En Chile la Ley 21.719 no obliga a designar un Delegado de Protección de Datos. El artículo 50 dice que el responsable «podrá» designarlo, y solo pasa a ser exigible dentro del modelo de prevención de infracciones del artículo 49, que también es voluntario. Designarlo sigue siendo la forma más ordenada de demostrar cumplimiento ante la Agencia.
Lo esencial en 30 segundos
- La Ley 21.719 contempla la figura del Delegado de Protección de Datos (DPO).
- No es obligatorio en Chile: el artículo 50 dice que el responsable «podrá» designarlo. No hay umbral legal por volumen ni por tipo de dato.
- Se vuelve exigible en un solo caso: si la organización adopta el modelo de prevención de infracciones del artículo 49, cuya letra a) lo exige como componente mínimo.
- Puede ser interno o externo (DPO as a service). Para muchas PyMEs, externo es más eficiente.
- Aun cuando no sea obligatorio, designar un responsable es la mejor forma de demostrar responsabilidad proactiva.
“¿Tengo que contratar a alguien solo para esto?” Es la primera reacción de muchas empresas cuando escuchan hablar del DPO. La respuesta corta es: depende —y vale la pena entender de qué depende, porque designar (o no) un Delegado de Protección de Datos tiene efectos concretos en una fiscalización. Si quieres el panorama legal completo, parte por la guía definitiva de la Ley 21.719. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.
Qué es el DPO (Delegado de Protección de Datos)
El Delegado de Protección de Datos —DPO, por sus siglas en inglés (Data Protection Officer)— es la persona o el servicio que vela por que la organización trate los datos personales conforme a la ley. No es un rol meramente técnico ni puramente legal: es un puente entre la dirección, las áreas que tratan datos (marketing, RR. HH., ventas, TI), los titulares de los datos y la Agencia de Protección de Datos Personales.
Es el equivalente chileno al DPO del GDPR europeo. Si te interesa la comparación, la vemos en Ley 21.719 vs GDPR.
¿La Ley 21.719 obliga a tener un DPO?
No. El artículo 50 de la Ley 21.719 encabeza la figura con un verbo que conviene leer literal: el responsable de datos «podrá» designar un delegado de protección de datos personales. Es una facultad, no un deber, y la ley chilena no fija ningún umbral —ni por volumen de datos, ni por categoría, ni por tamaño de empresa— que active la obligación.
Conviene decirlo con claridad porque circula mucho lo contrario: los criterios de «datos sensibles a gran escala» y «monitoreo sistemático» vienen del artículo 37 del RGPD europeo, no de la Ley 21.719. Quien los cite como derecho chileno está trasladando una norma que aquí no rige. Tampoco hay una obligación especial para organismos públicos: el artículo 21 enumera las disposiciones que les aplican y el artículo 50 no está entre ellas.
Hay un solo caso en que designarlo deja de ser optativo, y es indirecto. Si la organización decide adoptar el modelo de prevención de infracciones del artículo 49 —un programa de cumplimiento voluntario, certificable ante la Agencia—, ese modelo debe contener como mínimo, según su letra a), la designación de un delegado de protección de datos, y según su letra b), la definición de sus medios y facultades. Es decir: el modelo es voluntario, pero si lo adoptas, el delegado viene incluido.
Que no sea obligatorio no lo vuelve irrelevante. El artículo 36 número 5 considera circunstancia atenuante haber cumplido diligentemente los deberes de dirección y supervisión, acreditado con el certificado del artículo 51 —el que certifica precisamente ese modelo de prevención. En una sanción, la diferencia es concreta.
Qué dice el artículo 50, punto por punto
Conviene tener a mano lo que el texto dice y lo que no dice, porque casi todo lo que circula sobre el DPO chileno mezcla ambas cosas. Esta tabla resume el artículo 50 de la Ley 21.719 y su único punto de contacto obligatorio, el artículo 49:
| Pregunta | Lo que dice el texto oficial | Artículo |
|---|---|---|
| ¿Es obligatorio designarlo? | No. El responsable de datos «podrá» designar un delegado de protección de datos personales. | Artículo 50 |
| ¿Hay un umbral por volumen o por tipo de dato? | No existe en la ley chilena. Ese criterio es del artículo 37 del RGPD europeo. | Artículo 50 |
| ¿Cuándo pasa a ser exigible? | Solo si se adopta el modelo de prevención de infracciones, que lo exige como componente mínimo. | Artículo 49 letra a) |
| ¿Quién debe designarlo? | La máxima autoridad directiva o administrativa: directorio, socio administrador o máxima autoridad del servicio. | Artículo 50 |
| ¿Puede asumirlo el propio dueño? | Sí. En micro, pequeñas y medianas empresas el dueño o sus máximas autoridades pueden asumir personalmente las tareas. | Artículo 50 |
| ¿Un solo delegado para todo el grupo? | Sí, si las entidades operan bajo los mismos estándares y políticas y el delegado es accesible para todas. | Artículo 50 |
| ¿Puede tener otras funciones? | Sí, procurando mantener la independencia; el responsable debe garantizar que no haya conflicto de intereses. | Artículo 50 |
| ¿Está obligado a guardar secreto? | Sí, secreto estricto sobre los datos que conozca. El responsable responde por las infracciones del delegado a ese deber. | Artículo 50 |
¿Tu sector trata datos sensibles o hace perfilamiento? Revisa el enfoque específico para salud, banca y finanzas o PyMEs.
DPO interno vs externo
La ley no exige que el DPO sea un empleado. Puede ser interno (alguien de tu equipo) o externo (un servicio especializado, conocido como DPO as a service). Cada opción tiene su lugar:
- DPO interno: conoce la organización desde adentro. Tiene sentido en empresas grandes, con volumen y complejidad suficientes para justificar un cargo dedicado.
- DPO externo: aporta experiencia especializada sin el costo de un cargo full-time, con independencia y una mirada actualizada del marco regulatorio. Suele ser la opción más eficiente para PyMEs y mid-market.
En ambos casos hay tres condiciones que la función debe cumplir para ser válida: conocimiento experto, autonomía (que no se le instruya el resultado de su análisis) y una vía directa con la dirección.
Qué funciones cumple el DPO
- Supervisar el cumplimiento de la Ley 21.719 dentro de la organización.
- Asesorar a las áreas que tratan datos y a la dirección.
- Ser el punto de contacto con la Agencia de Protección de Datos Personales y con los titulares.
- Coordinar la atención de los derechos ARSOP y la gestión de brechas.
- Velar por el Registro de Actividades de Tratamiento (RAT) y por las evaluaciones de impacto (EIPD).
- Promover la cultura de privacidad: capacitación y políticas internas.
Qué pierdes si no lo designas
No designarlo no es en sí una infracción de la Ley 21.719: no figura en los catálogos de los artículos 34 bis, 34 ter ni 34 quáter. Lo que se pierde es defensa. Sin delegado no hay modelo de prevención del artículo 49, sin modelo no hay certificado del artículo 51, y sin ese certificado se cae la atenuante del artículo 36 número 5 —haber cumplido diligentemente los deberes de dirección y supervisión—. Frente a multas que llegan hasta 20.000 UTM por infracción gravísima según el artículo 35, esa atenuante pesa; revisa el detalle en multas y sanciones.
Y aun cuando el DPO no sea obligatorio, su ausencia se nota: derechos que no se responden a tiempo, brechas gestionadas a las apuradas y un RAT que nadie mantiene. La figura existe, justamente, para que alguien tenga el cumplimiento como responsabilidad y no como “lo que hacemos cuando podemos”.
Cómo empezar
El primer paso no es contratar a alguien, sino saber si lo necesitas y en qué intensidad. Eso se resuelve con un diagnóstico: qué datos tratas, a qué escala y con qué riesgo. A partir de ahí se define si corresponde un DPO interno, uno externo o, al menos, un responsable designado con un plan claro. Lo vemos también en el checklist de cumplimiento, frente número 1: gobernanza.
¿No sabes si tu empresa necesita un DPO?
En un diagnóstico de 30 minutos evaluamos tu tratamiento de datos y te decimos si corresponde —interno o externo— y por dónde partir. Sin compromiso.
Solicitar diagnósticoPreguntas frecuentes
¿Es obligatorio tener un DPO en Chile con la Ley 21.719?
La Ley 21.719 contempla la figura del Delegado de Protección de Datos (DPO). Su obligatoriedad depende de la naturaleza, el volumen y el riesgo del tratamiento: es exigible —o altamente recomendable— cuando se tratan datos sensibles a gran escala, se realiza monitoreo sistemático de personas o en organismos públicos. Aun cuando no sea estrictamente obligatorio, designar un responsable es una medida clave de responsabilidad proactiva.
¿El DPO puede ser externo?
Sí. El DPO puede ser un colaborador interno o un servicio externo (DPO as a service). Lo relevante es que tenga conocimiento experto, autonomía para ejercer su función, recursos suficientes y una vía directa con la dirección. Para muchas PyMEs, un DPO externo es más eficiente que crear el cargo internamente.
¿Qué funciones cumple el DPO?
Supervisar el cumplimiento de la Ley 21.719, asesorar a la organización, ser el punto de contacto con la Agencia de Protección de Datos Personales y con los titulares, coordinar la atención de derechos ARSOP y la gestión de brechas, y velar por el registro de actividades de tratamiento y las evaluaciones de impacto.
¿Qué arriesga mi empresa si no designa un DPO cuando corresponde?
Cuando la designación es exigible, no contar con un DPO es una brecha de cumplimiento que puede derivar en sanción y debilita la defensa ante una fiscalización. Aun cuando no sea obligatorio, su ausencia suele traducirse en falta de coordinación: derechos sin responder a tiempo, brechas mal gestionadas y un RAT desactualizado.
¿La Ley 21.719 obliga a las empresas a tener un DPO?
No. El artículo 50 de la Ley 21.719 establece que el responsable de datos «podrá» designar un delegado de protección de datos personales. Es una facultad. La ley chilena no fija umbrales de volumen, de categoría de datos ni de tamaño de empresa que conviertan esa facultad en obligación.
¿Es cierto que se exige DPO cuando hay datos sensibles a gran escala?
Ese criterio no está en la Ley 21.719. Proviene del artículo 37 del RGPD europeo y se repite con frecuencia como si fuera derecho chileno. En Chile la designación del delegado es voluntaria conforme al artículo 50, sin importar el volumen ni la categoría de los datos tratados.
¿Cuándo se vuelve obligatorio el delegado de protección de datos en Chile?
En un solo escenario, y de forma indirecta. Si la organización adopta el modelo de prevención de infracciones del artículo 49 de la Ley 21.719, su letra a) exige la designación de un delegado como elemento mínimo del programa. El modelo es voluntario, pero al adoptarlo el delegado queda incluido.
¿Quién debe designar al delegado dentro de la empresa?
El artículo 50 de la Ley 21.719 exige que lo designe la máxima autoridad directiva o administrativa del responsable: el directorio, un socio administrador o la máxima autoridad de la empresa o servicio. No puede quedar en manos de una jefatura intermedia ni delegarse hacia abajo.
¿El dueño de una pyme puede ser su propio delegado de protección de datos?
Sí. El artículo 50 de la Ley 21.719 permite expresamente que en las micro, pequeñas y medianas empresas el dueño o sus máximas autoridades asuman personalmente las tareas de delegado de protección de datos, sin necesidad de crear un cargo separado ni contratar a un tercero.
¿Sirve de algo designarlo si la ley no lo exige?
Sí, en una sanción. El artículo 36 número 5 de la Ley 21.719 considera circunstancia atenuante haber cumplido diligentemente los deberes de dirección y supervisión, lo que se acredita con el certificado del artículo 51 sobre el modelo de prevención, cuyo primer componente es justamente el delegado.
Fuentes oficiales
- Ley 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales — texto oficial, Biblioteca del Congreso Nacional
- Artículo 50 (atribuciones del delegado) y artículo 49 (modelo de prevención de infracciones) — texto refundido vigente desde el 1 de diciembre de 2026
Este artículo tiene fines informativos y no constituye asesoría legal para un caso particular.