Cláusulas contractuales modelo en Chile para transferencia internacional de datos: qué son y cómo usarlas

Si tu empresa usa un CRM alojado en Estados Unidos, una plataforma de mailing europea, un proveedor cloud con servidores fuera del país o comparte bases de clientes con su casa matriz, ya está realizando transferencias internacionales de datos personales. Durante años eso ocurrió sin un instrumento chileno específico que lo respaldara. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.

Eso cambió en diciembre de 2025. La Subsecretaría de Economía y Empresas de Menor Tamaño aprobó las Cláusulas Contractuales Modelo aplicables a transferencias internacionales de datos personales mediante la resolución exenta RAEX202503748, publicada en el Diario Oficial el 19 de diciembre de 2025. Es un texto contractual tipo, disponible desde hace más de medio año, que cualquier empresa puede incorporar a sus contratos.

El punto interesante es de calendario: la Ley 21.719 entra en vigencia el 1 de diciembre de 2026, pero este instrumento ya existe. En un panorama donde buena parte del detalle depende de reglamentos e instrucciones que aún no se dictan, las cláusulas contractuales modelo son de las pocas piezas realmente accionables hoy.

¿Qué son las cláusulas contractuales modelo aprobadas en Chile?

Son un contrato tipo, redactado y aprobado por la autoridad, que dos partes firman cuando una envía datos personales desde Chile hacia el extranjero. En vez de negociar garantía por garantía con cada proveedor, adoptas un texto ya validado y le agregas los anexos que describen tu caso concreto.

El instrumento fue aprobado por la Subsecretaría de Economía y Empresas de Menor Tamaño a través de la resolución exenta RAEX202503748, publicada en el Diario Oficial el 19 de diciembre de 2025. No se redactó desde cero: se elaboró sobre la base del modelo de cláusulas contractuales de la Red Iberoamericana de Protección de Datos (RIPD), la misma referencia que han usado otras autoridades de la región. Eso importa porque facilita la conversación con proveedores multinacionales que ya conocen esquemas equivalentes.

La lógica de fondo es simple y vale la pena entenderla antes de firmar nada: cuando los datos salen de Chile, quedan sujetos también al derecho del país receptor y el control práctico del responsable se vuelve más difícil. El contrato es el vehículo que hace viajar las obligaciones con los datos. Si el proveedor extranjero se compromete contractualmente a tratar la información solo para las finalidades pactadas, a mantener confidencialidad, a aplicar medidas de seguridad y a colaborar cuando un titular chileno ejerce sus derechos, la protección no se diluye al cruzar la frontera.

Un detalle de prudencia: este texto no describe cláusula por cláusula un contenido cerrado que puedas dar por conocido de memoria. Antes de firmar, revisa el texto oficial publicado en el Diario Oficial y trabájalo con tu asesoría legal, porque cada operación exige completar anexos distintos.

• Qué son: un texto contractual tipo aprobado por la autoridad chilena y puesto a disposición de las empresas.
• De dónde vienen: del modelo de la Red Iberoamericana de Protección de Datos (RIPD).
• Cuándo se aprobaron: resolución exenta RAEX202503748, Diario Oficial del 19 de diciembre de 2025.
• Para qué sirven: documentar garantías en transferencias internacionales de datos personales desde Chile.

¿Por qué se dictaron antes de que la Ley 21.719 entre en vigencia?

Para dar certeza jurídica y evitar un incumplimiento automático. La Ley 21.719 entra en vigencia el 1 de diciembre de 2026 y crea la Agencia de Protección de Datos Personales (artículos 30 y siguientes), pero esa institucionalidad aún se está montando: una reforma posterior adelantó su instalación.

El riesgo concreto era este: que llegara diciembre de 2026, la ley empezara a aplicarse y la Agencia todavía no hubiera dictado la normativa específica que habilita los flujos transfronterizos. Muchas empresas chilenas que envían datos al extranjero todos los días —nómina, clientes, tickets de soporte, campañas de marketing— habrían quedado sin un mecanismo formal disponible para respaldar operaciones perfectamente legítimas. Adelantar un contrato tipo apunta a evitar ese vacío.

Hay un segundo motivo, más práctico: renegociar contratos toma tiempo. Un anexo de protección de datos con un proveedor cloud global no se firma en una semana; pasa por sus equipos legales, por revisiones internas y a veces por una casa matriz en otro huso horario. Tener el texto disponible desde diciembre de 2025 le da a tu empresa cerca de doce meses para hacer ese trabajo con calma en lugar de a última hora.

• Dar certeza jurídica a las empresas mientras la normativa específica no exista.
• Evitar que la entrada en vigencia de la Ley 21.719 genere un incumplimiento automático en flujos que ya operan.
• Dar tiempo real de negociación contractual con proveedores y casas matrices antes del 1 de diciembre de 2026.

¿En qué casos concretos te sirven estas cláusulas?

Te sirven cada vez que datos personales de personas en Chile salen del país, sin importar el tamaño del flujo ni si el destino es un tercero independiente o una empresa del mismo grupo. Los escenarios más frecuentes son el proveedor cloud, el CRM o la plataforma de mailing, la casa matriz en el extranjero, las filiales regionales y el soporte técnico remoto.

Antes de elegir el rol que firmará cada parte, tienes que resolver una pregunta previa: ¿quién decide las finalidades y los medios del tratamiento? Quien decide es responsable; quien solo ejecuta instrucciones por cuenta de otro es encargado, en la línea del artículo 15 bis de la Ley 21.719. Ese diagnóstico define todo lo demás y es donde más errores se cometen, sobre todo en grupos empresariales donde la casa matriz a veces manda y a veces solo presta un servicio compartido.

¿Cómo se implementan en la práctica, paso a paso?

El procedimiento no es jurídico al inicio, es de inventario. No puedes proteger un flujo que no sabes que existe, y la experiencia muestra que casi todas las empresas subestiman cuántas transferencias internacionales tienen realmente activas. La secuencia de trabajo es la siguiente.

Un consejo de terreno: parte por los proveedores críticos, no por el listado completo. Cinco contratos bien hechos con quienes concentran el mayor volumen y la mayor sensibilidad de datos valen más que cuarenta anexos genéricos firmados a las apuradas. Y si trabajas con datos sensibles del artículo 16 —salud, situación socioeconómica, o datos biométricos regulados por el artículo 16 ter—, ese es tu punto de partida obligado.

• 1. Identifica tus transferencias con el registro de actividades de tratamiento: qué datos salen, hacia dónde, con qué finalidad y por cuánto tiempo.
• 2. Mapea proveedores y entidades del grupo, incluyendo los subencargados que tu proveedor contrata a su vez.
• 3. Define el rol de cada parte: responsable, encargado o dos responsables independientes. De aquí depende qué versión de las cláusulas corresponde.
• 4. Incorpóralas al contrato, ya sea como articulado dentro del acuerdo principal o como anexo firmado que se integra por referencia.
• 5. Completa los anexos descriptivos: categorías de datos y de titulares, finalidades, plazos de conservación y medidas técnicas y organizativas.
• 6. Guarda evidencia: contrato firmado con fecha, versión del texto adoptado, correos de negociación y el análisis interno que justificó el rol asignado.
• 7. Agenda una revisión periódica y una cláusula de actualización, para adaptarte a lo que la Agencia instruya después del 1 de diciembre de 2026.

¿Cómo se relacionan con el encargado de tratamiento del artículo 15 bis?

Son dos capas distintas que casi siempre conviven en el mismo documento. El artículo 15 bis de la Ley 21.719 regula el tratamiento realizado a través de un tercero mandatario o encargado, es decir, quien trata datos por cuenta del responsable siguiendo sus instrucciones. Esa relación debe quedar regulada por contrato, ocurra dentro de Chile o cruzando la frontera.

Las cláusulas contractuales modelo, en cambio, se ocupan específicamente del elemento internacional del flujo. Si tu proveedor de nómina está en Santiago, necesitas el acuerdo de encargo del artículo 15 bis pero no las cláusulas de transferencia. Si ese mismo proveedor procesa desde Bogotá, necesitas ambas cosas: el encargo y la garantía transfronteriza. En la práctica se firman juntas, en un solo anexo de protección de datos.

Vale la pena recordar que el contrato de encargo no libera al responsable de sus propios deberes. El deber de secreto o confidencialidad del artículo 14 bis, el deber de información y transparencia del artículo 14 ter, el deber de protección desde el diseño y por defecto del artículo 14 quater, las medidas de seguridad del artículo 14 quinquies y la comunicación de vulneraciones a la Agencia del artículo 14 sexies siguen siendo tuyos. Sobre esto último, conviene tener claro el estándar chileno: el artículo 14 sexies exige reportar a la Agencia por los medios más expeditos posibles y sin dilaciones indebidas cuando exista un riesgo razonable para los derechos y libertades de los titulares, y comunicar además a los propios titulares cuando se trate de datos sensibles, de niños y niñas menores de catorce años o de obligaciones económicas, financieras, bancarias o comerciales. El proveedor extranjero te ayuda a cumplir; no asume esos deberes en tu lugar.

Por eso el anexo debe incluir compromisos operativos concretos: que el encargado te avise de inmediato ante cualquier vulneración, que te entregue la información necesaria para armar el registro que exige el artículo 14 sexies y que colabore cuando un titular ejerza sus derechos ante ti.

• Artículo 15 bis: regula la relación responsable-encargado, con o sin transferencia internacional.
• Cláusulas contractuales modelo: cubren el hecho de que los datos salgan de Chile.
• Con un proveedor extranjero que trata por tu cuenta, necesitas las dos capas en el mismo anexo.
• Ninguna de las dos traslada al proveedor tus deberes de los artículos 14 bis, 14 ter, 14 quater, 14 quinquies y 14 sexies.

¿Qué NO resuelven las cláusulas contractuales modelo?

No convierten un tratamiento ilícito en lícito. Si no tienes fuente de licitud para tratar esos datos en Chile —el consentimiento del artículo 12 u otra de las hipótesis del artículo 13—, firmar cláusulas de transferencia no arregla el problema de origen: solo documenta cómo se mueve un dato que quizá no deberías estar tratando. El orden correcto es primero licitud, después transferencia.

Tampoco cubren el resto del cumplimiento. Los derechos del artículo 10 —acceso, rectificación, supresión, oposición y portabilidad— se responden dentro de treinta días corridos según el artículo 11, prorrogables por una sola vez hasta por otros treinta días corridos, y ese plazo corre para ti aunque los datos estén en un servidor en Irlanda. La ley además te obliga a conservar respaldos que acrediten la remisión de la respuesta, su fecha y su contenido íntegro. Lo mismo ocurre con la evaluación de impacto del artículo 15 ter, con el registro de actividades y con las medidas de seguridad. Un anexo firmado no equivale a un programa de cumplimiento.

Conviene también aclarar qué no es una alternativa. La Ley 21.719 no exige certificaciones técnicas de seguridad de terceros; la única certificación que contempla es la del modelo de prevención de infracciones ante la Agencia (artículo 51), que es voluntaria y se conecta con el Registro Nacional de Sanciones y Cumplimiento del artículo 39. Que tu proveedor exhiba certificados internacionales es un buen antecedente de diligencia, no un sustituto de las garantías contractuales.

Y hay que decirlo con honestidad: existe discusión jurídica pública sobre el alcance de estas cláusulas y sobre la base competencial de la Subsecretaría de Economía para aprobarlas antes de que la Agencia esté plenamente operativa. Hay opiniones fundadas en ambos sentidos y no corresponde zanjarlo aquí. Lo razonable, mientras tanto, es una postura pragmática: usarlas como una capa de garantía documentada y no como una certificación de cumplimiento, manteniendo el contrato abierto a ajustes cuando la autoridad fije su criterio definitivo.

• No sustituyen la fuente de licitud para tratar los datos (artículos 12 y 13).
• No cubren la respuesta a los derechos del artículo 10, cuyo plazo es de 30 días corridos según el artículo 11, prorrogable una sola vez.
• No reemplazan la evaluación de impacto del artículo 15 ter cuando corresponda.
• No equivalen a la certificación del modelo de prevención ante la Agencia (artículo 51), que es voluntaria.
• No garantizan por sí solas que la Agencia valide tu cumplimiento en una fiscalización.
• No te protegen frente a las sanciones del artículo 35 si el incumplimiento está en otra parte del proceso.

Preguntas frecuentes

¿Desde cuándo están disponibles las cláusulas contractuales modelo en Chile?

Están disponibles desde diciembre de 2025. La Subsecretaría de Economía las aprobó mediante la resolución exenta RAEX202503748, publicada en el Diario Oficial el 19 de diciembre de 2025. Puedes incorporarlas a tus contratos hoy, aunque la Ley 21.719 entre en vigencia solo el 1 de diciembre de 2026.

¿Es obligatorio usar las cláusulas contractuales modelo?

Las cláusulas se pusieron a disposición de las empresas para dar certeza jurídica a sus transferencias internacionales, no como un formulario impuesto. Su valor práctico es que te permiten documentar garantías hoy, sin esperar a que la Agencia de Protección de Datos Personales dicte su propia normativa sobre flujos transfronterizos en Chile.

¿Sirven para transferir datos a Estados Unidos, la Unión Europea o cualquier país?

Están pensadas para transferencias desde Chile hacia cualquier destino, con independencia del nivel de protección del país receptor: la garantía viaja dentro del contrato. Con todo, el régimen definitivo de transferencias internacionales dependerá de lo que precise la Agencia de Protección de Datos Personales una vez que la ley entre en vigencia.

¿Puedo firmarlas ahora si la Ley 21.719 todavía no está vigente?

Sí, y es lo más recomendable. Firmar ahora evita renegociar contra el reloj a fines de 2026. Como la Ley 21.719 entra en vigencia el 1 de diciembre de 2026, los contratos que suscribas durante este año pueden quedar alineados desde el primer día, sin cambios de última hora.

¿Qué hago si mi proveedor cloud no acepta firmarlas?

Deja constancia escrita del intento y evalúa alternativas: el anexo de protección de datos del propio proveedor o sus cláusulas tipo, acompañados de una evaluación de riesgo documentada. Sus certificaciones técnicas de seguridad no son exigidas por la Ley 21.719 ni equivalen a cumplimiento, pero la evidencia del análisis siempre es mejor que el silencio.

¿Reemplazan al contrato con el encargado del artículo 15 bis?

No. El artículo 15 bis de la Ley 21.719 regula el tratamiento que un tercero mandatario o encargado realiza por cuenta del responsable, exista o no transferencia internacional. Las cláusulas modelo cubren el flujo transfronterizo; conviene integrarlas con el acuerdo de encargo y no usarlas como reemplazo de este.

¿Se pueden modificar o negociar las cláusulas?

Su fuerza práctica está en usarlas sin alterar el texto central. Puedes agregar anexos con la descripción de las operaciones, las categorías de datos, los plazos de conservación y las medidas de seguridad, además de tus cláusulas comerciales. Si contradices el texto aprobado, pierdes buena parte del argumento de certeza jurídica.

¿Qué evidencia debo guardar por cada transferencia?

Guarda el contrato o anexo firmado con fecha cierta, el registro de actividades de tratamiento donde consta la transferencia, el análisis del rol de cada parte, las medidas de seguridad comprometidas y la trazabilidad de las comunicaciones. Ante una fiscalización en Chile, una carpeta ordenada vale más que la buena intención.

¿Aplican cuando envío datos a mi casa matriz en el extranjero?

Sí. El flujo intragrupo es una transferencia internacional como cualquier otra: pertenecer al mismo holding no la exime. Lo primero es definir quién decide las finalidades y los medios del tratamiento y quién solo ejecuta instrucciones, porque de eso depende el rol que firmará cada entidad en las cláusulas.

¿Qué pasará cuando la Agencia dicte su propia normativa?

Es razonable esperar que la Agencia de Protección de Datos Personales precise el régimen de transferencias internacionales una vez instalada. Por eso conviene incorporar una cláusula de revisión que permita actualizar anexos y adherir a los instrumentos que la autoridad reconozca, sin tener que renegociar el contrato completo desde cero.

Fuentes oficiales

• Ley 21.719 sobre protección y tratamiento de datos personales — texto oficial, Biblioteca del Congreso Nacional
• Ministerio de Economía, Fomento y Turismo — Subsecretaría de Economía y Empresas de Menor Tamaño

Este artículo tiene fines informativos y no constituye asesoría legal para un caso particular.