1
Identificación del responsable
Individualización del responsable de datos y de su representante legal, cuando corresponda.
Ley 21.719 · Decreto N.º 662 · Programa de Cumplimiento
Modelo de Prevención de Infracciones de la Ley 21.719
El Reglamento de la Ley 21.719 establece los requisitos, modalidades y procedimientos para la implementación, certificación, registro y supervisión del Modelo de Prevención de Infracciones (MPI) en materia de protección de datos personales.
DPO Partners explica qué debe contener un programa de cumplimiento, qué rol cumple el Delegado de Protección de Datos, cómo debe construirse la matriz de riesgos y cuáles son las reglas para la certificación ante la Agencia de Protección de Datos Personales.
Actualizado: 9 de septiembre de 2026
Programa de cumplimiento
¿Qué es un Modelo de Prevención de Infracciones?
El Modelo de Prevención de Infracciones es un programa de cumplimiento orientado a establecer medidas organizativas y de funcionamiento destinadas a prevenir infracciones a la normativa sobre protección de datos personales y resguardar los derechos de sus titulares.
El Decreto N.º 662 regula específicamente los requisitos, modalidades y procedimientos para su implementación, certificación, registro y supervisión.
Importante: el MPI no reemplaza las obligaciones generales de cumplimiento.
Una organización que no adopte un modelo certificado igualmente debe cumplir la Ley 21.719
y adoptar acciones destinadas a prevenir infracciones.
Si necesita una visión más amplia del régimen legal, consulte nuestra Guía de implementación de la Ley 21.719.
Carácter voluntario
¿Es obligatorio implementar un Modelo de Prevención de Infracciones?
No. El reglamento establece que los responsables de datos, sean personas naturales o jurídicas, públicas o privadas, pueden adoptar e implementar voluntariamente un modelo de prevención de infracciones consistente en un programa de cumplimiento.
No obstante, la voluntariedad del MPI no elimina la obligación general de cumplir la ley. Todos los responsables deben adoptar acciones para prevenir la comisión de infracciones.
¿Por qué entonces implementar un MPI?
Porque permite estructurar el cumplimiento mediante gobierno, riesgos, controles, responsabilidades, evidencia y mejora continua, además de acceder al mecanismo de certificación previsto por la Ley 21.719 y su reglamento.
Artículo 3 del Reglamento
Requisitos mínimos del Programa de Cumplimiento
El Reglamento establece un conjunto mínimo de elementos que debe contener el programa. Desde una perspectiva GRC, estos elementos pueden organizarse en gobierno, inventario de tratamientos, riesgos, controles, reporte, disciplina y supervisión.
2
Designación del DPO
Designación formal de un Delegado de Protección de Datos conforme al Reglamento.
3
Medios y facultades del DPO
Definición de recursos, autonomía, atribuciones y condiciones necesarias para el ejercicio de su función.
4
Caracterización de tratamientos
Descripción de datos, titulares, finalidades, bases de licitud, terceros, transferencias, conservación y decisiones automatizadas.
5
Identificación y matriz de riesgos
Identificación de procesos de mayor riesgo de infracción y construcción de una matriz considerando la graduación de sanciones.
6
Protocolos y procedimientos
Reglas específicas para que quienes intervienen en tratamientos ejecuten sus tareas de manera que prevenga infracciones.
7
Mecanismos de reporte
Canales internos y mecanismos de comunicación a la Agencia, titulares y, cuando proceda, autodenuncia.
8
Sanciones internas
Sanciones administrativas internas y procedimientos aplicables ante vulneraciones del programa o de la normativa.
9
Denuncias internas
Mecanismos de denuncia ante el DPO, incluyendo reserva de identidad y protección frente a represalias.
Inventario de tratamientos
La caracterización de tratamientos: mucho más que un inventario básico
El nuevo Reglamento entrega un nivel de detalle especialmente relevante respecto de la información que debe levantarse sobre las operaciones de tratamiento. La caracterización puede realizarse mediante un Registro de Actividades de Tratamiento (RAT).
| Información mínima | Qué debe identificarse |
|---|---|
| Datos tratados | Tipo de datos y existencia de datos sensibles o categorías especiales. |
| Ámbito territorial | Lugar o ámbito en que se realiza el tratamiento. |
| Bases de datos | Categorías, clases o tipos de bases administradas. |
| Titulares | Categorías de personas cuyos datos son tratados. |
| Finalidades | Objetivos o fines de las operaciones de tratamiento. |
| Origen | Fuente de procedencia, incluida la eventual fuente de acceso público. |
| Base de licitud | Fundamento jurídico y, cuando corresponda, interés legítimo. |
| Terceros | Categorías de destinatarios, incluidos terceros países u organizaciones internacionales. |
| Transferencias internacionales | País u organización internacional y mecanismo utilizado para cumplir la normativa. |
| Conservación | Plazos o condiciones previstas para la supresión. |
| Decisiones automatizadas | Existencia de perfiles, lógica aplicada y consecuencias previstas para el titular. |
Enfoque basado en riesgo
La matriz de riesgos pasa a ser un elemento central del MPI
El programa debe identificar las actividades de tratamiento o procesos —habituales o esporádicos— en los que se genere o incremente el riesgo de cometer infracciones. Luego debe determinar cuáles presentan mayor riesgo e incorporarlas a una matriz de riesgos.
Punto relevante para la implementación: el Reglamento exige que la matriz
se desarrolle considerando la graduación de las sanciones previstas por la ley. Por lo tanto,
no conviene utilizar una matriz genérica desconectada del régimen infraccional.
Identificar
Procesos, tratamientos, sistemas, terceros y eventos que puedan generar incumplimiento.
Evaluar
Probabilidad, impacto, severidad del incumplimiento y consecuencias para los titulares.
Tratar
Definir controles, responsables, plazos, evidencia y seguimiento de los riesgos priorizados.
Controles operacionales
Protocolos, reglas y procedimientos específicos
El MPI no puede limitarse a una política general. El Reglamento exige protocolos, reglas y procedimientos que permitan a las personas involucradas en tratamientos programar y ejecutar sus tareas de manera que prevenga infracciones.
Su diseño debe considerar especialmente:
- Las operaciones de tratamiento que realiza la organización.
- La cantidad y el tipo de datos personales tratados.
- Los riesgos asociados a las operaciones de tratamiento.
- El tamaño y capacidad económica de la entidad.
Detección y escalamiento
Reportes internos, comunicaciones y denuncias
Mecanismos de reporte
El programa debe prever vías expeditas y de acceso permanente para reportar cumplimiento o eventuales infracciones dentro de la organización.
Estos mecanismos pueden integrarse a canales de denuncia ya existentes, siempre que cumplan las exigencias aplicables a protección de datos.
Denuncias ante el DPO
Debe existir un mecanismo de denuncia interna ante el Delegado de Protección de Datos. El sistema debe permitir la reserva de identidad del denunciante y evitar medidas desfavorables en su contra por causa de la denuncia.
Además, el programa debe contemplar mecanismos de reporte a la autoridad de protección de datos o a los titulares cuando corresponda, junto con los mecanismos aplicables a la autodenuncia.
Gobierno y cumplimiento interno
El Reglamento conecta el MPI con contratos y regulación laboral interna
Una de las novedades prácticas más importantes es que la regulación interna derivada del programa debe incorporarse expresamente, cuando corresponda, como obligación en los contratos de trabajo o de prestación de servicios de trabajadores, empleados y prestadores de servicios, incluidos los máximos cargos ejecutivos.
Cuando corresponda, también deberá incorporarse al reglamento interno de la organización. Esto significa que la implementación del MPI requiere coordinación entre Privacidad, Legal, Recursos Humanos, Compliance y la alta dirección.
El responsable también debe difundir la existencia del programa de cumplimiento entre
trabajadores, empleados y prestadores de servicios, incluyendo sus modificaciones o
actualizaciones.
Delegado de Protección de Datos
El DPO es obligatorio dentro del Modelo de Prevención de Infracciones
Aunque la designación de un DPO no constituye una obligación general para todos los responsables de datos, sí es obligatoria cuando se adopta y certifica un programa de cumplimiento bajo el MPI.
Designación
Debe ser realizada por la máxima autoridad directiva o administrativa del responsable.
Autonomía
Debe contar con autonomía respecto de la administración en materias relacionadas con protección de datos.
Reporte directo
Rinde cuenta directamente ante la autoridad que lo designó.
Recursos suficientes
El responsable debe proporcionar medios y facultades suficientes para el desempeño de sus funciones.
Idoneidad
Debe acreditarse conocimiento especializado, experiencia y habilidades profesionales adecuadas.
Sin conflictos de interés
No puede ejercer actividades que deba supervisar o respecto de las cuales deba pronunciarse como DPO.
El Reglamento reconoce expresamente que el DPO puede desempeñar sus funciones bajo un contrato de prestación de servicios con una persona natural o jurídica. Si el servicio es prestado por una persona jurídica, el contrato debe individualizar a la persona natural que actuará como delegado.
Conozca nuestro servicio de DPO Externo en Chile.
Artículo 13
Funciones del DPO dentro del programa
Informar y asesorar
Sobre normas legales, reglamentarias, instrucciones y decisiones aplicables.
Revisar el programa
Participar oportunamente en su elaboración, revisión y modificación.
Difundir la política
Promover conocimiento y cumplimiento de la política y del programa.
Supervisar
Supervisar el cumplimiento de la ley y de las normas aplicables al tratamiento.
Escalar infracciones
Comunicar directamente a la autoridad correspondiente las infracciones de que tome conocimiento.
Capacitar
Promover formación permanente de quienes participan en operaciones de tratamiento.
Gestionar riesgos
Asesorar en la identificación de riesgos y medidas para proteger derechos de titulares.
Asesorar en EIPD
Apoyar al responsable cuando exista deber de realizar una Evaluación de Impacto.
Plan anual
Desarrollar un plan anual de trabajo y rendir cuenta de resultados al menos una vez al año.
Atender titulares
Resolver consultas y solicitudes dentro del ámbito de sus atribuciones.
Punto de contacto
Cooperar y actuar como contacto frente a la Agencia de Protección de Datos Personales.
Certificación del MPI
¿Cómo se certifica el Modelo de Prevención de Infracciones?
La Agencia de Protección de Datos Personales certificará los modelos que reúnan los requisitos y elementos establecidos en la ley y en el Reglamento.
1
Solicitud
El procedimiento se inicia a solicitud del interesado.
2
Evaluación
La Agencia revisa la solicitud y antecedentes que acreditan el cumplimiento de requisitos.
3
Certificación y registro
Si se concede, el modelo se incorpora al Registro Nacional de Sanciones y Cumplimiento.
Vigencia: los certificados expedidos por la Agencia tendrán una
vigencia de tres años y podrán renovarse a petición del interesado.
Transparencia
Registro Nacional de Sanciones y Cumplimiento
Las entidades que posean una certificación vigente serán incorporadas por la Agencia al Registro Nacional de Sanciones y Cumplimiento.
El registro identificará al responsable, su representante cuando corresponda, la fecha de incorporación de la certificación y su vencimiento. Además, permitirá el acceso público a los certificados emitidos.
El Reglamento establece que una organización sólo puede publicitar que su programa está
certificado mediante referencia directa al Registro Nacional de Sanciones y Cumplimiento.
Supervisión de la Agencia
El modelo certificado queda sujeto a supervisión y puede ser revocado
La Agencia puede supervisar el cumplimiento de los modelos certificados y requerir la información necesaria para ejercer su función de supervisión.
Dentro de sus funciones, el DPO deberá poner esa información a disposición de la Agencia de manera íntegra y oportuna.
Revocación por incumplimiento
La Agencia puede revocar fundadamente la certificación si el responsable deja de cumplir los requisitos legales o reglamentarios necesarios para certificar el modelo.
Nueva solicitud
Tras una revocación, el responsable puede volver a solicitar la certificación, pero debe acreditar que subsanó la causa y adoptó medidas para prevenir su repetición.
DPO Partners
Cómo implementar un MPI conforme al Decreto 662
En DPO Partners proponemos abordar el Modelo de Prevención de Infracciones como un proyecto de Gobierno, Riesgo y Cumplimiento (GRC), no como una recopilación aislada de documentos.
1
Diagnóstico de brechas
Evaluamos el estado actual frente a los requisitos de la Ley 21.719 y del Decreto 662.
2
Gobierno y DPO
Definimos estructura, designación, medios, facultades, independencia y mecanismos de reporte.
3
RAT y caracterización
Levantamos tratamientos, titulares, finalidades, bases, terceros, transferencias y conservación.
4
Matriz de riesgos
Identificamos procesos de mayor riesgo y los vinculamos con el régimen de infracciones y sanciones.
5
Protocolos y evidencias
Diseñamos políticas, procedimientos, reportes, controles, registros y mecanismos de denuncia.
6
Integración contractual
Coordinamos con Legal y RR.HH. la incorporación del programa en contratos y normativa interna.
7
Capacitación
Formamos a directivos, trabajadores y áreas críticas para asegurar comprensión y aplicación del programa.
8
Auditoría interna
Revisamos cumplimiento, evidencia, brechas y eficacia antes de solicitar certificación.
9
Preparación de certificación
Organizamos antecedentes, responsables, evidencias y trazabilidad para el proceso ante la Agencia.
Preguntas frecuentes
FAQ sobre el Modelo de Prevención de Infracciones
¿Es obligatorio implementar un MPI?
No. Su adopción es voluntaria. Sin embargo, todos los responsables de datos deben cumplir la Ley 21.719 y adoptar acciones para prevenir infracciones.
¿Es obligatorio designar un DPO dentro del MPI?
Sí. El Reglamento señala expresamente que la designación de un Delegado de Protección de Datos es obligatoria en el marco de la adopción y certificación del programa.
¿Puede el DPO ser externo?
Sí. Puede desempeñar sus funciones en el marco de un contrato de prestación de servicios con una persona natural o jurídica. Si el proveedor es una persona jurídica, el contrato debe individualizar a la persona natural que actuará como delegado.
¿La caracterización de tratamientos puede hacerse mediante un RAT?
Sí. El Reglamento establece expresamente que la caracterización puede realizarse a través de un Registro de Actividades de Tratamiento.
¿La matriz de riesgos debe considerar las sanciones?
Sí. El Reglamento exige que la matriz de riesgos se desarrolle considerando la graduación de las sanciones previstas por la ley.
¿Cuánto dura la certificación?
La certificación tendrá una vigencia de tres años y podrá renovarse a petición del interesado.
¿Quién supervisa un MPI certificado?
La Agencia de Protección de Datos Personales puede supervisar los modelos certificados y requerir información necesaria para verificar su cumplimiento.
¿Se puede revocar la certificación?
Sí. La Agencia puede revocarla si el responsable deja de cumplir los requisitos exigidos por la ley o el Reglamento, entre otras causales previstas por la normativa.
Prepare su Modelo de Prevención de Infracciones para la Ley 21.719
DPO Partners puede apoyar a su organización desde el diagnóstico de brechas hasta el diseño, implementación, auditoría interna y preparación del modelo para su eventual certificación.
Nuestro enfoque integra privacidad, legal, GRC, riesgos, ciberseguridad, DPO, RAT, EIPD, proveedores, contratos y evidencia de cumplimiento.
Correo: contacto@dpopartners.cl