Delegado de Protección de Datos bajo la Ley 21.719: guía para empresas chilenas

El artículo 50 abre con una frase que zanja el punto: «El responsable de datos podrá designar un delegado de protección de datos personales». No hay umbral de tamaño, de volumen ni de tipo de dato que active una obligación de designar, ni existe una infracción tipificada por no hacerlo. Lo que sí obliga a todos es el artículo 48: adoptar acciones destinadas a prevenir las infracciones de los artículos 34 bis, 34 ter y 34 quáter. Esas acciones no exigen un delegado.

De dónde vienen los tres supuestos que circulan en Chile

Los supuestos que se repiten en el mercado —organismo público, tratamiento de datos sensibles a gran escala como actividad principal, monitoreo sistemático a gran escala— corresponden al artículo 37.1 del Reglamento General de Protección de Datos de la Unión Europea. Se trasladaron a la discusión chilena por analogía y se instalaron como si fueran texto legal nacional. No lo son. La noción de «actividad principal», que es el eje del criterio europeo, no aparece en ninguna parte de la ley chilena. Y el artículo quinto transitorio de la Ley 21.719 refuta el supuesto del sector público con su propia redacción: habla de «los órganos públicos que establezcan un encargado de prevención o delegado de protección de datos personales», es decir, regula de dónde sale la persona si el organismo decide establecerlo, no ordena establecerlo.

Dónde sí viven «gran escala» y «monitoreo sistemático» en la ley chilena

Ambas expresiones existen en la ley, pero en otro artículo y con otro efecto. El artículo 15 ter exige una evaluación de impacto en protección de datos, previa al inicio del tratamiento, y la requiere siempre en cuatro casos: evaluación sistemática y exhaustiva basada en tratamiento o decisiones automatizadas que produzcan efectos jurídicos significativos; tratamiento masivo de datos o a gran escala; tratamiento que implique observación o monitoreo sistemático de una zona de acceso público; y tratamiento de datos sensibles y especialmente protegidos en las hipótesis de excepción del consentimiento. Si tu organización cae en alguno de esos cuatro casos, lo que la ley te exige es la evaluación de impacto, no un delegado.

El único vínculo real con una obligación: el modelo de prevención de infracciones

El artículo 49 establece que los responsables de datos «podrán voluntariamente adoptar un modelo de prevención de infracciones consistente en un programa de cumplimiento», y que ese programa «deberá contener, al menos» siete elementos. Los dos primeros son la designación de un delegado de protección de datos personales y la definición de sus medios y facultades. La obligación es condicional: no estás obligado a adoptar el modelo, pero si lo adoptas —típicamente para certificarlo ante la Agencia conforme al artículo 51 e invocarlo ante una sanción—, el delegado deja de ser opcional.

La ley no exige que el encargado de protección de datos personales de la empresa sea abogado ni que posea un título específico. El requisito legal es que reúna condiciones de idoneidad, capacidad y conocimientos específicos para el ejercicio de sus funciones. Esto permite perfiles mixtos —jurídicos, técnicos o de gestión de procesos—, lo que resulta útil en organizaciones donde la protección de datos tiene una dimensión tecnológica importante. Este estándar rige toda designación, sea obligatoria por el artículo 49 o voluntaria.

Las ocho funciones que el artículo 50 asigna al delegado

• Informar y asesorar al responsable de datos, a los terceros encargados o mandatarios y a los dependientes, sobre las disposiciones legales y reglamentarias relativas a la protección de datos personales y a la regulación de su tratamiento.
• Promover y participar en la política que dicte el responsable de datos respecto de la protección y el tratamiento de los datos personales.
• Supervisar el cumplimiento de la ley y de la política que dicte el responsable, dentro del ámbito de su competencia.
• Preocuparse de la formación permanente de las personas que participan en las operaciones de tratamiento de datos.
• Asistir a los miembros de la organización en la identificación de los riesgos asociados al tratamiento y de las medidas a adoptar para resguardar los derechos de los titulares.
• Desarrollar un plan anual de trabajo y rendir cuenta de sus resultados.
• Absolver las consultas y solicitudes de los titulares de datos.
• Cooperar y actuar como punto de contacto de la Agencia de Protección de Datos Personales.

Un punto que muchas organizaciones pasan por alto: aquí la ley deja de ser facultativa. Una vez que existe delegado, el artículo 50 exige que cuente con autonomía respecto de la administración en las materias de esta ley, que sea designado por la máxima autoridad directiva o administrativa —directorio, socio administrador o máxima autoridad de la empresa o servicio— y que mantenga estricto secreto sobre los datos que conozca en el ejercicio del cargo. El responsable, además, debe dotarlo de medios, facultades y recursos materiales suficientes, en consideración al tamaño y la capacidad económica de la entidad. Y si el delegado desempeña otras funciones, el responsable debe garantizar que no den lugar a conflicto de intereses.

Cognitiva trabaja con empresas chilenas que implementan sistemas de IA y automatización en sus operaciones: entornos donde el tratamiento de datos personales es frecuente y la exposición regulatoria bajo la Ley 21.719 es concreta. En ese contexto, el cumplimiento no es un proceso paralelo al negocio; es parte de la arquitectura de los sistemas desde el comienzo.

Nuestro equipo ayuda a las organizaciones a mapear sus flujos de datos, definir si les conviene designar un delegado y bajo qué figura, y diseñar el esquema de cumplimiento más apropiado según su tamaño y tipo de tratamiento: desde la evaluación de impacto del artículo 15 ter hasta la elaboración del Registro de Actividades de Tratamiento, los contratos con proveedores de IA y la coordinación ante brechas de seguridad. 19 empresas chilenas ya trabajan con Cognitiva en la integración de IA con sus procesos.