones.
Ley 19.628 (el régimen actual)
La ley de datos vigente hoy: qué exige, la información comercial y cómo la reescribe la Ley 21.719.
Principios del tratamiento
Los principios del artículo 3 que ordenan todo tratamiento de datos personales.
Derechos del titular
Acceso, rectificación, supresión, oposición y portabilidad: cómo se ejercen y responden.
Obligaciones del responsable
Deberes de información, seguridad y reporte de vulneraciones de quien trata datos.
Notificación de brechas
A quién reportar una vulneración de seguridad y en qué plazo (artículo 14 sexies).
Delegado de Protección de Datos
Qué es el DPO, cuándo es obligatorio y qué exige el artículo 50.
Agencia de Protección de Datos
Facultades normativas, de fiscalización y sanción de la nueva autoridad.
Sanciones y multas
Infracciones leves, graves y gravísimas: multas de hasta 20.000 UTM (artículo 35).
Responsabilidad del directorio
La empresa responde con multas de hasta 20.000 UTM; el directorio, por su deber de cuidado.
Transferencias internacionales
Cuándo procede transferir datos fuera de Chile y con qué resguardos.
Evaluación de impacto
Cuándo exige la ley una evaluación de impacto y cómo se ejecuta.
¿Qué pasa si no cumplo en 2026?
La vigencia del 1 de diciembre de 2026 y el proyecto que la posterga a 2027: infracciones, registro público y atenuantes.
¿Consentimiento o interés legítimo?
Cómo elegir la base de licitud de cada tratamiento (artículos 12 y 13).
IA y datos personales
Usar IA con datos de clientes: base de licitud, transferencias y decisiones automatizadas.
Diagnóstico Ley de Datos
Brechas de su empresa frente a la Ley 21.719: tratamientos, bases de licitud y deberes.
Ley Marco de Ciberseguridad (21.663)
La ley marco: ANCI, servicios esenciales, obligaciones y plazos.
IA & Empresa
Gobernanza de la inteligencia artificial en la empresa: riesgos y marco aplicable.
Conversemos sobre los desafíos legales de su empresa
Agende una conversación inicial con nuestro equipo.
