¿Qué es el modelo de prevención de infracciones de la Ley 21.719 y cómo se certifica?

De todo lo que trae la Ley 21.719, hay una pieza que casi nadie ha explicado con detalle y que es, probablemente, la más útil para una gerencia legal o de compliance: el modelo de prevención de infracciones. No es una buena práctica importada ni un marco de referencia extranjero. Es un programa de cumplimiento que la propia ley chilena define, con contenidos mínimos tasados en el artículo 49 y una certificación ante la Agencia de Protección de Datos Personales regulada en el artículo 51. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.

Esa diferencia importa. Cuando el legislador describe elemento por elemento lo que debe contener un programa de cumplimiento, deja de haber discusión sobre el alcance mínimo. Un directorio puede pedir cuentas contra una lista concreta de siete letras, y auditoría interna puede revisar la existencia de cada entregable sin inventar criterios propios.

En esta guía revisamos qué es el modelo, por qué es voluntario pero conveniente, qué exige cada una de las siete letras del artículo 49 en la práctica de una empresa, cómo funciona la certificación y su vigencia de tres años, qué aportó el Decreto Supremo N° 662 de 2025 y cómo se conecta todo esto con el registro de actividades de tratamiento, la evaluación de impacto y el delegado de protección de datos.

¿Qué es el modelo de prevención de infracciones de la Ley 21.719?

El modelo de prevención de infracciones de la Ley 21.719 es el programa de cumplimiento en materia de datos personales que la propia ley chilena regula en sus artículos 48 a 53. Es un conjunto documentado de roles, procedimientos y controles cuyo objetivo es prevenir que la organización cometa las infracciones descritas en los artículos 34 bis, 34 ter y 34 quater.

La particularidad chilena es que el legislador no se limitó a recomendar buenas prácticas. Distribuyó la materia en un bloque completo de artículos: el artículo 48 establece el deber de adoptar acciones destinadas a prevenir esas infracciones; el artículo 49 describe el modelo voluntario y sus siete contenidos mínimos; el artículo 50 regula las atribuciones del delegado de protección de datos; el artículo 51 entrega a la Agencia la certificación y la supervisión; el artículo 52 trata la vigencia de los certificados y el artículo 53 su revocación.

Conviene fijar el calendario antes de seguir. La Ley 21.719 fue publicada en el Diario Oficial el 13 de diciembre de 2024 y entrará en vigencia el 1 de diciembre de 2026, conforme a su artículo primero transitorio. A julio de 2026 la ley todavía no rige, aunque el reglamento del modelo de prevención ya fue dictado y una reforma posterior adelantó la instalación de la Agencia. En otras palabras: hay tiempo, pero el trabajo real de construir el modelo toma meses, no semanas.

Un modelo de prevención no es lo mismo que una política de privacidad publicada en el sitio web, ni que un manual de seguridad de la información. Se distingue por tres rasgos.

• Tiene contenidos mínimos tasados por ley: si falta una de las siete letras del artículo 49, el modelo no reúne los requisitos.
• Es exigible internamente: su regulación se incorpora a los contratos de trabajo o al reglamento interno, con consecuencias disciplinarias.
• Es certificable y supervisable por la autoridad: la Agencia lo certifica y lo supervisa conforme al artículo 51.

¿Es obligatorio adoptar un modelo de prevención o es voluntario?

Es voluntario, pero no es indiferente. El artículo 48 de la Ley 21.719 sí obliga: los responsables deberán adoptar acciones destinadas a prevenir la comisión de las infracciones de los artículos 34 bis, 34 ter y 34 quater. El artículo 49 agrega que podrán, voluntariamente, adoptar un modelo de prevención consistente en un programa de cumplimiento. Es decir, prevenir es obligatorio; formalizarlo en un modelo certificable es una opción.

Esa distinción suele decidirse en directorio, y la conversación honesta es de gestión del riesgo. Adoptar el modelo se conecta con las circunstancias atenuantes del artículo 36 de la Ley 21.719, porque permite respaldar la diligencia con evidencia documental en lugar de con declaraciones. También tiene un componente reputacional concreto: el artículo 51 dispone que la Agencia incorpore al Registro Nacional de Sanciones y Cumplimiento a las entidades que cuenten con certificación vigente, y ese registro del artículo 39 es público, electrónico y de acceso gratuito. Cualquier cliente, licitante o contraparte puede consultarlo.

Vale la pena dimensionar el escenario contrario sin exagerar. El artículo 35 gradúa las sanciones: las infracciones leves se sancionan con amonestación escrita o multa de hasta 5.000 UTM, las graves con multa de hasta 10.000 UTM y las gravísimas con multa de hasta 20.000 UTM. Las medidas para subsanar deben cumplirse en un plazo no mayor a 60 días, con un recargo de 50% a la multa si no se cumplen, y la reincidencia puede llevar la multa hasta tres veces el monto de la infracción.

El porcentaje sobre ingresos merece una precisión, porque se repite mal. Solo entra en juego cuando el infractor no es una empresa de menor tamaño según el artículo segundo de la ley N° 20.416 y además reincide en infracción grave o gravísima: en ese caso la multa puede alcanzar la más gravosa entre el triple del monto o el 2% (infracciones graves) y el 4% (infracciones gravísimas) de los ingresos anuales por ventas y servicios del último año calendario. No es efectivo que toda empresa arriesgue automáticamente ese porcentaje.

Para las empresas de menor tamaño hay un matiz adicional que también se suele contar mal. El artículo sexto transitorio dispone que, durante los primeros doce meses posteriores a la entrada en vigencia, cuando proceda alguna sanción respecto de empresas calificadas como de menor tamaño según la ley N° 20.416, la Agencia podrá aplicar como sanción una amonestación por escrito, señalando la gravedad de la infracción, la conducta infractora y las circunstancias atenuantes y agravantes. Es una facultad, no una inmunidad automática, esa amonestación igual queda inscrita en el registro del artículo 39 y no exime del cumplimiento sustantivo.

• Prevenir es un deber (artículo 48). Adoptar y certificar el modelo es una decisión (artículo 49).
• El beneficio jurídico se juega en las circunstancias atenuantes del artículo 36, no en una exención de responsabilidad.
• El beneficio comercial se juega en el Registro Nacional de Sanciones y Cumplimiento (artículo 39), que es público y gratuito.

¿Cuáles son los siete elementos mínimos del artículo 49?

El artículo 49 de la Ley 21.719 exige que el modelo contenga al menos siete elementos: a) la designación de un delegado de protección de datos personales; b) la definición de sus medios y facultades; c) la identificación del tipo de información que trata la entidad; d) la identificación de las actividades o procesos que generan o incrementan el riesgo; e) protocolos, reglas y procedimientos específicos; f) mecanismos de reporte interno y de reporte a la autoridad; y g) sanciones administrativas internas y procedimientos de denuncia.

Vistas una por una, cada letra se traduce en un entregable reconocible. La letra a) obliga a nombrar formalmente a un delegado de protección de datos personales, con acta o resolución que lo individualice; no basta con que alguien vea informalmente el tema de privacidad. La letra b) es la que evita que ese nombramiento sea decorativo: hay que definir sus medios y facultades, es decir, presupuesto, dotación, acceso a información, independencia y línea de reporte a la alta dirección.

La letra c) exige identificar el tipo de información que trata la entidad, el ámbito territorial en que opera, la categoría, clase o tipos de datos o bases de datos que administra y la caracterización de los titulares. En la práctica, esto es un inventario o registro de actividades de tratamiento acompañado de un mapa de flujos, incluidos los transfronterizos. La letra d) pide identificar las actividades o procesos, habituales o esporádicos, en cuyo contexto se genere o incremente el riesgo de cometer esas infracciones: reclutamiento, cobranza, marketing, videovigilancia, campañas puntuales, integraciones con proveedores.

La letra e) baja el diagnóstico a la operación: protocolos, reglas y procedimientos específicos para que quienes intervienen en esos procesos ejecuten sus tareas de forma que se prevenga la infracción. Aquí viven los procedimientos de consentimiento, de atención de derechos ARSOP —que conforme al artículo 11 obligan a acusar recibo y pronunciarse a más tardar dentro de treinta días corridos desde el ingreso de la solicitud, prorrogables por una sola vez hasta por treinta días corridos más— y de contratación de encargados. La letra f) exige mecanismos de reporte interno de cumplimiento y mecanismos de reporte a la autoridad para el caso del artículo 14 sexies, es decir, la comunicación de brechas a la Agencia por los medios más expeditos posibles y sin dilaciones indebidas cuando exista un riesgo razonable para los derechos y libertades de los titulares. La letra g) cierra el círculo con sanciones administrativas internas y procedimientos de denuncia o castigo de responsabilidades para quienes incumplan.

¿Cómo se incorpora el modelo a los contratos de trabajo o al reglamento interno?

El artículo 49 de la Ley 21.719 exige que la regulación interna resultante del modelo se incorpore expresamente como obligación en los contratos de trabajo o de prestación de servicios de todos los trabajadores y prestadores de la entidad, incluidos sus máximos ejecutivos. La alternativa que da la misma norma es incorporarla al reglamento interno, regulado en los artículos 153 y siguientes del Código del Trabajo, con las medidas de publicidad del artículo 156 del mismo cuerpo legal.

Este requisito es el que más se pasa por alto y el que más rápido deja incompleto un modelo por lo demás bien escrito. Un manual de privacidad que vive en la intranet no genera obligaciones exigibles; una cláusula contractual o una regla del reglamento interno sí. Y la mención explícita a los máximos ejecutivos no es decorativa: cierra la puerta a que la responsabilidad se distribuya solo hacia abajo en la organización.

En la práctica hay dos caminos, y la elección depende del tamaño y la rotación de la empresa. Modificar contratos uno por uno es viable en organizaciones pequeñas y da trazabilidad individual, pero se vuelve inmanejable con dotaciones grandes o con alta rotación. Incorporar la materia al reglamento interno cubre a toda la dotación de una vez y se actualiza con un solo trámite, siempre que se cumplan las formalidades de publicidad del artículo 156 del Código del Trabajo.

Un punto que suele quedar suelto: los prestadores de servicios y proveedores que tratan datos por cuenta de la empresa. La norma habla de contratos de trabajo o de prestación de servicios, de modo que el anexo de tratamiento de datos en los contratos con terceros no es un extra, es parte del cumplimiento del artículo 49. Conviene alinearlo, además, con el tratamiento a través de un tercero mandatario o encargado que regula el artículo 15 bis.

• Vía contractual: anexo o cláusula de protección de datos en cada contrato de trabajo y de prestación de servicios, incluidos los máximos ejecutivos.
• Vía reglamentaria: capítulo específico en el reglamento interno conforme a los artículos 153 y siguientes del Código del Trabajo, con la publicidad del artículo 156.
• Vía proveedores: anexo de tratamiento de datos y obligaciones de seguridad y de comunicación de brechas en los contratos con encargados (artículo 15 bis).

¿Cómo se certifica el modelo ante la Agencia y cuánto dura la certificación?

La certificación la otorga la Agencia de Protección de Datos Personales. El artículo 51 de la Ley 21.719 dispone que la Agencia certifique que el modelo de prevención reúne los requisitos legales, lo supervise e incorpore al Registro Nacional de Sanciones y Cumplimiento a las entidades que cuenten con certificación vigente. Conforme al reglamento, ese certificado tiene una vigencia de tres años.

El mismo artículo 51 remitió a un reglamento la definición de los requisitos, modalidades y procedimientos, y encargó su dictación al Ministerio de Hacienda, con la suscripción de la Secretaría General de la Presidencia y del Ministerio de Economía. Ese reglamento existe: fue aprobado por el Decreto Supremo N° 662 de 2025 del Ministerio de Hacienda y pasó por el trámite de toma de razón ante la Contraloría General de la República. Regula la implementación, certificación, registro y supervisión de los modelos de prevención, fija la vigencia de tres años del certificado y dispone su registro individualizando al responsable, a su representante legal, la fecha y el plazo de vigencia.

El registro merece atención propia. El artículo 39 crea el Registro Nacional de Sanciones y Cumplimiento, creado y administrado por la Agencia, electrónico, público y de acceso gratuito. Consigna a los sancionados —con la gravedad de la infracción, la conducta infractora, las atenuantes y agravantes y la sanción aplicada— y también a quienes tengan modelos certificados de prevención vigentes. Las anotaciones se mantienen públicas por cinco años. Es, en los hechos, un semáforo reputacional de acceso abierto.

Sobre la duración, dos advertencias honestas. Primero, la certificación no es un trámite de una sola vez: el artículo 51 incluye la supervisión de la Agencia y el artículo 53 regula la revocación de la certificación, de manera que un modelo que deja de operar puede perder el certificado antes de que se cumplan sus tres años. Segundo, ninguna certificación garantiza cumplimiento ni evita sanciones; acredita que el modelo reúne los requisitos, no que la empresa nunca infringirá la ley.

Conviene también despejar una confusión frecuente. La única certificación que contempla la Ley 21.719 es esta, la del modelo de prevención ante la Agencia, y es voluntaria. Estándares técnicos como ISO 27001 o marcos como NIST pueden ser excelentes insumos de control y evidencia de seguridad, pero no son exigidos por esta ley chilena ni reemplazan los siete elementos mínimos del artículo 49.

• Quién certifica: la Agencia de Protección de Datos Personales (artículo 51).
• Qué certifica: que el modelo reúne los requisitos exigidos, cuyo contenido mínimo fija el artículo 49.
• Cuánto dura: tres años, según el reglamento aprobado por el Decreto Supremo N° 662 de 2025.
• Dónde queda constancia: Registro Nacional de Sanciones y Cumplimiento (artículo 39), público y gratuito.
• Cómo se pierde: por revocación conforme al artículo 53.

¿Cómo se relaciona el modelo con el RAT, la evaluación de impacto y el delegado?

El modelo no es un proyecto paralelo a lo que ya estás haciendo para la Ley 21.719: es el marco que ordena esos entregables y les da una estructura verificable. El inventario de tratamientos alimenta la letra c) del artículo 49, la evaluación de impacto ayuda a documentar la letra d) y el delegado de protección de datos es directamente la letra a), con sus atribuciones reguladas en el artículo 50.

El registro de actividades de tratamiento, o RAT, es el insumo base. La letra c) del artículo 49 exige identificar el tipo de información tratada, el ámbito territorial de operación, la categoría, clase o tipos de datos y bases de datos administradas y la caracterización de los titulares. Sin ese inventario no hay forma de sostener las letras siguientes: no puedes identificar procesos de riesgo si no sabes qué datos circulan por ellos.

La evaluación de impacto, regulada en el artículo 15 ter de la Ley 21.719, es la herramienta natural para documentar la letra d) en los tratamientos más sensibles. Piensa en biometría —cuyo tratamiento exige, según el artículo 16 ter, informar al titular el sistema biométrico utilizado, la finalidad específica, el período durante el cual se usarán los datos y la forma de ejercer sus derechos—, en datos de salud o de situación socioeconómica, en datos de niños, niñas y adolescentes del artículo 16 quater, o en geolocalización conforme al artículo 16 sexies, que exige informar el tipo de dato, la finalidad, la duración y si se comunicarán a un tercero para un servicio con valor añadido.

El delegado, por su parte, es el eje operativo. Además de ser la letra a) del artículo 49, es quien en la práctica sostiene los deberes de los artículos 14 bis a 14 sexies: secreto o confidencialidad, información y transparencia, protección desde el diseño y por defecto, medidas de seguridad y gestión de brechas. Conviene recordar que el artículo 14 septies encarga a la Agencia determinar, mediante instrucción general, los estándares o condiciones mínimas de los deberes de información (artículo 14 ter) y de seguridad (artículo 14 quinquies), considerando el tipo de dato, si el responsable es persona natural o jurídica, el tamaño de la entidad según el artículo segundo de la ley N° 20.416, la actividad y el volumen, naturaleza y finalidades de los datos. Eso significa que el modelo de una empresa de veinte personas y el de un banco no tienen por qué verse iguales, aunque ambos deban cubrir las mismas siete letras.

La lectura práctica es simple: si ya levantaste el RAT, definiste al delegado y tienes procedimientos de brechas y de derechos ARSOP, buena parte del modelo está construida. Lo que suele faltar es la formalización —designaciones, estatuto del delegado, incorporación a contratos o reglamento interno y régimen disciplinario— y la evidencia ordenada para presentar a certificación.

• RAT → letra c): inventario de tratamientos, bases de datos, ámbito territorial y caracterización de titulares.
• Evaluación de impacto (artículo 15 ter) → letra d): riesgo por proceso, especialmente en datos sensibles, biométricos, de niños, niñas y adolescentes y de geolocalización.
• Delegado (artículo 49 letra a y artículo 50) → gobierno del modelo y soporte de los deberes de los artículos 14 bis a 14 sexies.

Preguntas frecuentes

¿El modelo de prevención de infracciones es obligatorio en Chile?

No. El artículo 49 de la Ley 21.719 señala que los responsables podrán adoptarlo voluntariamente. Lo que sí es obligatorio es el deber del artículo 48: adoptar acciones destinadas a prevenir la comisión de las infracciones de los artículos 34 bis, 34 ter y 34 quater. El modelo es la forma ordenada y certificable de cumplir ese deber.

¿Cuándo podré certificar el modelo ante la Agencia?

La Ley 21.719 entrará en vigencia el 1 de diciembre de 2026 en Chile, y la certificación del artículo 51 la otorga la Agencia de Protección de Datos Personales conforme al reglamento aprobado por el Decreto Supremo N° 662 de 2025 del Ministerio de Hacienda. Lo razonable hoy es construir el modelo para llegar con el expediente listo.

¿Cuánto dura la certificación del modelo de prevención?

La certificación tiene una vigencia de tres años, según el reglamento aprobado por el Decreto Supremo N° 662 de 2025. El artículo 52 de la Ley 21.719 regula la vigencia de los certificados y el artículo 53 la revocación de la certificación, de modo que mantenerla exige que el modelo siga operando y actualizándose, no solo obtenerla una vez.

¿Dónde queda registrado un modelo certificado?

En el Registro Nacional de Sanciones y Cumplimiento del artículo 39 de la Ley 21.719, creado y administrado por la Agencia, electrónico, público y de acceso gratuito. El artículo 51 dispone que la Agencia incorpore allí a las entidades con certificación vigente; el reglamento precisa que se individualice al responsable, su representante legal y el plazo de vigencia.

¿Tener el modelo certificado exime de sanciones?

No. Ningún modelo garantiza inmunidad ni cumplimiento perfecto. Su efecto práctico en Chile es doble: puede aportar evidencia de diligencia de cara a las circunstancias atenuantes del artículo 36 de la Ley 21.719 y deja constancia pública de la certificación vigente en el registro del artículo 39. La empresa sigue respondiendo por sus infracciones sustantivas.

¿Necesito un delegado de protección de datos para tener modelo?

Sí. La letra a) del artículo 49 de la Ley 21.719 exige la designación de un delegado de protección de datos personales como primer elemento mínimo, y la letra b) obliga a definir sus medios y facultades. El artículo 50 regula sus atribuciones. Sin delegado con recursos reales, el modelo no reúne los requisitos del artículo 49.

¿Sirve una certificación ISO 27001 en lugar del modelo del artículo 49?

No la reemplaza. La única certificación que contempla la Ley 21.719 es la del modelo de prevención ante la Agencia, regulada en el artículo 51, y es voluntaria. Estándares como ISO 27001 aportan controles útiles y evidencia de seguridad, pero no son exigidos por esta ley chilena ni sustituyen los siete elementos mínimos del artículo 49.

¿Qué regula el Decreto Supremo N° 662 de 2025?

Aprueba el reglamento previsto en el artículo 51 de la Ley 21.719, dictado por el Ministerio de Hacienda. Establece los requisitos, modalidades y procedimientos para la implementación, certificación, registro y supervisión de los modelos de prevención. Fija además la vigencia de tres años del certificado y pasó por el trámite de toma de razón ante la Contraloría General de la República.

¿Las empresas de menor tamaño también pueden certificar su modelo?

Sí. El artículo 49 de la Ley 21.719 permite que los responsables adopten el modelo voluntariamente, sin distinguir por tamaño. Además, el artículo sexto transitorio faculta a la Agencia para aplicar, durante los primeros doce meses de vigencia, una amonestación por escrito a empresas de menor tamaño de la ley N° 20.416; esa amonestación igual se registra.

¿El modelo debe aparecer en los contratos de trabajo?

Sí. El artículo 49 de la Ley 21.719 exige que la regulación interna del modelo se incorpore expresamente como obligación en los contratos de trabajo o de prestación de servicios de todos los trabajadores y prestadores, incluidos los máximos ejecutivos, o bien en el reglamento interno regulado en los artículos 153 y siguientes del Código del Trabajo.

Fuentes oficiales

• Ley 21.719, texto oficial — Biblioteca del Congreso Nacional (Ley Chile)

Este artículo tiene fines informativos y no constituye asesoría legal para un caso particular.