Nuevo reglamento sobre modelos de prevención de infracciones en protección de datos.
El 9 de septiembre de 2026 se publicó en el Diario Oficial el Decreto N° 662 del Ministerio de Hacienda, que aprueba el reglamento sobre los requisitos, modalidades y procedimientos para implementar, certificar, registrar y supervisar los modelos de prevención de infracciones previstos en la Ley N° 21.719. La Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales, entrará en vigencia el 1 de diciembre de 2026. La importancia de esta ley radica en que eleva el estándar de protección de los datos personales, crea una autoridad especializada y establece un sistema preventivo basado en modelos de cumplimiento y gestión de riesgos.
La adopción e implementación del modelo es voluntaria. Sin embargo, esta voluntariedad no significa que los responsables de datos puedan desentenderse de sus obligaciones, ya que todos deben adoptar medidas para prevenir infracciones y cumplir la normativa aplicable. Para los empleadores que decidan adoptar el modelo, sus efectos serán especialmente relevantes, porque la regulación interna que derive del programa deberá incorporarse en los contratos de trabajo o de prestación de servicios y, cuando corresponda, en el reglamento interno de la empresa. Además, el programa deberá ser difundido entre trabajadores, empleados y prestadores de servicios. ¿Qué debe contener el programa de cumplimiento?
El reglamento exige, entre otros elementos:
• La identificación de los datos tratados, sus categorías, titulares, finalidades, fuentes, bases de licitud, destinatarios, transferencias internacionales y plazos de supresión.
• Un registro de actividades de tratamiento y una matriz de riesgos que permita identificar los procesos que presentan un mayor riesgo de incurrir en infracciones.
• Protocolos y procedimientos adaptados al tamaño, capacidad económica, operaciones y riesgos de cada organización.
• Canales internos de reporte y denuncia, con posibilidad de reservar la identidad del denunciante y prohibición de adoptar medidas desfavorables en su contra.
• Mecanismos de reporte a la autoridad de protección de datos o a los titulares, cuando corresponda, además de mecanismos de autodenuncia, sanciones administrativas internas y procedimientos aplicables frente a incumplimientos.
Otro tema importante, es sobre el delegado, la designación de un delegado no es obligatoria para todas las empresas. Sin embargo, será obligatoria en el marco de la adopción y certificación de un programa de cumplimiento.
El delegado puede ser un trabajador dependiente o un prestador externo. En las micro, pequeñas y medianas empresas, el dueño o las máximas autoridades pueden asumir directamente esta función. Asimismo, las entidades que pertenezcan a un mismo grupo empresarial pueden designar un delegado común, siempre que operen bajo los mismos estándares y políticas de tratamiento de datos y se cumplan las demás condiciones previstas en el reglamento.
Una vez designado, el delegado deberá contar con autonomía, conocimientos especializados y medios suficientes. Entre sus funciones estarán asesorar a la organización, supervisar el cumplimiento, promover la capacitación, atender consultas de los titulares y actuar como punto de contacto con la Agencia de Protección de Datos Personales.
En este sentido, la protección de datos no se limita a las áreas tecnológica o legal, sino que también involucra directamente a recursos humanos, relaciones laborales y gestión interna. Las organizaciones que adopten el modelo deberán revisar sus tratamientos de datos, identificar riesgos, establecer protocolos, capacitar a sus equipos y regular las responsabilidades internas.
La certificación tendrá una vigencia de tres años y la adopción del modelo podrá tener un efecto atenuante respecto de las sanciones que imponga la Agencia. En todo caso, la implementación del modelo no elimina el deber general de cumplir la normativa de protección de datos.
En consecuencia, la Ley N° 21.719 y su reglamento ofrecen a los empleadores una oportunidad para anticiparse, ordenar sus procesos y llegar mejor preparados a la entrada en vigencia de la nueva regulación, prevista para el 1 de diciembre de 2026.
