Ley sobre Protección de los Datos Personales (Modelo de Prevención de Infracciones MPI).
31 de Agosto de 2026
En materia de protección de la vida privada, Chile cuenta con la Ley 19.628 publicada el 28 de agosto del año 1999, cuyo objeto es el tratamiento de los datos de carácter personal en registros o bancos de datos por organismos públicos o por particulares.
Los cambios tecnológicos a nivel mundial, el crecimiento de la economía digital y los estándares internacionales de protección de datos, forzaron la actualización de esta normativa, y el 13 de diciembre de 2024 se publicó la Ley 21.719 la cual regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales. Con esta actualización la Ley 19.628 pasa a denominarse Ley Sobre Protección de Los Datos Personales y acerca a nuestro país a legislaciones como la Ley General de Protección de Datos de la Unión Europea o RGPD.
Esta Ley modifica la Ley 19.628 con cambios que entrarán en vigencia el día 1° de diciembre de 2026, después de un plazo de vacancia de dos años, dentro del cual debían dictarse normas complementarias, organizarse la institucionalidad y habilitarse la Agencia de Protección de Datos. Dentro de este mismo periodo de tiempo, las empresas e instituciones nacionales debían prepararse para dar cumplimiento a las nuevas disposiciones que les impone la Ley.
Las modificaciones a la Ley 19.628, son sustanciales y tienen la finalidad de elevar el actual estándar de protección de los datos personales y regular el derecho a su protección. Además de realizar adecuaciones a todos los artículos y sus definiciones, la ley 21.719 incorporó el establecimiento de un “Modelo de prevención de infracciones”, que puede ser adoptado voluntariamente por cualquier responsable de datos, es decir, por cualquier persona que maneje datos personales, ya sea una persona natural o jurídica, pública o privada y con la finalidad de implementar medidas organizativas y de funcionamiento tendientes a resguardar el cumplimiento de la ley y la protección de los derechos de los titulares de datos personales.
Esta adopción “voluntaria” del Modelo de prevención de infracciones no debe ser confundida con la obligación legal. Por ejemplo, la Ley 21.719 obliga a todas las organizaciones que tratan datos personales a cumplir una serie de deberes (por ejemplo: tratar los datos sobre una base jurídica válida, respetar los derechos de los titulares, implementar medidas de seguridad adecuadas, entre otras). Estos deberes son obligatorios. Lo que es voluntario es implementar un Modelo formal de cumplimiento, con políticas, matrices de riesgo, auditorías, controles, capacitaciones, responsables, etc. Una empresa podría decidir no tener un modelo formal, pero sí está obligada a cumplir toda la Ley. Si la empresa incumple la Ley y la Agencia la fiscalía, deberá demostrar igualmente que actuó diligentemente.
Modelo de Prevención de Infracciones (MPI)
De acuerdo con las modificaciones introducidas por la Ley 21.719, el Modelo de Prevención de Infracciones consiste en un programa de cumplimiento que debe contener, al menos, los siguientes elementos (*):
- La designación de un delegado de protección de datos personales.
- La definición de medios y facultades del delegado de protección de datos.
- La identificación del tipo de información que la entidad trata, el ámbito territorial en que opera, la categoría, clase o tipos de datos o bases de datos que administra, y la caracterización de los titulares de datos.
- La identificación de las actividades o procesos de la entidad, sean habituales o esporádicos, en cuyo contexto se genere o incremente el riesgo de comisión de las infracciones señaladas en los artículos 34 bis, 34 ter y 34 quáter.
- El establecimiento de protocolos, reglas y procedimientos específicos que permitan a las personas que intervengan en las actividades o procesos indicados en la letra anterior, programar y ejecutar sus tareas o labores de una manera que prevenga la comisión de las referidas infracciones.
- Los mecanismos de reporte interno sobre el cumplimiento de lo dispuesto en la presente ley y los mecanismos de reporte a la autoridad de protección de datos para el caso del artículo 14 sexies.
- La existencia de sanciones administrativas internas, así como de procedimientos de denuncia o castigo de responsabilidades de las personas que incumplan el sistema de prevención de infracciones.
(*) Artículo 49 de la Ley 19.628 (Ley modificada por la Ley 21.719).
Agencia de Protección de Datos Personales
La Agencia de Protección de Datos Personales es el organismo público que creó la Ley 21.719, para supervisar el cumplimiento de la normativa sobre tratamiento de datos personales.
Su creación representa uno de los cambios más importantes en materia de privacidad en Chile, ya que por primera vez existe una autoridad especializada e independiente con facultades de fiscalización y sanción, similar a las autoridades de protección de datos que existen en la Unión Europea y algunos países de Latinoamérica, como Argentina, Brasil y Colombia. Su principal función será: fiscalizar, investigar infracciones, aplicar sanciones, resolver reclamaciones, emitir instrucciones generales y promover buenas prácticas.
A la fecha de este artículo, no se ha publicado una fecha oficial como plazo en el que la Agencia estará plenamente operativa, sin embargo, la Agencia deberá estar en funcionamiento y tendrá competencia legal para recibir reclamaciones, iniciar fiscalizaciones y ejercer sus atribuciones a contar del 1 de diciembre de 2026.
Relación con los Modelos de Cumplimiento
Desde una perspectiva de gobierno corporativo, resulta recomendable que las organizaciones integren la gestión de privacidad dentro de su Modelo de Cumplimiento, ya que una deficiente protección de datos puede generar: sanciones administrativas por parte de la Agencia; riesgos reputacionales significativos; incumplimientos contractuales con clientes y proveedores; litigios civiles por daños; entre otros riesgos.
Por ello, muchas empresas están ampliando sus Programas de Compliance para incorporar un Programa de Protección de Datos Personales, con políticas, controles, capacitación, gestión de incidentes y auditorías periódicas, de forma coordinada con otras funciones como cumplimiento, gestión de riesgos, seguridad de la información y ciberseguridad.
¿Las empresas en Chile están tomando acciones para Implementar un Modelo de Prevención de Infracciones?
Si bien no existe una cifra oficial que permita afirmar que un determinado porcentaje de las empresas chilenas cumplen con la Ley de Protección de Datos Personales, sí existe alguna información que permite estimar que la mayoría de las empresas aún está en proceso de adecuación y no ha implementado completamente un programa de cumplimiento.
Por ejemplo, la “Encuesta de Protección de Datos Personales 2025” realizada por PwC Chile, en conjunto con Fundación Generación Empresarial (FGE) aplicada a 87 gerentes y directivos pertenecientes a organizaciones públicas y privadas (**), publicada en septiembre de 2025, entrega varios indicadores interesantes:
- Solo 41% de las organizaciones encuestadas contaba con un Delegado de Protección de Datos (DPD).
- 74% de los encuestados reconocía no tener visibilidad completa sobre las actividades de tratamiento de datos realizadas por sus equipos.
- Según los datos, solo un 13% de las empresas se consideraba muy preparada, un 54% se declaraba medianamente preparada y un 33% se reconocía poco preparada.
- Solo 39% había destinado presupuesto para adecuarse a la nueva ley.
- Aunque un 59% creía que llegaría a tiempo para cumplir la normativa, el propio estudio concluye que muchas organizaciones todavía se encontraban en etapa de diagnóstico o planificación, más que de implementación efectiva.
Por otra parte, la Encuesta de Seguridad y Protección de Datos de la Facultad de Economía y Negocios de la Universidad de Chile, de octubre de 2025, aplicada a cerca de mil organizaciones públicas y privadas (***), muestra que:
- Solo 29,11% declaraba tener una estrategia clara de protección de datos.
- 44,52% presentaba un nivel de madurez intermedio.
- 43,61% no capacitaba regularmente a sus colaboradores en privacidad.
- 39,96% consideraba que su organización no está preparada para enfrentar la nueva normativa.
- 46,65% declaraba no conocer cuántas brechas de privacidad ha sufrido su organización en los últimos 12 meses, lo que sugiere debilidades en la detección y reporte de incidentes.
Entre sus conclusiones, este estudio señala que hay avances importantes, pero todavía existen brechas relevantes antes de la plena entrada en vigencia de la Ley N.º 21.719.
(***)https://cgin.uchile.cl/detail/NQ==/MTkxMQ==/MTY=/radiografia-a-la-privacidad-de-datos
En Una de las preguntas más recurrentes en los directorios o gerencias es si contar con un programa de protección de datos sólo sirve para cumplir una obligación legal.
Limitar el Programa de Protección de Datos Personales al mero cumplimiento de la Ley 21.719 sería desaprovechar gran parte de su valor, pues en las organizaciones más maduras la protección de datos es considerada como un elemento que contribuye a la gestión de riesgos, la confianza del mercado y la competitividad.
Las empresas que implementen adecuadamente un Programa de Protección de Datos Personales estarán mejor preparadas para enfrentar los desafíos del entorno digital, protegerán mejor la reputación de la empresa y fortalecerán la confianza con sus clientes en un mercado altamente competitivo.