Delegado de Protección de Datos en Chile: ¿es obligatorio?

Con la Ley 21.719 aparece una figura que genera dudas en casi toda pyme: el delegado de protección de datos (DPO, por su sigla en inglés). La pregunta que más nos llega es siempre la misma: ¿estoy obligado a contratar uno? La respuesta corta: la ley no obliga a ninguna empresa a designar un delegado de protección de datos —dice que el responsable «podrá» hacerlo (artículo 50)—; solo pasa a ser exigible si decides adoptar un modelo de prevención de infracciones (artículo 49). Aun así, hay casos en que designarlo es la decisión más inteligente.

Este artículo aclara cuándo el DPO pasa a ser exigible en Chile, cuándo conviene, qué hace y cómo elegir entre uno interno o externo sin sobredimensionar el gasto.

¿Quieres saber dónde está parada tu empresa frente a la ley? Nuestro test gratuito de cumplimiento Ley 21.719 te muestra tus brechas al instante. Si aún no dominas la ley, parte por la guía completa de la Ley 21.719.

Qué es un delegado de protección de datos (DPO)

El delegado de protección de datos es la persona —interna o externa— que vela por que una organización trate los datos personales conforme a la ley. No es un cargo decorativo ni un abogado de cabecera: es el punto de contacto entre la empresa, los titulares de los datos (tus clientes, trabajadores y proveedores) y la nueva Agencia de Protección de Datos Personales.

Entre las funciones que le asigna el artículo 50 de la Ley 21.719, estas son las que más pesan en una pyme:

• Informar y asesorar al responsable sobre sus obligaciones legales.
• Supervisar el cumplimiento de la ley y de las políticas internas de datos.
• Cooperar con la Agencia y actuar como su interlocutor.
• Ser el punto de contacto para los titulares que ejercen sus derechos.

En el mundo se le conoce como DPO (Data Protection Officer). La Ley 21.719 adopta la misma idea que el reglamento europeo (GDPR), con una diferencia que importa: el GDPR lo exige en ciertos casos; la ley chilena, en ninguno, salvo dentro de un modelo de prevención de infracciones.

¿Es obligatorio el delegado de protección de datos en Chile?

Aquí está la clave que casi nadie explica bien: la Ley 21.719 no obliga a ninguna empresa a nombrar un delegado de protección de datos. El artículo 50 dice que el responsable «podrá designar» uno, y ese verbo no cambia según el tamaño de la empresa ni el tipo de datos que trate. La exigencia aparece en un solo plano:

El Modelo de Prevención de Infracciones. Si tu empresa decide adoptar este programa de cumplimiento —que es voluntario—, designar un delegado de protección de datos es uno de sus elementos obligatorios (artículo 49, letra a). Más abajo lo explicamos en detalle.

Fuera de ese caso, ninguna empresa está obligada por ley a tener un DPO, tampoco las que tratan datos sensibles o monitorean personas a gran escala: esa exigencia viene del reglamento europeo (GDPR), no de la ley chilena. Para esas empresas, eso sí, designarlo es casi indispensable en la práctica, porque cargan con más obligaciones de alto riesgo que gestionar, como la evaluación de impacto cuando corresponde (artículo 15 ter). Y “no obligatorio” no es lo mismo que “no conviene”.

El DPO dentro del Modelo de Prevención de Infracciones

El Modelo de Prevención de Infracciones (MPI) es un programa de cumplimiento voluntario que introdujo la Ley 21.719 (artículos 49 a 53) y que detalla el Decreto Supremo 662/2025 de Hacienda. Piénsalo como el equivalente, en datos personales, a los modelos de prevención de delitos que ya conoces de la Ley 20.393.

¿Por qué adoptarlo si es voluntario? Por una razón muy concreta: certificar el modelo ante la Agencia funciona como atenuante si algún día te fiscalizan y encuentran una infracción. Según el análisis del reglamento del Decreto 662/2025 publicado en Diario Constitucional, la certificación dura 3 años, es renovable y queda inscrita en un registro público de cumplimiento.

El precio de entrada a ese beneficio es armar el modelo completo. Según el artículo 49, debe contener al menos: la designación de un delegado de protección de datos y la definición de sus medios y facultades; la identificación de los datos que tratas y de sus titulares, y de los procesos en que aumenta el riesgo de infracción; protocolos para prevenirlas; mecanismos de reporte interno y de reporte a la autoridad ante brechas de seguridad, y sanciones internas con procedimientos de denuncia.

¿Vale la pena? Depende de cuánto arriesgues. Las infracciones más graves de la Ley 21.719 pueden llegar a multas de hasta 20.000 UTM y, si una empresa que no es de menor tamaño reincide en infracciones graves o gravísimas, a un porcentaje de sus ingresos anuales (artículo 35). Con ese riesgo, tener un responsable formal deja de parecer burocracia. Revisamos el detalle de sanciones y plazos en el checklist de adecuación a la Ley 21.719.

Qué hace un DPO en el día a día

Un delegado de protección de datos que funciona hace cosas muy tangibles:

• Mantiene vivo el inventario de datos (lo que muchos llaman RAT): qué datos tratas, para qué y con qué base legal. La ley no exige un registro con ese nombre, pero sí que publiques esa información (artículo 14 ter); sin ese inventario, el DPO trabaja a ciegas.
• Asesora en las evaluaciones de impacto (DPIA) cuando hay tratamientos de alto riesgo, como biometría o perfilamiento.
• Gestiona los derechos ARCO (acceso, rectificación, cancelación y oposición) que ejerzan tus clientes o trabajadores, dentro de los plazos legales.
• Coordina el protocolo ante brechas de seguridad, un punto donde se cruza con tu estrategia de ley de ciberseguridad para pymes.
• Capacita al equipo que toca datos: ventas, RR.HH., soporte y marketing.
• Es el interlocutor formal con la Agencia si esta pregunta o fiscaliza.

Un detalle que se pasa por alto: el delegado lo designa la máxima autoridad, debe contar con autonomía respecto de la administración y, si cumple otras funciones, el responsable debe garantizar que no generen conflicto de interés (artículo 50). En micro, pequeñas y medianas empresas, eso sí, la ley permite que el dueño o sus máximas autoridades asuman personalmente esas tareas.

DPO interno o externo: qué le conviene a una pyme

La ley no exige que el delegado sea trabajador de la empresa: pide idoneidad, autonomía y medios suficientes (artículo 50), así que puede ser un empleado interno o un profesional externo contratado. Para una pyme, la segunda opción suele ser la más razonable: pagas por horas o por proyecto, sin sumar un sueldo completo a la planilla.

La figura del DPO externo o “fraccional” —un especialista que presta el servicio por horas— existe justamente para que empresas con recursos limitados accedan a asesoría experta sin el costo de un cargo in-house. Lo importante no es dónde se sienta el delegado, sino que tenga idoneidad, independencia y acceso para hacer su trabajo.

Cómo designar un delegado de protección de datos

Si concluyes que lo necesitas —porque vas a adoptar un modelo de prevención o por convicción—, el nombramiento es sencillo, pero tiene requisitos que no conviene saltarse:

1. Designación por la máxima autoridad (directorio, socio administrador o máxima autoridad de la empresa, según el artículo 50); conviene dejarla por escrito.
2. Perfil idóneo: conocimiento de la ley, de tus procesos y capacidad de trabajar con independencia.
3. Recursos y acceso: el delegado debe poder entrar a las áreas relevantes y reportar hacia arriba sin filtros.
4. Canal de contacto público: un correo o formulario visible para que titulares y la Agencia lo ubiquen.
5. Parte por el inventario de datos: sin saber qué datos tratas, para qué y con qué base legal —lo que muchos ordenan en un registro de actividades de tratamiento—, cualquier delegado empieza en desventaja.

Ese último punto es el que más orden entrega. Por eso conviene que el inventario de datos y un responsable designado sean los primeros pasos de tu adecuación, no los últimos; lo desglosamos en el checklist de la Ley 21.719.

No empieces por el nombramiento, empieza por el diagnóstico

El delegado de protección de datos no es un trámite que se resuelve firmando un papel. Es una función que solo sirve si detrás hay un inventario de datos vivo, procesos que dejan rastro y un responsable con acceso real a la operación. Decidir si te conviene —y si interno o externo— es parte del diagnóstico de adecuación, no un paso aislado.

En Softdigital ayudamos a pymes chilenas a llegar a la entrada en vigencia de la ley con su adecuación a la Ley 21.719 resuelta: definimos si te conviene un DPO, armamos el registro de actividades de tratamiento y dejamos los procesos con trazabilidad. Parte por el test gratuito de cumplimiento o agenda un diagnóstico de 15 minutos: sin compromiso, con propuesta a precio fijo en menos de 24 horas.