Respuesta Breve (Fragmento Destacado)
Un delegado de protección de datos (DPO) es la persona que asesora, supervisa y coordina el cumplimiento de las reglas de protección de datos dentro de una empresa. En Chile, la Ley 21.719 permite designarlo voluntariamente; no exige un DPO para todas las empresas. Sin embargo, su designación se vuelve especialmente recomendable cuando la organización trata grandes volúmenes de datos, información sensible, realiza monitoreo sistemático, trabaja con muchos proveedores o necesita adoptar un modelo de prevención de infracciones. En una pyme, el dueño o la máxima autoridad puede asumir personalmente sus tareas, siempre que tenga idoneidad, autonomía y tiempo para ejercerlas sin conflictos de interés.
Qué es un DPO y qué problema empresarial resuelve
El DPO no es simplemente el encargado de responder correos sobre privacidad. Es una función de gobierno que conecta a la gerencia, Finanzas, Recursos Humanos, Marketing, TI y los proveedores que tratan datos personales por cuenta de la empresa.
Su valor aparece cuando una organización debe decidir qué datos recolecta, para qué los usa, quién puede acceder, cuánto tiempo los conserva y cómo responde ante una solicitud o una brecha. Sin una coordinación clara, cada área interpreta la privacidad de manera distinta y la empresa pierde trazabilidad.
El costo de no tener un dueño del cumplimiento
Una base de clientes puede estar en el CRM, en planillas, en respaldos y en plataformas de marketing. Si nadie mantiene el mapa, una solicitud de eliminación puede quedar atendida en un sistema y pendiente en otros. El problema no es solo jurídico: genera horas de retrabajo, campañas enviadas a personas que revocaron su autorización y decisiones difíciles de defender ante una fiscalización.
El DPO convierte la protección de datos en un proceso continuo. No reemplaza a la gerencia ni elimina la responsabilidad del responsable de datos; instala una instancia técnica para detectar brechas antes de que se conviertan en multas, pérdida de confianza o interrupciones operativas.
Para entender el contexto normativo completo, revisa el artículo pilar sobre la Ley 21.719. Este artículo se concentra en la función y la decisión organizacional de designar un DPO.
¿La Ley 21.719 obliga a toda empresa a tener un DPO?
No existe una obligación general de que todas las empresas chilenas designen un delegado de protección de datos. El artículo 50 de la Ley 21.719 establece que el responsable de datos podrá designarlo. La norma también permite que, en micro, pequeñas y medianas empresas, el dueño o las máximas autoridades asuman personalmente sus tareas.
La respuesta cambia cuando la empresa adopta voluntariamente un modelo de prevención de infracciones y busca su certificación. En ese caso, la designación del delegado forma parte de los elementos mínimos del programa. El Reglamento de Modelos de Prevención publicado en septiembre de 2026 también vincula la función del delegado con ese programa de cumplimiento.
Esta distinción es relevante para el presupuesto. La gerencia no debe crear un cargo por inercia, pero tampoco debe interpretar la voluntariedad como permiso para operar sin responsables, inventario, controles ni evidencias. La obligación de cumplir la ley pertenece a la organización; el DPO es un mecanismo para gobernarla mejor.
La fecha de entrada en vigencia requiere seguimiento
La versión vigente de la Ley 21.719 mantiene su entrada en vigencia para el 1 de diciembre de 2026. Existe un proyecto, Boletín 18.623-07, que fue aprobado por el Senado y pasó a segundo trámite constitucional en la Cámara de Diputadas y Diputados; mientras no termine su tramitación y se publique como ley, la fecha vigente no cambia. Preparar a la empresa no debe depender de una eventual prórroga.
La fuente normativa para revisar el texto y sus modificaciones es la Biblioteca del Congreso Nacional. Antes de aprobar políticas o contratos, la gerencia debe validar la versión aplicable y el reglamento correspondiente.
Qué hace un delegado de protección de datos
El artículo 50 asigna al DPO una función transversal. La persona designada debe contar con idoneidad, capacidad y conocimientos específicos, además de autonomía respecto de la administración en las materias relacionadas con la ley.
| Función del DPO | Aplicación en la empresa | Impacto para gerencia y TI |
|---|---|---|
| Asesorar | Explicar a responsables, encargados y trabajadores qué reglas aplican a cada tratamiento. | Reduce decisiones improvisadas y evita que un proyecto avance sin revisar datos, contratos y accesos. |
| Participar en políticas | Ayudar a definir la política de protección de datos y sus procedimientos. | Conecta el cumplimiento con CRM, ERP, correo, RR. HH., respaldos y proveedores. |
| Supervisar | Revisar el cumplimiento de la ley y de las políticas internas dentro de su ámbito. | Permite detectar cuentas con privilegios excesivos, retenciones indefinidas o integraciones sin control. |
| Formar al personal | Promover capacitación permanente para quienes participan en tratamientos. | Disminuye errores de phishing, envíos masivos indebidos y exposición accidental de información. |
| Gestionar riesgos | Apoyar la identificación de riesgos y las medidas para proteger los derechos de los titulares. | Prioriza CapEx y OpEx de seguridad según impacto, probabilidad y continuidad operativa. |
| Planificar y responder | Desarrollar un plan anual, rendir cuenta, atender consultas y actuar como punto de contacto de la Agencia. | Entrega trazabilidad, responsables, plazos y una ruta de escalamiento ante incidentes o solicitudes. |
El DPO necesita acceso a la información que le permita cumplir su rol. Si no puede revisar contratos, inventarios de tratamiento, registros de acceso, incidentes y configuraciones relevantes, su designación queda reducida a un nombre en una política sin capacidad real de prevención.
Cuándo conviene designar un DPO en tu empresa
La pregunta correcta no es solo “¿somos grandes?”. Es “¿qué riesgo y complejidad tiene nuestro tratamiento de datos?”. Una pyme puede necesitar una función formal si maneja información sensible o depende de múltiples plataformas, mientras una empresa mayor puede tener un riesgo acotado si sus procesos son simples y controlados.
Cinco señales para tomar la decisión
1. Tratas datos sensibles o de alto impacto: salud, biometría, información financiera, antecedentes laborales delicados, datos de niños u otra información cuyo uso indebido pueda afectar seriamente a las personas.
2. Monitoreas personas de forma sistemática: videovigilancia, geolocalización, control de productividad, analítica de comportamiento, scoring o seguimiento continuo a clientes y trabajadores.
3. Dependes de muchos encargados: nube, ERP, CRM, plataforma de remuneraciones, marketing, mesa de ayuda, almacenamiento o proveedores que acceden a datos de clientes y trabajadores.
4. Operas en grupos o con transferencias: varias sociedades comparten sistemas, políticas o bases de datos, o existen flujos internacionales que requieren control contractual y técnico.
5. Necesitas demostrar madurez: participas en licitaciones, atiendes clientes regulados, recibes auditorías o quieres adoptar un modelo de prevención de infracciones para reducir riesgo y ordenar responsabilidades.
Estas señales no son una lista automática de obligaciones. Son criterios de gestión para decidir si la inversión en un DPO interno, externo o compartido genera un ROI razonable al reducir retrabajo, incidentes, tiempos de respuesta y exposición regulatoria.
DPO interno, externo o compartido: qué alternativa evaluar
La Ley 21.719 permite flexibilidad organizacional, pero la flexibilidad no debe confundirse con informalidad. La alternativa elegida debe tener autoridad, disponibilidad, acceso a la información y un mecanismo de rendición de cuentas.
| Modelo | Cuándo puede funcionar | Riesgo a controlar |
|---|---|---|
| Responsable interno | Empresa con procesos permanentes, equipo de cumplimiento y capacidad para asignar dedicación formal. | Que ocupe cargos que deciden sobre los tratamientos y termine revisando sus propias decisiones sin independencia. |
| DPO externo | Pyme que necesita experiencia especializada sin asumir un puesto de jornada completa. | Que el contrato no defina SLA, acceso a información, confidencialidad, entregables y respuesta ante incidentes. |
| DPO compartido | Grupo empresarial con estándares y políticas comunes y un delegado accesible para todas sus entidades. | Que una sola persona no tenga capacidad efectiva para atender el volumen, los riesgos y las particularidades de cada sociedad. |
| Dueño o máxima autoridad en pyme | Organización pequeña, con tratamientos acotados y liderazgo directo para implantar controles. | Conflicto de interés, falta de tiempo o ausencia de conocimientos para revisar técnicamente los procesos. |
Cuando la función se externaliza, no se externaliza la responsabilidad de la empresa. El contrato debe establecer confidencialidad, gestión de solicitudes, reporte de incidentes, revisión de proveedores, entregables periódicos, respaldo de evidencias y coordinación con TI.
Autonomía, conflictos de interés y recursos: el punto que más se omite
El DPO debe poder advertir que una campaña, integración o proyecto tiene riesgos sin temor a que el área evaluada bloquee su revisión. Por eso la máxima autoridad debe formalizar el nombramiento, delimitar sus funciones y proteger su acceso a la información.
No pongas al DPO a auditar sus propias decisiones
El responsable de TI puede aportar conocimiento técnico, pero si también decide qué logs se guardan, qué usuarios tienen acceso o qué datos se exportan, debe evaluarse el conflicto antes de asignarle la supervisión de esos mismos controles. Lo mismo ocurre con Marketing, RR. HH. y Operaciones.
La solución no siempre es contratar otro cargo. Puede ser separar responsabilidades, definir una revisión independiente, usar un DPO externo o crear un comité con actas y seguimiento. La decisión debe quedar documentada y ser comprensible para la gerencia.
El nombramiento debe tener entregables
Un plan anual útil incluye inventario de tratamientos, revisión de bases de licitud, matriz de encargados, evaluación de riesgos, capacitación, pruebas de respuesta, auditoría de accesos y reporte ejecutivo. Si el DPO solo entrega una política genérica una vez al año, la empresa no está gestionando el riesgo real.
La ciberseguridad es parte de esa evidencia. Controles como MFA para cuentas privilegiadas, mínimo privilegio, respaldos verificables, registro de accesos y monitoreo de endpoints deben conectarse con la protección de datos y la continuidad operativa. Revisa también la guía de ciberseguridad empresarial para ordenar esa capa técnica.
Cómo implementar la función DPO en 90 días
Días 1 a 30: mandato e inventario
Aprueba el nombramiento, define la dependencia funcional y levanta los tratamientos de Ventas, Marketing, Facturación, RR. HH., soporte, control de acceso y proveedores. Relaciona cada tratamiento con su sistema real: ERP, CRM, correo, carpetas, nube, respaldos y dispositivos.
Días 31 a 60: riesgos y controles
Clasifica datos, titulares, finalidades, bases de licitud, encargados, accesos, retención y transferencias. Revisa contratos, permisos, logs, respaldos, MFA y procedimientos para atender derechos o contener una brecha. Prioriza las brechas que puedan detener la operación o afectar a muchas personas.
Días 61 a 90: operación y medición
Publica el canal de contacto del DPO, capacita a las áreas, prueba un caso de solicitud y uno de incidente, y presenta a la gerencia un tablero con responsables, vencimientos y riesgos abiertos. El primer objetivo no es tener una carpeta perfecta: es demostrar que la empresa puede decidir, responder y mejorar.
El presupuesto puede combinar OpEx para la función continua, capacitación y soporte especializado, con CapEx para mejorar identidad, almacenamiento, monitoreo o respaldo. El ROI se mide en horas de respuesta reducidas, procesos trazables, menor exposición y capacidad de mantener el servicio cuando ocurre un incidente.
Veredicto Editorial: tu empresa no necesita designar un DPO solo para cumplir una moda ni puede resolver la protección de datos nombrando a alguien sin tiempo, autonomía o acceso. La decisión debe basarse en volumen, sensibilidad, monitoreo, proveedores y riesgo operativo. Para una pyme, el dueño puede asumir la función si la organiza correctamente; para una empresa con tratamientos complejos, un DPO interno, externo o compartido puede evitar que la privacidad dependa de correos dispersos y decisiones reactivas. La Ley 21.719 mantiene su fecha vigente mientras la eventual postergación siga en trámite: preparar el inventario y los controles ahora es una decisión de continuidad, no un gasto cosmético.
Preguntas Frecuentes (Answer Engine Optimization)
1. ¿Qué es un delegado de protección de datos o DPO?
Es la persona que asesora, supervisa y coordina el cumplimiento de las reglas de protección de datos dentro de una organización. También apoya la gestión de riesgos, la capacitación, la atención de solicitudes y el contacto con la autoridad competente.
2. ¿Todas las empresas en Chile deben tener un DPO?
No. La Ley 21.719 permite designarlo y no establece un DPO obligatorio para todas las empresas. La designación sí es especialmente relevante si la organización adopta y certifica un modelo de prevención de infracciones o si sus tratamientos tienen alta complejidad y riesgo.
3. ¿El dueño de una pyme puede ser su propio DPO?
Sí. El artículo 50 permite que el dueño o las máximas autoridades de una micro, pequeña o mediana empresa asuman personalmente las tareas. Deben contar con idoneidad, capacidad, tiempo, autonomía en la función y controles para evitar conflictos de interés.
4. ¿Qué funciones debe cumplir un delegado de protección de datos?
Debe informar y asesorar, participar en las políticas, supervisar el cumplimiento, promover la formación, apoyar la identificación de riesgos, desarrollar un plan anual, atender consultas y actuar como punto de contacto de la Agencia de Protección de Datos Personales.
5. ¿Conviene contratar un DPO externo para una pyme?
Puede convenir cuando la pyme necesita experiencia especializada, maneja datos sensibles o usa muchos proveedores y no tiene capacidad para un cargo interno. El contrato debe definir confidencialidad, acceso a información, entregables, tiempos de respuesta, gestión de incidentes y coordinación con TI.
