Delegado de Protección de Datos en Chile: ¿es obligatorio?

El 1 de diciembre de 2026 la Ley 21.719 entra en vigencia plena y con ella aparece una figura que genera dudas en casi toda pyme: el delegado de protección de datos (DPO, por su sigla en inglés). La pregunta que más nos llega es siempre la misma: ¿estoy obligado a contratar uno? La respuesta corta: no toda empresa en Chile necesita un delegado de protección de datos, pero hay casos concretos en que sí, y otros en que designarlo es la decisión más inteligente aunque la ley no te obligue.

Este artículo aclara cuándo el DPO es obligatorio en Chile, qué hace y cómo elegir entre uno interno o externo sin sobredimensionar el gasto.

¿Quieres saber en 2 minutos si tu empresa necesita un DPO? Nuestro test gratuito de cumplimiento Ley 21.719 te muestra tus brechas al instante. Si aún no dominas la ley, parte por la guía completa de la Ley 21.719.

Qué es un delegado de protección de datos (DPO)

El delegado de protección de datos es la persona —interna o externa— que vela por que una organización trate los datos personales conforme a la ley. No es un cargo decorativo ni un abogado de cabecera: es el punto de contacto entre la empresa, los titulares de los datos (tus clientes, trabajadores y proveedores) y la nueva Agencia de Protección de Datos Personales.

Sus funciones, según la Ley 21.719 y la guía oficial de la Secretaría de Gobierno Digital, son cuatro:

• Informar y asesorar al responsable sobre sus obligaciones legales.
• Supervisar el cumplimiento de la ley y de las políticas internas de datos.
• Cooperar con la Agencia y actuar como su interlocutor.
• Ser el punto de contacto para los titulares que ejercen sus derechos.

En el mundo se le conoce como DPO (Data Protection Officer). La Ley 21.719 adopta la misma idea que el reglamento europeo (GDPR), pero con reglas propias sobre cuándo es exigible. Y ahí está la diferencia que importa.

¿Es obligatorio el delegado de protección de datos en Chile?

Aquí está la clave que casi nadie explica bien: la Ley 21.719 no obliga a toda empresa a nombrar un delegado de protección de datos. A diferencia de lo que muchos asumen, no basta con “tratar datos” para quedar obligado. La exigencia aparece con claridad en dos planos:

1. Organismos públicos y tratamientos de alto riesgo. Los órganos del Estado deben designar un delegado. Y las empresas privadas cuya actividad principal consiste en el tratamiento a gran escala de datos sensibles o en el monitoreo sistemático y a gran escala de personas son el caso que la doctrina especializada señala como exigible: un criterio de estilo europeo (GDPR) que la ley chilena no fija con un umbral numérico exacto. Si tu negocio central es salud, seguros con perfilamiento o vigilancia masiva de comportamiento, asume que entras aquí y designa uno.

2. El Modelo de Prevención de Infracciones. En este plano la obligación es inequívoca: si tu empresa decide adoptar y certificar este modelo de cumplimiento, designar un delegado de protección de datos es un elemento obligatorio. Más abajo lo explicamos en detalle.

Para el resto —la mayoría de las pymes chilenas— la ley no exige un DPO formal. Una empresa que no trata datos sensibles a gran escala puede cumplir la Ley 21.719 sin nombrar un delegado, siempre que tenga su registro de actividades de tratamiento (RAT) y sus procesos en orden. Pero “no obligatorio” no es lo mismo que “no conviene”.

Los dos casos “probables” son la lectura tipo GDPR que aplican los especialistas; la ley no los fija con un umbral cerrado. Las obligaciones inequívocas son los organismos públicos y quien certifica un Modelo de Prevención de Infracciones.

El DPO dentro del Modelo de Prevención de Infracciones

El Modelo de Prevención de Infracciones (MPI) es un programa de cumplimiento voluntario que introdujo la Ley 21.719 (artículos 49 a 53) y que detalla el Decreto Supremo 662/2025 de Hacienda. Piénsalo como el equivalente, en datos personales, a los modelos de prevención de delitos que ya conoces de la Ley 20.393.

¿Por qué adoptarlo si es voluntario? Por una razón muy concreta: certificar el modelo ante la Agencia funciona como atenuante si algún día te fiscalizan y encuentran una infracción. Según el análisis del reglamento del Decreto 662/2025 publicado en Diario Constitucional, la certificación dura 3 años, es renovable y queda inscrita en un registro público de cumplimiento.

El precio de entrada a ese beneficio es armar el modelo completo, y el delegado de protección de datos es una de sus piezas obligatorias, junto con el RAT, la matriz de riesgos, los protocolos, los canales de denuncia interna, el régimen de sanciones internas y la capacitación.

¿Vale la pena? Depende de cuánto arriesgues. Las infracciones más graves de la Ley 21.719 pueden llegar a multas de hasta 20.000 UTM y, en los casos más severos, a un porcentaje de los ingresos anuales. Con ese piso, tener un responsable formal deja de parecer burocracia. Revisamos el detalle de sanciones y plazos en el checklist de adecuación a la Ley 21.719.

Qué hace un DPO en el día a día

Un delegado de protección de datos que funciona hace cosas muy tangibles:

• Mantiene vivo el RAT: el inventario de qué datos tratas, para qué y con qué base legal. Sin este registro, el DPO trabaja a ciegas.
• Asesora en las evaluaciones de impacto (DPIA) cuando hay tratamientos de alto riesgo, como biometría o perfilamiento.
• Gestiona los derechos ARCO (acceso, rectificación, cancelación y oposición) que ejerzan tus clientes o trabajadores, dentro de los plazos legales.
• Coordina el protocolo ante brechas de seguridad, un punto donde se cruza con tu estrategia de ley de ciberseguridad para pymes.
• Capacita al equipo que toca datos: ventas, RR.HH., soporte y marketing.
• Es el interlocutor formal con la Agencia si esta pregunta o fiscaliza.

Un detalle que se pasa por alto: el delegado debe poder ejercer sin conflicto de interés y con acceso directo a la máxima autoridad. No puede ser la misma persona que decide sobre los tratamientos que debe supervisar.

DPO interno o externo: qué le conviene a una pyme

La ley permite que el delegado sea un empleado interno o un profesional externo contratado. Para una pyme, la segunda opción suele ser la más razonable: pagas por horas o por proyecto, sin sumar un sueldo completo a la planilla.

La figura del DPO externo o “fraccional” —un especialista que presta el servicio por horas— existe justamente para que empresas con recursos limitados accedan a asesoría experta sin el costo de un cargo in-house. Lo importante no es dónde se sienta el delegado, sino que tenga idoneidad, independencia y acceso para hacer su trabajo.

Cómo designar un delegado de protección de datos

Si concluyes que lo necesitas —por obligación o por convicción—, el nombramiento es sencillo, pero tiene requisitos que no conviene saltarse:

1. Designación formal por la máxima autoridad (directorio o gerencia general), por escrito.
2. Perfil idóneo: conocimiento de la ley, de tus procesos y capacidad de trabajar con independencia.
3. Recursos y acceso: el delegado debe poder entrar a las áreas relevantes y reportar hacia arriba sin filtros.
4. Canal de contacto público: un correo o formulario visible para que titulares y la Agencia lo ubiquen.
5. Parte por el RAT: sin el registro de actividades de tratamiento al día, cualquier delegado empieza en desventaja.

Ese último punto es el que más orden entrega. Por eso, en nuestro checklist de la Ley 21.719, el RAT y el responsable designado son los primeros pasos, no los últimos.

No empieces por el nombramiento, empieza por el diagnóstico

El delegado de protección de datos no es un trámite que se resuelve firmando un papel. Es una función que solo sirve si detrás hay un RAT vivo, procesos que dejan rastro y un responsable con acceso real a la operación. Decidir si lo necesitas —y si conviene interno o externo— es parte del diagnóstico de adecuación, no un paso aislado.

En Softdigital ayudamos a pymes chilenas a llegar al 1 de diciembre de 2026 con su adecuación a la Ley 21.719 resuelta: definimos si necesitas un DPO, armamos el registro de actividades de tratamiento y dejamos los procesos con trazabilidad. Parte por el test gratuito de cumplimiento o agenda un diagnóstico de 15 minutos: sin compromiso, con propuesta a precio fijo en menos de 24 horas.