Decreto 662: el reglamento del modelo de prevención de infracciones

La Ley 21.719 incorporó a la Ley 19.628 los artículos 49 a 53, que crean el modelo de prevención de infracciones: un programa de cumplimiento que cualquier responsable de datos puede adoptar de forma voluntaria y cuya adopción, según los considerandos del propio reglamento, puede operar como atenuante de las sanciones que imponga la Agencia. Faltaba el reglamento que dijera cómo se implementa, cómo se certifica y cómo se registra. Ya está publicado. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.

El Decreto 662 del Ministerio de Hacienda apareció en el Diario Oficial el 9 de septiembre de 2026. Es un texto corto y operativo: define los elementos mínimos del programa, regula en ocho artículos la figura del delegado de protección de datos y fija el procedimiento de certificación, registro, supervisión y revocación.

Este artículo lo recorre artículo por artículo, con especial cuidado en el punto donde el mercado va a equivocarse en las dos direcciones: qué le pasó exactamente al carácter voluntario del delegado de protección de datos.

¿Qué es el Decreto 662 y qué vino a reglamentar?

Conviene leer el título oficial completo, porque delimita el objeto con precisión: «Aprueba reglamento que regula los requisitos, modalidades y procedimientos para la implementación, certificación, registro y supervisión de los modelos de prevención de infracciones a que se refiere el artículo 49 que incorpora la Ley N° 21.719 a la Ley N° 19.628».

El mandato viene del inciso final del artículo 51 que la Ley 21.719 incorporó a la Ley 19.628: encargó a un reglamento expedido a través del Ministerio de Hacienda, y suscrito por el Ministro Secretario General de la Presidencia y por el Ministro de Economía, Fomento y Turismo, establecer los requisitos, modalidades y procedimientos de implementación, certificación, registro y supervisión. El decreto lleva fecha 13 de junio de 2025 y se publicó en el Diario Oficial el 9 de septiembre de 2026.

La estructura son 20 artículos en dos títulos, con el Título II dividido en tres párrafos. El Título I contiene las disposiciones generales, con el objeto del reglamento y las reglas de aplicación supletoria. El Título II se dedica a los programas de cumplimiento y se divide en tres párrafos: elementos y publicidad del programa, el delegado de protección de datos, y la aprobación, certificación, registro, implementación y supervisión.

El artículo 1 es el que fija el tono de todo lo demás. Los responsables de datos, personas naturales o jurídicas, públicas o privadas, «podrán adoptar e implementar, voluntariamente, un modelo de prevención de infracciones consistente en la adopción de un programa de cumplimiento». Nadie está obligado a tenerlo.

Ese mismo artículo 1 cierra con una advertencia que conviene subrayar: la adopción e implementación de un programa de cumplimiento no obsta al deber de todos los responsables de adoptar acciones destinadas a prevenir la comisión de infracciones y, en general, a dar cumplimiento a la ley. El modelo es una capa adicional, no un sustituto del cumplimiento. Y el artículo 2 completa el cuadro: se aplican las definiciones del artículo 2 de la Ley 19.628 y, a los actos y procedimientos en que intervenga la Agencia, las reglas de la Ley 19.880.

• Lo ordena el inciso final del artículo 51 que la Ley 21.719 incorpora a la Ley 19.628.
• Lo firman Hacienda, la Secretaría General de la Presidencia y Economía, Fomento y Turismo.
• Fecha del decreto: 13 de junio de 2025. Publicación en el Diario Oficial: 9 de septiembre de 2026.
• 20 artículos en dos títulos, con el Título II dividido en tres párrafos.
• Adoptar el modelo es voluntario y no reemplaza los deberes generales de la ley.

El artículo 6: el delegado sigue siendo voluntario, salvo si certificas

Este es el punto que ordena todo el reglamento y hay que citarlo textual. El artículo 6 dice: «El responsable de datos podrá designar un delegado de protección de datos personales, designación que será obligatoria en el marco de la adopción y certificación de un programa de cumplimiento».

Las dos lecturas apresuradas son erróneas. No es cierto que el Decreto 662 haya vuelto obligatorio el delegado de protección de datos en Chile: la regla general sigue siendo la del artículo 50 de la ley, que emplea el verbo «podrá». Y tampoco es completo seguir afirmando, sin más, que el delegado es voluntario: desde el 9 de septiembre de 2026 existe una hipótesis en que la designación es obligatoria, y es la que abre el propio responsable cuando decide adoptar un programa de cumplimiento: el artículo 49 de la ley exige al delegado como componente mínimo del programa, de modo que la obligación nace con la adopción y no espera la certificación.

El decreto es consistente con esa lectura en sus considerandos, donde describe al delegado de protección de datos como aquel «cuya designación es obligatoria en el marco del modelo de prevención de infracciones», y menciona el efecto que la adopción del modelo puede tener como atenuante de las sanciones que imponga la Agencia en el ejercicio de sus potestades de fiscalización y sanción.

El alcance tampoco es negociable. El mismo artículo 6 precisa que, en ese caso, el delegado deberá ejercer las atribuciones del artículo 50 de la ley y del reglamento «respecto de todas las operaciones de tratamiento de datos que realice el responsable que lo designe». No se puede certificar un modelo con un delegado de alcance parcial, acotado a una gerencia o a una línea de negocio.

Y hay una consecuencia probatoria que suele pasarse por alto. El artículo 10 exige designar al delegado considerando sus conocimientos especializados en la regulación aplicable, su experiencia en la materia y sus habilidades profesionales; exige además que cuente siempre con conocimientos actualizados de las normas, de las decisiones y normas dictadas por la Agencia y de la jurisprudencia relevante. Y cierra: el responsable «deberá ser capaz de demostrar la idoneidad del delegado» en el marco del procedimiento de certificación. La idoneidad hay que poder acreditarla, no solo afirmarla.

• Artículo 7: puede ser dependiente del responsable o externo; si presta el servicio una persona jurídica, el contrato debe individualizar a la persona natural que actuará como delegado.
• Artículo 8: lo designa la máxima autoridad directiva o administrativa —directorio, socio administrador o máxima autoridad de la entidad— y rinde cuenta directamente ante ella, con autonomía respecto de la administración.
• Artículo 9: el responsable debe proveer medios, facultades y recursos materiales proporcionales al tamaño y capacidad económica de la entidad, a sus operaciones de tratamiento y a sus riesgos, y evitar conflictos de interés.
• Artículo 11: los datos de contacto del delegado deben publicarse en el sitio web o en un medio de información equivalente, y comunicarse siempre a la Agencia.
• Artículo 12: el delegado queda obligado a estricto secreto, reserva o confidencialidad.
• Artículo 13: entre sus once funciones están asesorar en la evaluación de impacto del artículo 15 ter, actuar como punto de contacto con la Agencia y desarrollar un plan anual de trabajo con rendición de cuentas al menos anual.

¿Qué debe contener el programa de cumplimiento?

El artículo 3 del reglamento fija diez elementos mínimos, de la letra a) a la letra j), y aclara que el programa es un conjunto de instrumentos que puede adoptar cualquier responsable de datos, sea persona natural o jurídica. Las tres primeras letras son de identificación: individualización del responsable y de su representante legal, designación del delegado conforme al artículo 8, y definición de los medios y facultades de ese delegado.

La letra d) es la más exigente y la que más trabajo toma: la caracterización de los datos personales que el responsable trata, de las categorías de datos y de bases de datos que administra y de las operaciones de tratamiento que realiza, con once puntos de información mínima. Y termina con una frase que conviene leer con cuidado: «Esta caracterización podrá realizarse a través de un registro de actividades de tratamiento».

Ese matiz importa porque en Chile se repite que el registro de actividades de tratamiento es una obligación legal, cuando esa figura viene del artículo 30 del Reglamento General de Protección de Datos europeo. Lo exigible con carácter general en la Ley 19.628 son los doce bloques de información del artículo 14 ter. Aquí, en cambio, el registro aparece con su función real: un medio admitido —no el único— para documentar la caracterización de la letra d) dentro de un programa de cumplimiento.

La letra e) introduce la matriz de riesgos. Hay que identificar las actividades de tratamiento o procesos, habituales o esporádicos, en cuyo contexto se genere o incremente el riesgo de cometer las infracciones de los artículos 34 bis, 34 ter y 34 quáter de la ley, determinar las de mayor riesgo e incorporarlas a la matriz, que «deberá desarrollarse considerando la graduación de las sanciones previstas en la ley». Esa graduación es la que distingue infracciones leves, con multa de hasta 5.000 UTM, graves, de hasta 10.000 UTM, y gravísimas, de hasta 20.000 UTM.

Las letras f) a i) son de gobernanza. Protocolos, reglas y procedimientos específicos, establecidos teniendo en cuenta las operaciones de tratamiento, la cantidad y el tipo de datos y el tamaño y capacidad económica de la entidad. Mecanismos de reporte interno con vías expeditas y de acceso permanente, que pueden integrarse a canales de denuncia ya existentes. Sanciones administrativas internas y sus procedimientos. Y un canal de denuncia ante el delegado que asegure la reserva de identidad del denunciante, quien no podrá ser objeto de ninguna medida desfavorable a causa de su denuncia.

La letra g) agrega los mecanismos de reporte a la autoridad o a los titulares para cumplir el deber del artículo 14 sexies de la ley, más los de autodenuncia del artículo 36 N° 4. Vale la pena precisarlo: ese deber ordena comunicar las vulneraciones «sin dilaciones indebidas» y no fija plazo en horas; el esquema de 3 y 72 horas y 15 días corridos pertenece al artículo 9 de la Ley 21.663 de Ciberseguridad y se reporta al CSIRT Nacional, no a la Agencia.

Fuera del artículo 3 quedan dos obligaciones prácticas. El artículo 4 exige incorporar la regulación interna del programa como obligación expresa en los contratos de trabajo o de prestación de servicios de todos los trabajadores y prestadores, incluidos los máximos cargos ejecutivos, y en el reglamento interno de los artículos 153 y siguientes del Código del Trabajo, con las medidas de publicidad del artículo 156. El artículo 5 obliga a difundir el programa —y sus modificaciones— y agrega una regla de publicidad estricta: el responsable solo podrá informar que su programa está certificado «mediante la referencia directa, pura y simple» al Registro Nacional de Sanciones y Cumplimiento.

• Tipo de datos personales que trata, indicando si incluye datos sensibles o categorías especiales.
• Ámbito territorial del tratamiento, conforme al artículo 1 bis de la Ley 19.628.
• Categorías, clases o tipos de bases de datos que administra y categorías de titulares.
• Fines de las operaciones y fuente de los datos, señalando si provienen de fuentes de acceso público.
• Base de licitud, y el interés legítimo cuando el tratamiento se funda en el literal d) del artículo 13.
• Categorías de terceros a quienes se prevé comunicar o ceder los datos, incluidos destinatarios en terceros países u organizaciones internacionales.
• Transferencias internacionales, con identificación del país u organización y los medios con que se cumple el artículo 27.
• Plazos o condiciones de supresión por categoría de datos.
• Existencia de decisiones automatizadas o elaboración de perfiles, con información significativa sobre la lógica aplicada y las consecuencias previstas para el titular.

Certificación, registro público y vigencia de tres años

El artículo 14 enumera las atribuciones de la Agencia de Protección de Datos Personales sobre estos modelos: podrá certificarlos, registrarlos y supervisarlos, así como revocar la certificación y aplicar las sanciones que la ley contempla. Y precisa que certificará los modelos que cumplan con los requisitos establecidos en la ley y en el reglamento: no es una evaluación discrecional de calidad, es una verificación de requisitos.

El artículo 15 describe el procedimiento. Se inicia a solicitud del interesado y se tramita conforme a las reglas de la Ley 19.880 y las demás normas que dicte la Agencia mediante instrucción general. Para estudiar la solicitud y los antecedentes en que el responsable funde su petición, la Agencia podrá contratar servicios de terceros según las reglas generales de la Ley 19.886. En su acto terminal resuelve y, si concede la certificación, dispone la incorporación del modelo al registro.

El dato operativo más importante de ese artículo es el plazo: «Los certificados expedidos por la Agencia tendrán una vigencia de tres años», renovables a petición del interesado por el mismo procedimiento. La certificación no es un hito que se consigue una vez; es un ciclo que se mantiene.

El artículo 17 regula el registro. La Agencia incorpora al Registro Nacional de Sanciones y Cumplimiento a las entidades que posean una certificación vigente, individualizando al responsable que adoptó el modelo y a su representante legal —en los servicios centralizados, el jefe de servicio— e indicando la fecha en que se incorporó la certificación y su plazo de vencimiento. El registro permite el acceso público a los certificados emitidos, y a petición del responsable la Agencia debe emitir una constancia de la certificación y de su registro.

El artículo 18 despeja una duda razonable: la implementación del modelo la realiza cada responsable y «podrá iniciarse con anterioridad a la fecha en que la Agencia incorpore a la entidad» al registro. No hay que esperar el certificado para empezar a operar el programa, siempre con plena sujeción a la ley, al reglamento y a las demás normas administrativas aplicables.

Revocación, supervisión y una Agencia que todavía no tiene Consejo

El artículo 16 lista cinco causales de término de vigencia de la certificación: revocación dispuesta por la Agencia, fallecimiento del responsable persona natural, disolución de la persona jurídica, resolución judicial ejecutoriada y cese voluntario de la actividad objeto del modelo certificado. En este último caso el responsable debe avisar a la Agencia dentro de los treinta días siguientes a que el cese se produzca.

El mismo artículo resuelve el problema de la apariencia. El término de vigencia por cualquiera de esas causales «será inoponible a terceros mientras no sea eliminado del registro», y la Agencia debe ordenar esa eliminación junto con la resolución que revoca la certificación o dentro del plazo de cinco días hábiles desde que toma conocimiento de la causal. Mientras la inscripción siga publicada, el tercero que confió en ella queda protegido.

La revocación está en el artículo 20 y tiene dos supuestos. El primero: que el responsable infrinja o deje de cumplir cualquiera de los requisitos que la ley o el reglamento exigen para certificar. El segundo: que, con infracción a lo dispuesto en el artículo 48 de la ley, sea sancionado por alguna de las infracciones de los artículos 34 bis, 34 ter o 34 quáter. El procedimiento puede iniciarse de oficio o a petición de interesado. Para volver a certificar hay que cumplir todos los requisitos y, además, acreditar fehacientemente que la causal fue subsanada, aportando los antecedentes de las medidas organizativas y de funcionamiento adoptadas para prevenir la misma infracción; la resolución sobre la nueva solicitud deberá referirse especialmente a esas medidas.

El artículo 19 completa el cuadro con la supervisión: la Agencia podrá supervisar el cumplimiento de los modelos que haya certificado, requerir toda la información necesaria —que el delegado debe poner a disposición de manera íntegra y oportuna— y sancionar conforme a la Ley 19.628 la falta de entrega o la entrega de información falsa, incompleta o manifiestamente errónea. Los responsables pueden exceptuarse cuando la información esté amparada por secreto o confidencialidad, señalando la norma que lo establece y acreditando la causal.

Queda una pregunta honesta: ¿se puede presentar hoy una solicitud? En la práctica no hay ante quién. El reglamento no fija fecha para que el trámite abra, la ley entra en vigencia el 1 de diciembre de 2026 y la Agencia todavía no tiene Consejo Directivo instalado. La Agencia de Protección de Datos Personales aún no tiene su Consejo Directivo instalado: el 19 de mayo de 2026 el Senado desestimó la propuesta de consejeros, con 19 votos a favor y 12 en contra, cuando se requerían dos tercios de los senadores en ejercicio. Antes de la entrada en vigencia de la ley, el Consejo solo puede ejercer las funciones de los literales a), b), g) y h) del artículo 30 bis y las del artículo 30 ter, y las instrucciones o normas generales que dicte solo tendrán fuerza obligatoria a partir de esa entrada en vigencia. Como el artículo 15 remite justamente a las instrucciones generales de la Agencia, el procedimiento existe en el papel pero aún no tiene quién lo administre.

En paralelo, el 1 de septiembre de 2026 ingresó al Senado el proyecto del Boletín 18.623-07, que propone llevar la entrada en vigencia de la Ley 21.719 al 1 de diciembre de 2027, aumentar el Consejo de tres a cinco consejeros y adelantar su primera designación. Es un proyecto en primer trámite constitucional, no es ley: la fecha legal vigente hoy sigue siendo el 1 de diciembre de 2026.

La conclusión práctica no cambia con ninguno de esos dos hechos. El programa de cumplimiento se construye igual —caracterización, matriz de riesgos, protocolos, canales, delegado idóneo— y el artículo 18 permite implementarlo antes de cualquier inscripción. Lo que la certificación agrega es una señal pública y verificable en el registro. El efecto atenuante que reconocen los considerandos del decreto se asocia a la adopción del modelo, no a su certificación. Eso llega después; el trabajo documental se puede hacer desde ahora.

• Revocación dispuesta por la Agencia.
• Fallecimiento del responsable, si es persona natural.
• Disolución de la persona jurídica.
• Resolución judicial ejecutoriada.
• Cese voluntario de la actividad objeto del modelo, con aviso a la Agencia dentro de treinta días.

Preguntas frecuentes

¿Qué es el Decreto 662?

Es el reglamento del Ministerio de Hacienda que regula los requisitos, modalidades y procedimientos para la implementación, certificación, registro y supervisión de los modelos de prevención de infracciones del artículo 49 que la Ley 21.719 incorpora a la Ley 19.628. Se publicó en el Diario Oficial el 9 de septiembre de 2026 y tiene 20 artículos.

¿Es obligatorio tener un modelo de prevención de infracciones?

No. El artículo 1 del reglamento señala que los responsables de datos, públicos o privados, «podrán adoptar e implementar, voluntariamente» un modelo de prevención consistente en un programa de cumplimiento. Lo que sí es obligatorio para todos, con modelo o sin él, es adoptar acciones para prevenir infracciones y cumplir la Ley 19.628.

¿El delegado de protección de datos es obligatorio en Chile?

Como regla general no: el artículo 50 de la ley dice que el responsable «podrá» designarlo. Pero el artículo 6 del Decreto 662 agrega una excepción: la designación «será obligatoria en el marco de la adopción y certificación de un programa de cumplimiento». Es decir, si decides certificar tu modelo, el delegado deja de ser opcional.

¿Cuánto dura la certificación de un modelo de prevención?

Tres años. El artículo 15 establece que los certificados expedidos por la Agencia tendrán una vigencia de tres años y podrán renovarse a petición del interesado, por el mismo procedimiento con que se obtuvieron. El registro indica la fecha de incorporación y el plazo de vencimiento de cada certificación.

¿Quién certifica el modelo y cómo se tramita la solicitud?

Certifica la Agencia de Protección de Datos Personales, a solicitud del interesado. La tramitación se rige por la Ley 19.880 y por las instrucciones generales que dicte la Agencia. Para estudiar la solicitud, la Agencia puede contratar servicios de terceros conforme a las reglas generales de la Ley 19.886.

¿Dónde se consulta si una empresa tiene su programa certificado?

En el Registro Nacional de Sanciones y Cumplimiento que administrará la Agencia. Según el artículo 17, incorpora a las entidades con certificación vigente, individualiza al responsable y a su representante legal, indica la fecha de incorporación y el plazo de vencimiento, y permite el acceso público a los certificados emitidos.

¿Puedo implementar el programa antes de que esté certificado?

Sí. El artículo 18 dispone que la implementación la realiza cada responsable y podrá iniciarse antes de que la Agencia incorpore a la entidad al Registro Nacional de Sanciones y Cumplimiento, con plena sujeción a la ley, al reglamento y a las demás normas administrativas aplicables.

¿Qué pasa si la Agencia revoca la certificación?

El artículo 20 permite revocarla de manera fundada si el responsable deja de cumplir los requisitos o si es sancionado por infracciones de los artículos 34 bis, 34 ter o 34 quáter con infracción del artículo 48 de la ley. Para volver a certificar hay que cumplir todos los requisitos y acreditar fehacientemente que la causal fue subsanada.

¿Puedo decir en mi publicidad que mi programa está certificado?

Solo de una forma. El artículo 5 permite publicitar e informar la certificación «mediante la referencia directa, pura y simple» al Registro Nacional de Sanciones y Cumplimiento. No habilita afirmaciones más amplias sobre el nivel de cumplimiento de la organización.

¿El Decreto 662 cambia la fecha de entrada en vigencia de la Ley 21.719?

No. La fecha legal vigente sigue siendo el 1 de diciembre de 2026. El 1 de septiembre de 2026 ingresó al Senado el proyecto del Boletín 18.623-07, que propone llevarla al 1 de diciembre de 2027, pero está en primer trámite constitucional y no es ley mientras no se publique en el Diario Oficial.

Fuentes oficiales

• Decreto 662, Ministerio de Hacienda — texto oficial, Biblioteca del Congreso Nacional
• Ley 21.719 — texto publicado, Biblioteca del Congreso Nacional
• Ley 19.628 consolidada con las modificaciones de la Ley 21.719
• Boletín 18.623-07 — tramitación del proyecto que modifica la Ley 21.719, Senado
• Diario Oficial de la República de Chile

Este artículo tiene fines informativos y no constituye asesoría legal para un caso particular.