La Contraloría General de la República ha iniciado el proceso de toma de razón del Decreto N°662, dictado por el Ministerio de Hacienda el 13 de junio de 2025. Dicho decreto “Aprueba el Reglamento que Regula los Requisitos, Modalidades y Procedimientos para la Implementación, Certificación, Registro y Supervisión de los Modelos de Prevención de Infracciones a que se refiere el artículo 49 que incorpora la Ley N°21.719 a la Ley N°19.628” (“Reglamento”).
Este Reglamento puede verse como un punto de partida. En efecto, forma parte de aquellos que la Ley N°21.719 –que modifica la Ley N°19.628 sobre protección de los datos personales (“NLPD”)– ordena dictar. Por ello, constituye el inicio de la implementación de las modificaciones establecidas por la NLPD.
En particular, este reglamento aborda las exigencias del sistema de prevención de infracciones, regulado en los artículos 49 a 53 de la NLPD, que se revisan a continuación.
1. Los responsables –sean personas naturales o jurídicas, públicas o privadas– que voluntariamente adopten un programa de cumplimiento, deberán –entre otros–: (i) designar un Delegado de Protección de Datos Personales (“Delegado”) y definir sus medios y facultades; (ii) identificar las categorías de datos tratados, las operaciones de tratamiento y las actividades de tratamiento de datos o procesos del responsable, que presenten un riesgo de comisión de infracciones de la NLPD; (iii) contar con protocolos y procedimientos para cumplir con las disposiciones de la NLPD; y (iv) definir mecanismos de reporte interno en caso de infracciones al programa de cumplimiento y de reporte a la Agencia de Protección de Datos Personales o los titulares, según corresponda.
2. Por su parte, el Reglamento aborda a cabalidad las exigencias del Registro de Actividades de Tratamiento (“RAT”), que puede ser implementado para la caracterización de las actividades de tratamiento, el cual debe contemplar: (i) el tipo de datos personales que el responsable trata; (ii) el ámbito territorial en que el responsable realiza el tratamiento de datos personales; (iii) las categorías, clases o tipos de bases de datos que administra; (iv) las categorías de titulares de los datos personales; (v) las finalidades de tratamiento; (vi) la fuente y base legal de tratamiento de los datos personales, y el interés legítimo cuando corresponda; (vii) las categorías de terceros a quienes se prevé comunicar o ceder los datos personales; (viii) la existencia de operaciones de transferencia internacional de datos; (ix) los plazos de retención y supresión de los datos personales según sus categorías; y (x) la existencia de decisiones automatizadas, incluida la elaboración de perfiles.
3. Respecto a este último punto, el Reglamento exige que se incluya información significativa en el RAT, especialmente sobre la lógica aplicada para la toma de decisiones automatizadas y la elaboración de perfiles, junto con las consecuencias de dicho tratamiento para el titular.
4. Por último, el Reglamento requiere que los responsables cuenten con una matriz de riesgos, que pueda identificar los riesgos de infracciones a la NLPD. Dicha matriz deberá desarrollarse en base a una graduación de la gravedad de cada sanción prevista en la NLPD.
De lo señalado, es posible advertir tres grandes desafíos para los responsables de tratamiento:
1. Diseño técnico-jurídico del modelo de prevención de infracciones: la elaboración de un programa de cumplimiento que considere una matriz de riesgos efectiva y adecuada –que advierta los riesgos de incumplimiento de la NLPD–, junto a un sistema de cumplimiento que contemple todos los elementos requeridos por el Reglamento exige la realización de una evaluación legal aguda de las operaciones y actividades efectuadas por el responsable de tratamiento.
2. Implementación de un RAT: no basta un mero inventario de datos personales. Un RAT adecuado requiere un mapeo continuo del flujo de datos, categorías, bases legales y plazos de retención de datos, entre otras materias. Es decir, el RAT debe integrarse con los sistemas y actualizaciones de las diversas actividades de tratamiento del responsable.
3. Ajuste de cultura organizacional: tampoco basta un ajuste de las cláusulas contractuales y de prestación de servicios para cumplir con la norma. Los responsables de tratamiento deberán promover, desde la esfera de dirección más alta, el respeto a los sistemas y programas de cumplimiento de sus colaboradores; capacitarles periódicamente; y efectuar auditorías a su sistema de cumplimiento.
En suma, si bien contar con un programa de cumplimiento en materia de protección de datos personales es voluntario, es claro que, dadas todas estas exigencias, su adecuada ejecución e implementación permitirá resguardar debidamente el cumplimiento de la NLPD y los derechos de los titulares de datos.