¿Es obligatorio?
No. El artículo 50 dice que el responsable de datos «podrá designar» un delegado de protección de datos personales. A diferencia del reglamento europeo, que lo exige en ciertos casos, la ley chilena lo deja a decisión de cada organización.
Hay una excepción práctica: si la organización adopta un modelo de prevención de infracciones (artículo 49), la designación del delegado es su primer elemento obligatorio. Y aunque no se adopte el modelo, alguien tiene que hacer el trabajo: responder a los titulares, mantener el registro de tratamientos y decidir ante una brecha.
Qué hace
El artículo 50 le asigna, como mínimo, siete funciones:
- Informar y asesorar al responsable, a los encargados y a los trabajadores sobre la normativa de protección de datos.
- Promover y participar en la política de protección y tratamiento de datos.
- Supervisar el cumplimiento de la ley y de esa política.
- Preocuparse de la formación permanente de quienes tratan datos.
- Ayudar a identificar los riesgos de cada actividad de tratamiento y las medidas para resguardar a los titulares.
- Desarrollar un plan anual de trabajo y rendir cuenta de sus resultados.
- Atender las consultas y solicitudes de los titulares de datos.
Los titulares pueden contactarlo directamente por cualquier asunto relativo al tratamiento de sus datos, y el delegado debe guardar estricta confidencialidad sobre lo que conozca en su cargo.
El delegado supervisa y asesora; no es quien responde legalmente. La responsabilidad por cumplir la ley sigue siendo del responsable de datos, es decir, de la organización (artículo 3).
Quién puede serlo
| Requisito | Qué dice la ley |
|---|---|
| Quién lo designa | La máxima autoridad: el directorio, un socio administrador o la máxima autoridad de la empresa o servicio |
| Perfil | Idoneidad, capacidad y conocimientos específicos para la función |
| Autonomía | Debe tener autonomía respecto de la administración en las materias de esta ley |
| Otras funciones | Puede tenerlas, siempre que no generen conflicto de intereses |
| Recursos | El responsable debe darle medios, facultades y recursos materiales suficientes, según su tamaño |
| Pymes | En micro, pequeñas y medianas empresas, el dueño o sus máximas autoridades pueden asumir personalmente las tareas |
| Grupos de empresas | Pueden compartir un único delegado si operan con los mismos estándares y políticas y el delegado es accesible para todas |
La ley no exige que sea abogado ni que sea trabajador de la empresa. El conflicto de intereses es el punto delicado: quien decide para qué se usan los datos, como un gerente comercial o de TI, difícilmente puede supervisarse a sí mismo.
El modelo de prevención de infracciones
El artículo 49 permite adoptar voluntariamente un programa de cumplimiento con, al menos, estos elementos:
- a) La designación del delegado y b) la definición de sus medios y facultades.
- c) La identificación del tipo de información que se trata, las categorías de datos y la caracterización de los titulares: en la práctica, el Registro de Actividades de Tratamiento.
- d) La identificación de los procesos donde se genera o aumenta el riesgo de infracción.
- e) Protocolos y procedimientos para que esas tareas se hagan sin infringir la ley.
- f) Mecanismos de reporte interno y de reporte a la Agencia ante vulneraciones de seguridad.
- g) Sanciones internas y procedimientos de denuncia para quien incumpla.
Las reglas del modelo deben incorporarse en los contratos de trabajo y de prestación de servicios, incluidos los de los máximos ejecutivos, o en el reglamento interno de la empresa.
Certificación y beneficios
La Agencia certifica que un modelo reúne los requisitos legales y lo supervisa (artículo 51). El certificado dura tres años (artículo 52) y las entidades con certificación vigente aparecen en el Registro Nacional de Sanciones y Cumplimiento, que es público (artículo 39).
El beneficio concreto está en el artículo 36: haber cumplido diligentemente los deberes de dirección y supervisión, acreditado con ese certificado, es una circunstancia atenuante si llega una sanción. Un reglamento definirá los requisitos y el procedimiento de certificación.
Cómo decidir
Algunas preguntas ayudan:
- ¿Tratas datos sensibles, de menores o financieros a escala? Clínicas, colegios, fintech o retail con programas de fidelización tienen más riesgo y más solicitudes.
- ¿Recibirás solicitudes de titulares con frecuencia? Alguien tiene que responderlas en 30 días corridos.
- ¿Tienes muchos encargados? Nube, nóminas, call center y marketing multiplican contratos que supervisar.
- ¿Te interesa la atenuante? Solo existe con un modelo certificado, y el modelo exige delegado.
En una pyme con pocos tratamientos, el dueño o el gerente general puede asumir la función, apoyado por asesoría externa. En una organización mediana o grande, conviene una persona con tiempo asignado y reporte directo al directorio. Si ya tienes un responsable de seguridad de la información, coordinar ambos roles evita duplicar trabajo, cuidando que ninguno supervise sus propias decisiones. Para la parte de seguridad, un CISO como servicio puede complementar al delegado.