Del principio a la evidencia: Reglamento sobre los Modelos de Prevención de Infracciones (MPI) de la Ley de Protección de Datos Personales

Perspectivas
-13 de septiembre de 2026

Publicado el 9 de septiembre de 2026, el Reglamento de los Modelos de Prevención de Infracciones transforma el artículo 49 de la nueva Ley N° 19.628 en una arquitectura concreta de cumplimiento: mapa de tratamientos, bases de licitud, matriz de riesgos, delegado de protección de datos, canales de denuncia, reglas laborales, certificación y supervisión.

Para las empresas, la dificultad ya no consiste en saber qué estándar espera el regulador, sino en implementarlo mientras sigue abierta una cuestión decisiva: al 13 de septiembre la ley fija su entrada en vigencia para el 1 de diciembre de 2026, pero un proyecto del Ejecutivo, sometido a suma urgencia, propone trasladarla al 1 de diciembre de 2027.

El Diario Oficial publicó el 9 de septiembre el Decreto Supremo N° 662, de 2026 del Ministerio de Hacienda – Chile. Son nueve páginas que desarrollan una de las piezas más relevantes del nuevo sistema chileno de protección de datos: los requisitos, modalidades y procedimientos para implementar, certificar, registrar y supervisar los modelos de prevención de infracciones previstos en el artículo 49 que la Ley N° 21.719 incorpora a la Ley N° 19.628. El decreto había sido dictado el 13 de junio de 2025 y su publicación se produjo cuando, conforme al texto legal vigente, faltaban menos de tres meses para la entrada en vigor de las modificaciones.

El calendario, sin embargo, volvió a abrirse. El 1 de septiembre de 2026 el Ejecutivo ingresó al Congreso el proyecto correspondiente al Boletín N° 18.623-07, que propone postergar hasta el 1 de diciembre de 2027 la entrada en vigencia de la Ley N° 21.719. El Gobierno fundamenta esa ampliación en la necesidad de instalar adecuadamente la Agencia de Protección de Datos Personales, disponer de regulación secundaria y permitir que organismos públicos y privados adapten sistemas, procesos y estructuras. Al 13 de septiembre, el proyecto continúa en tramitación; la información legislativa del Senado lo registra ingresado el 1 de septiembre y antecedentes de la tramitación lo sitúan en primer trámite constitucional, ante la Comisión de Constitución, Legislación, Justicia y Reglamento, con urgencia Suma.

La consecuencia jurídica inmediata es precisa: el proyecto aún no ha modificado la fecha de vigencia de la ley. La Ley N° 21.719 sigue estableciendo que las reformas a las leyes N° 19.628, N° 20.285 y N° 19.496 entrarán en vigor el primer día del vigésimo cuarto mes posterior a su publicación, esto es, el 1 de diciembre de 2026.

Esa coexistencia de una regla vigente, un reglamento recién publicado y un proyecto que pretende alterar el calendario resume el desafío actual para las gerencias legales. El “cuándo” está sujeto a una decisión legislativa todavía pendiente. El “qué” y buena parte del “cómo”, en cambio, quedaron considerablemente más definidos.

El punto de partida: el modelo es voluntario; la prevención es obligatoria

La primera distinción evita uno de los errores más importantes al interpretar el nuevo régimen. El artículo 48 de la futura Ley N° 19.628 dispone que los responsables de datos, públicos o privados, personas naturales o jurídicas, deberán adoptar acciones destinadas a prevenir las infracciones leves, graves y gravísimas tipificadas por la ley. El artículo 49 utiliza una fórmula diferente: los responsables podrán voluntariamente adoptar un modelo de prevención de infracciones consistente en un programa de cumplimiento.

Por tanto, una empresa puede decidir no someterse al sistema formal de certificación del modelo y conservará íntegramente su deber de prevención. La alternativa empresarial real tampoco consiste entre “cumplir” y “certificarse”. Toda organización comprendida en la ley deberá adecuar sus operaciones al nuevo régimen; la opción consiste en añadir a ese cumplimiento un modelo estructurado, sujeto a requisitos reglamentarios, certificación de la Agencia, inscripción pública y supervisión.

La certificación tiene, además, una consecuencia expresamente contemplada por la ley. Entre las circunstancias atenuantes de responsabilidad, el artículo 36 incluye haber cumplido diligentemente los deberes de dirección y supervisión para la protección de datos, circunstancia que se verificará mediante el certificado expedido conforme al artículo 51. Ese certificado tiene una vigencia de tres años, salvo que concurra alguna causal de terminación o revocación.

Su valor debe dimensionarse junto con el régimen sancionatorio. Las infracciones leves podrán ser objeto de amonestación escrita o multa de hasta 5.000 UTM; las graves, de hasta 10.000 UTM; y las gravísimas, de hasta 20.000 UTM. La reincidencia permite elevar la multa hasta tres veces el monto asignado y, respecto de empresas que no califican como empresas de menor tamaño, la reincidencia en infracciones graves o gravísimas puede llevar la sanción al monto más gravoso entre ese cálculo y hasta el 2% o 4%, respectivamente, de los ingresos anuales por ventas, servicios y otras actividades del giro.

El modelo certificado, entonces, ofrece una evidencia jurídica especialmente cualificada de diligencia. No entrega inmunidad, ni transforma una infracción en una conducta lícita, ni impide que la Agencia fiscalice. Su función es demostrar que existió una estructura preventiva que cumplía los requisitos legales y reglamentarios.

La certificación es voluntaria; la prevención de infracciones y la capacidad de demostrar diligencia forman parte del nuevo estándar regulatorio.

El Reglamento convierte el conocimiento de los datos en una obligación de gestión

El núcleo operativo del reglamento está en su artículo 3. La ley había ordenado identificar la información tratada, el ámbito territorial, las bases de datos y los titulares, junto con las actividades que aumentan el riesgo de infracción. El decreto lleva esa formulación a un nivel mucho más granular.

Para adoptar el modelo, el responsable debe caracterizar sus tratamientos considerando, entre otros elementos, los tipos de datos —incluidos datos sensibles y categorías especiales—; el ámbito territorial; las categorías, clases o tipos de bases de datos; las categorías de titulares; las finalidades; el origen de los datos; la base jurídica del tratamiento y, cuando corresponda, el interés legítimo invocado; las categorías de destinatarios; las transferencias internacionales y el mecanismo utilizado para cumplir sus requisitos; los períodos o criterios de conservación y eliminación; y la existencia de decisiones automatizadas o elaboración de perfiles, incluyendo información significativa sobre la lógica aplicada y sus consecuencias esperadas para el titular. El reglamento permite que esa caracterización se realice mediante un registro de actividades de tratamiento.

La última precisión importa. En la práctica comparada y en numerosas guías de implementación, el Registro de Actividades de Tratamiento —RAT— funciona como una herramienta central para ordenar el gobierno de privacidad. El material técnico disponible en las normas ISO o experiencias comparadas muestra precisamente su utilidad para documentar finalidades, bases jurídicas, terceros, transferencias, conservación y riesgos, y para conectar esa información con evaluaciones de impacto, incidentes y políticas internas.

Su fundamento jurídico debe expresarse con exactitud: el Decreto Supremo 662 señala que la caracterización podrá realizarse mediante un registro de actividades de tratamiento. De allí no se desprende una obligación general y autónoma de que toda empresa chilena mantenga un RAT con esa denominación. Sí se desprende algo más sustantivo para quien adopte el modelo: deberá disponer de información equivalente, suficientemente estructurada para conocer y explicar cada tratamiento relevante.

Ese levantamiento alimenta la segunda capa del modelo: el riesgo. El decreto exige identificar aquellas actividades y procesos, habituales o esporádicos, en que se genere o aumente el riesgo de cometer las infracciones de los artículos 34 bis, 34 ter y 34 quáter. Los procesos de mayor riesgo deben incorporarse en una matriz que considere también la graduación legal de las infracciones.

Esta relación entre tratamiento, riesgo e infracción cambia la forma tradicional de abordar la privacidad. Una política general de datos puede expresar principios correctos y, al mismo tiempo, coexistir con procesos deficientes: un CRM que conserva información sin plazo definido; proveedores con accesos no inventariados; campañas que reutilizan datos para finalidades distintas; bases de postulantes mantenidas indefinidamente; sistemas de inteligencia artificial que elaboran perfiles sin que la organización conozca su lógica; o transferencias internacionales cuyo fundamento jurídico nadie puede reconstruir. El modelo exige llevar esas situaciones desde el plano documental a una matriz susceptible de supervisión.

La literatura chilena reciente describe este tránsito como una forma de responsabilidad proactiva: la organización debe anticipar riesgos y generar evidencia sobre bases jurídicas, finalidades, controles y decisiones. Ese enfoque conecta el principio de responsabilidad con instrumentos de gobernanza como políticas, registros, evaluaciones de impacto, contratos con encargados y controles internos.

El reglamento convierte privacidad en trazabilidad: cada tratamiento relevante debe poder vincularse con una finalidad, una base jurídica, un riesgo, un control y un responsable.

Los protocolos deberán responder a la empresa real

Después del diagnóstico y la matriz, el Decreto Supremo 662 exige protocolos, reglas y procedimientos específicos. El diseño debe considerar la naturaleza de las operaciones, el volumen y tipo de información, los riesgos, el tamaño de la organización y su capacidad económica. La proporcionalidad evita convertir el programa en una plantilla idéntica para una pequeña empresa y para una compañía que trata masivamente datos sensibles, geolocalización o información financiera.

La dificultad práctica está en que esos protocolos atraviesan áreas que habitualmente operan con responsables, tecnologías y métricas distintas. La protección de datos involucra al área legal y compliance para identificar bases de licitud y obligaciones; a tecnología y ciberseguridad para administrar accesos, trazabilidad e incidentes; a recursos humanos para datos de trabajadores y obligaciones internas; a marketing y ventas para consentimientos, perfiles y campañas; a compras para contratos con proveedores; y a operaciones para determinar qué tratamientos efectivamente ocurren.

El reglamento agrega mecanismos internos de reporte sobre cumplimiento e infracciones. Esos canales deben ofrecer acceso expedito y permanente y pueden integrarse con canales ya existentes si satisfacen las exigencias reglamentarias. El diseño debe contemplar también las comunicaciones exigidas por la ley ante vulneraciones de seguridad y los reportes que correspondan a la autoridad, incluida la autodenuncia cuando proceda.

A ello se suma un procedimiento interno de denuncia ante el delegado de protección de datos. La persona denunciante podrá solicitar reserva de identidad y el reglamento protege frente a medidas adversas motivadas por la denuncia. El sistema requiere, además, sanciones administrativas internas y procedimientos para determinar responsabilidades.

El resultado se acerca más a una infraestructura de compliance que a una colección de políticas. La evidencia esperable incluye versiones de documentos, responsables, decisiones, registros de capacitación, análisis de riesgos, incidentes, investigaciones internas, medidas correctivas y seguimiento.

El modelo también entra a los contratos de trabajo y de servicios

Uno de los efectos más concretos para las empresas aparece en el artículo 4 del Decreto Supremo 662 y ya tenía fundamento en el artículo 49 de la ley. La regulación interna derivada del programa deberá incorporarse expresamente como obligación en los contratos de trabajo o de prestación de servicios de trabajadores, empleados y prestadores de la entidad responsable, así como de terceros que efectúen tratamientos, incluidos sus máximos ejecutivos; cuando corresponda, podrá incorporarse al reglamento interno regulado por los artículos 153 y siguientes del Código del Trabajo.

Este mandato amplía el proyecto más allá de la gerencia legal. Recursos humanos deberá identificar instrumentos que requieren modificación; procurement tendrá que revisar relaciones con prestadores; las áreas dueñas de contratos deberán determinar qué terceros efectivamente tratan datos y bajo qué instrucciones; y la empresa tendrá que armonizar obligaciones de privacidad con confidencialidad, seguridad, disciplina laboral y responsabilidades contractuales.

La dimensión laboral también impide tratar el modelo como un documento reservado al directorio o al comité de cumplimiento. El Decreto Supremo 662 exige su difusión y la de sus actualizaciones a trabajadores y prestadores. La norma, por tanto, requiere una cadena demostrable entre regla interna, incorporación contractual, conocimiento y aplicación.

El delegado de protección de datos pasa a ser una función de gobierno

El Reglamento dedica una parte sustancial de su contenido al delegado de protección de datos personales. Su designación no es obligatoria como regla universal; se vuelve necesaria para quien adopta el modelo de prevención. El reglamento permite que sea un trabajador de la organización o un prestador externo, persona natural o jurídica. Cuando el servicio se encomienda a una persona jurídica, debe identificarse la persona natural que ejercerá materialmente las funciones. En organismos públicos que lo establezcan, la ley exige recurrir a un funcionario de la dotación vigente.

Su posición organizacional también queda definida. Debe ser designado por la máxima autoridad directiva o administrativa y reportar directamente a ella; tiene autonomía en materias jurídicas relacionadas con sus funciones; debe contar con recursos suficientes de acuerdo con el tamaño, capacidad económica, tratamientos y riesgos de la organización; y la empresa debe prevenir conflictos entre sus funciones de supervisión y otras tareas que eventualmente desempeñe.

El reglamento admite, bajo determinadas condiciones, que un mismo delegado atienda a más de un responsable o a entidades relacionadas, siempre que existan estándares y políticas comunes y que conserve una accesibilidad adecuada. Esa posibilidad puede ser relevante para grupos empresariales, pero exige mirar la operación efectiva: centralizar el cargo sirve si el delegado tiene acceso real a información, unidades responsables y decisiones.

La especialización también importa. El delegado debe tener conocimientos regulatorios y experiencia compatibles con la función, mantenerse actualizado respecto de la normativa, instrucciones y decisiones de la Agencia y demostrar su idoneidad durante el proceso de certificación. Sus datos de contacto deben estar disponibles para los titulares y comunicarse internamente y a los encargados correspondientes.

Sus tareas forman un circuito completo de gobernanza: asesorar al responsable y a quienes efectúan tratamientos; participar en el diseño y modificación del programa; supervisar el cumplimiento; informar infracciones conocidas a la autoridad interna competente; promover capacitación permanente; colaborar en la identificación de riesgos; asesorar en evaluaciones de impacto; preparar un plan anual y reportar sus resultados; atender a titulares; y cooperar con la Agencia. La ley ya había definido esa función mediante asesoría, supervisión, formación, identificación de riesgos, planificación, atención de solicitudes y contacto con el regulador.

El desafío empresarial es evitar una figura puramente nominal. Un delegado que carece de acceso a contratos, sistemas, incidentes, proyectos tecnológicos, matrices de riesgo y decisiones de negocio difícilmente podrá ejercer las funciones que el reglamento le atribuye.

Certificarse significa también someterse a supervisión

El atractivo de la certificación debe leerse conjuntamente con su costo institucional. La Agencia será responsable de certificar que el modelo reúna los requisitos de la ley y del reglamento, incorporará a las organizaciones certificadas al Registro Nacional de Sanciones y Cumplimiento y supervisará que el sistema continúe funcionando. La certificación dura tres años y puede ser revocada.

El Reglamento regula la solicitud de certificación conforme a las reglas de la Ley N° 19.880 y a las instrucciones generales que dicte la Agencia. La autoridad podrá recurrir a terceros contratados conforme a las reglas de contratación pública para apoyar estas funciones. Una certificación favorable lleva a la inscripción en el registro; el certificado será público y el responsable deberá cuidar, incluso en sus comunicaciones comerciales, la forma en que presenta esa condición.

El artículo 18 contiene una regla especialmente útil para el período de transición: la implementación del modelo puede comenzar antes de la inscripción en el registro de la Agencia. Esa disposición separa el trabajo interno de adecuación de la disponibilidad administrativa del mecanismo de certificación. Una empresa puede levantar tratamientos, definir riesgos, ajustar contratos, establecer procedimientos y formar a sus equipos aunque la infraestructura final de registro todavía esté en desarrollo.

La supervisión posterior puede comprender requerimientos de información. El delegado deberá colaborar y entregar antecedentes completos y oportunos; la reserva o confidencialidad permite justificar legalmente determinadas negativas, pero debe acreditarse su fundamento. Entregar información falsa, incompleta o manifiestamente errónea durante el proceso de certificación o registro puede, además, constituir una infracción gravísima bajo la ley.

El reglamento también contempla la revocación. Puede proceder cuando el modelo deja de satisfacer los requisitos o cuando el responsable, incumpliendo su deber de prevención, es sancionado por infracciones relevantes. La certificación es, por ello, un estado que debe mantenerse mediante operación efectiva y mejora continua.

Los marcos internacionales de gestión pueden ayudar a estructurar ese trabajo. La norma de ISO – International Organization for Standardization ISO/IEC 27701:2025 describe un sistema de gestión de información de privacidad que integra bases jurídicas, registros, evaluaciones de impacto, roles, incidentes y relaciones con encargados. Puede servir como arquitectura técnica o como fuente de controles para empresas que ya utilizan sistemas de gestión. Una certificación ISO/IEC 27701, sin embargo, no equivale a la certificación del modelo chileno por la Agencia: sus bases jurídicas, criterios y efectos son distintos.

La CGR mostró antes cómo una regla se convierte en procedimiento

La Resolución Exenta N° 1.400 de la Contraloría General de la República, publicada el 24 de junio de 2026, ofrece una comparación particularmente ilustrativa. Su objeto es aplicar los artículos 54 y 55 de la nueva Ley N° 19.628 dentro de la propia Contraloría General de la República de Chile, regulando tanto el procedimiento para que los titulares ejerzan sus derechos como la dimensión disciplinaria respecto de los funcionarios de la institución. La resolución fija expresamente su vigencia para el 1 de diciembre de 2026.

La comparación requiere mantener la diferencia jurídica. La CGR integra el régimen especial que la Ley N° 21.719 establece para determinadas instituciones públicas y autónomas; su Resolución N° 1.400 no constituye una instrucción aplicable directamente a las empresas privadas. Su importancia reside en mostrar cómo una institución convirtió principios y derechos en una secuencia operacional verificable.

El titular puede presentar solicitudes de acceso, rectificación, supresión, oposición o bloqueo temporal por medios electrónicos o físicamente. La oficina de partes asigna un código de trazabilidad y deriva el caso al Oficial de Datos. Este revisa la admisibilidad; si faltan antecedentes, dispone una subsanación en cinco días hábiles; si el asunto corresponde a otro organismo, la presentación se deriva y se informa al solicitante dentro de cinco días hábiles; y si la solicitud es admisible, debe emitirse una respuesta fundada dentro de 30 días corridos, prorrogables por una vez.

La lección empresarial está en el mecanismo. Reconocer jurídicamente un derecho de acceso sirve de poco si la organización desconoce dónde ingresa la solicitud, quién verifica la identidad, quién busca los datos, qué áreas deben responder, cómo se registra el plazo y quién adopta la decisión final. Lo mismo ocurre con una brecha de seguridad: el deber de notificar requiere detección, clasificación, escalamiento, responsables y evidencia.

La experiencia de la CGR anticipa una lógica que también deberán resolver las empresas: cada derecho necesita canal, responsable, trazabilidad, plazo y decisión.

El Reglamento sigue una lógica comparable desde otro punto de entrada. En vez de regular directamente el procedimiento de derechos de una institución pública, organiza un sistema preventivo: identifica tratamientos, asigna riesgos, fija controles, establece reportes, crea responsabilidades internas y exige evidencia. Ambos instrumentos muestran una misma tendencia del nuevo sistema: la protección de datos deja de descansar principalmente en declaraciones y pasa a evaluarse mediante procesos reproducibles.

El desafío empresarial excede el modelo certificado

El Reglamento desarrolla una parte relevante de la reforma, pero la implementación de la Ley N° 21.719 exige mirar un universo mayor. Las empresas deberán revisar bases de licitud y consentimientos; transparencia; ejercicio de derechos; encargados y contratos; seguridad; vulneraciones; conservación y eliminación; transferencias internacionales; datos sensibles y de niños, niñas y adolescentes; decisiones automatizadas; evaluaciones de impacto cuando procedan; y evidencia de las decisiones adoptadas.

Las guías prácticas existentes ponen énfasis precisamente en la coherencia entre políticas externas y operación interna. Una política de privacidad publicada y versionada puede aportar transparencia, pero pierde valor probatorio si describe tratamientos distintos de los que efectivamente realiza la empresa. Las políticas de seguridad, incidentes, conservación, derechos, recursos humanos, marketing y proveedores cumplen funciones diferentes y necesitan responsables, controles y registros propios.

La exposición tampoco termina en la sanción administrativa. El artículo 47 del nuevo texto obliga al responsable a indemnizar el daño patrimonial y extrapatrimonial causado al titular cuando infrinja los principios, derechos u obligaciones legales y genere perjuicio. La ley regula además la relación de esa acción con una resolución administrativa o judicial previa y fija un plazo especial de cinco años contado desde la ejecutoriedad en los términos de la propia disposición.

Luca Martino, Dante Roberto Pesce y Francisco Maturana Casarotto en su artículo de la Revista de Derecho Privado: Debates y Tendencias (N° 3, pp. 21-56) de la Universidad de Chile, titulado «Responsabilidad civil emanada de la nueva regulación de la protección de datos personales» analizan esa regulación como un subsistema especial dentro de la responsabilidad civil chilena, destacando la prejudicialidad administrativa, el plazo quinquenal, el procedimiento sumario y su coexistencia con otros estatutos de responsabilidad. Los autores discuten, además, distintas interpretaciones para el caso de eventual inactividad de la Agencia.

El riesgo que debe administrar una empresa, en consecuencia, integra fiscalización, multas, medidas correctivas, posible suspensión de tratamientos en determinados supuestos de reiteración, exposición indemnizatoria y efectos reputacionales. La prevención adquiere valor económico porque disminuye la probabilidad y el impacto de esos eventos y, al mismo tiempo, mejora la calidad de la prueba disponible para demostrar diligencia.

La incertidumbre legislativa: dos fechas, una sola fecha jurídicamente vigente

El proyecto del Ejecutivo introduce una tensión temporal que debe manejarse con especial precisión. El Gobierno propone que el nuevo régimen entre en vigencia el 1 de diciembre de 2027. Justifica la modificación en la necesidad de contar con condiciones institucionales, regulatorias y operativas suficientes y de reducir incertidumbre y costos asociados a una implementación apresurada (La Ley 21.719 se publicó el 13 de diciembre de 2024). También propone aumentar de tres a cinco los integrantes del Consejo Directivo de la Agencia, fijar un quórum de tres y adelantar la primera designación para que el órgano pueda iniciar su instalación y elaborar regulación secundaria antes de ejercer plenamente sus facultades.

Esta idea se discutió ampliamente en el pasado, y de ese debate surgió en la Ley 21.806 sobre Reajuste al Sector Público, publicada el 5 de febrero de 2026, una regulación miscelánea que dispuso en su artículo 54, entre varias otras normas «En el artículo cuarto transitorio de la ley N° 21.719: […] b) Reemplázase la expresión «dentro de los sesenta días anteriores a» por «seis meses antes de». referido a la entrada en funcionamiento de la Agencia de Protección de Datos Personales.

Esa propuesta tiene peso político y una urgencia legislativa relevante, pero todavía carece de fuerza normativa para alterar el artículo primero transitorio. El Boletín N° 18.623-07 permanece “en tramitación”. Mientras el Congreso no apruebe una modificación, esta sea promulgada y posteriormente publicada, la planificación jurídica debe seguir considerando el 1 de diciembre de 2026 como la fecha legal vigente.

La suma urgencia modifica la prioridad y los tiempos de tramitación parlamentaria; por sí misma no modifica la Ley N° 21.719. Esa diferencia entre probabilidad legislativa y derecho vigente resulta esencial para directorios y gerencias que deban aprobar presupuestos, contratar tecnología o definir fechas de salida de proyectos.

Si el proyecto se convierte en ley con la redacción anunciada, las modificaciones introducidas por la Ley N° 21.719 pasarían a ser exigibles en diciembre de 2027. El Decreto Supremo 662, que ya fue publicado, seguiría siendo una pieza reglamentaria existente, aunque la operación efectiva de su certificación, registro y supervisión deberá coordinarse con la vigencia de las competencias legales de la Agencia. El propio régimen transitorio actual dispone que, antes de la entrada en vigencia, el Consejo de la Agencia sólo puede ejercer determinadas funciones y que sus instrucciones o normas generales tendrán fuerza obligatoria desde esa entrada en vigor.

Existe, además, una cuestión de coordinación para actos ya dictados. La Resolución Exenta N° 1.400 de la CGR señala expresamente como fecha de entrada en vigencia el 1 de diciembre de 2026. Si el legislador desplaza por un año la vigencia de las disposiciones legales que esa resolución ejecuta, será necesario determinar formalmente cómo se ajusta su calendario. La eventual necesidad de modificación o coordinación es una inferencia jurídica derivada del cambio proyectado; hasta ahora la resolución continúa indicando el 1 de diciembre de 2026.

Esta situación aconseja evitar dos conclusiones opuestas. La primera sería actuar como si la prórroga ya estuviera aprobada. La segunda, considerar que todo el trabajo de adecuación pierde valor si el Congreso finalmente concede un año adicional.

El Reglamento muestra que gran parte de las tareas son estructurales y seguirán siendo necesarias bajo cualquiera de los dos calendarios.

Qué cambia en la decisión de las empresas si la ley se posterga

Para una empresa que ya inició su programa de adecuación, una eventual prórroga cambia principalmente la secuencia y la capacidad de maduración del proyecto.

El levantamiento de tratamientos conserva valor porque permite descubrir usos de datos que la organización desconocía. La revisión de finalidades y bases de licitud sigue siendo necesaria. Definir plazos de conservación reduce exposición incluso antes de una fiscalización. Ordenar contratos con encargados y proveedores mejora la capacidad de controlar terceros. Construir procedimientos de derechos, incidentes y brechas permite probarlos antes de que los plazos legales resulten plenamente exigibles. Identificar candidatos al rol de delegado, verificar conflictos de interés y definir recursos evita crear un cargo nominal a última hora. La matriz de riesgos permite priorizar tratamientos sensibles, masivos, automatizados o vinculados con sujetos especialmente protegidos.

La propia norma reglamentaria respalda esa lógica al permitir que la implementación del modelo comience antes de la inscripción en el Registro. La preparación y la certificación son momentos distintos.

Una prórroga podría ser especialmente valiosa para empresas con ecosistemas complejos de datos. El inventario efectivo suele revelar proveedores desconocidos para el área legal; bases históricas sin criterios claros de eliminación; tratamientos secundarios creados por equipos comerciales; datos replicados en ambientes de prueba; flujos internacionales incorporados mediante servicios en la nube; o modelos automatizados cuyo funcionamiento jurídico y técnico requiere documentación adicional. Corregir estos problemas exige decisiones de arquitectura, presupuesto y contratos, además de documentos jurídicos.

Para organizaciones de menor complejidad, el año adicional podría permitir una implementación proporcional. El Reglamento incorpora expresamente criterios de tamaño, capacidad económica, cantidad y tipo de tratamientos y nivel de riesgo. La consecuencia razonable no es replicar el programa de una gran institución, sino diseñar controles que respondan a la exposición real y que puedan acreditarse.

La decisión de buscar certificación merece un análisis separado. Empresas con tratamientos intensivos, datos sensibles, alta exposición a titulares, sistemas de perfilamiento, operaciones internacionales o especial riesgo reputacional pueden asignar mayor valor a la evidencia formal que produce el certificado y a su reconocimiento legal como atenuante. Otras organizaciones podrían concentrarse inicialmente en satisfacer el deber general de prevención y evaluar posteriormente el costo y beneficio de incorporarse al modelo certificado.

El verdadero cambio ya está a la vista

La publicación del Decreto Supremo 662 —que, digámoslo, se promulgó el 13 de junio de 2025— cierra una parte relevante de la incertidumbre técnica que acompañaba a la Ley N° 21.719. Ya existe suficiente detalle para saber que un modelo de prevención serio requerirá conocer los tratamientos, justificar sus bases jurídicas, clasificar riesgos, documentar controles, establecer procedimientos, asignar recursos al delegado, incorporar obligaciones en relaciones laborales y contractuales, capacitar, registrar incidentes y decisiones y someter todo ese sistema a revisión continua.

La Resolución Exenta N° 1.400 de la Contraloría entrega una segunda señal desde el sector público: los derechos reconocidos por la ley deben convertirse en procedimientos con responsables, trazabilidad y plazos. El reglamento hace algo semejante en materia preventiva para quienes opten por el modelo del artículo 49.

El proyecto ingresado el 1 de septiembre mantiene abierta la fecha en que esa arquitectura adquirirá plena exigibilidad bajo las modificaciones de la Ley N° 21.719. Al 13 de septiembre de 2026, el derecho vigente todavía fija el 1 de diciembre de 2026; el 1 de diciembre de 2027 corresponde a la fecha propuesta y pendiente de aprobación.

Para una gerencia legal, esa diferencia conduce a un criterio operativo claro. Las inversiones irreversibles que dependan estrictamente de la fecha pueden ordenarse por etapas. Los trabajos que permiten conocer los datos, corregir tratamientos riesgosos, asignar responsabilidades y construir evidencia mantienen su utilidad en ambos escenarios.

Una eventual prórroga puede mover la exigibilidad de las reformas de la Ley N° 21.719; el Reglamento contenido en el Decreto Supremo 662 ya dejó visible el estándar de gestión con que las empresas tendrán que demostrar su cumplimiento.