Decreto N° 662: ya existe el reglamento para certificar su Modelo de Prevención de Infracciones de Datos Personales
El 9 de septiembre de 2026 el Diario Oficial publicó el Decreto N° 662 del Ministerio de Hacienda, el reglamento que faltaba desde que la Ley N° 21.719 incorporó a la Ley N° 19.628 el llamado "Modelo de Prevención de Infracciones" (MPI). El decreto fue firmado en junio de 2025 y pasó más de un año en trámite de toma de razón en la Contraloría General de la República; hoy ya es una norma vigente y aplicable.
En simple: ya no hay excusa para "esperar el reglamento". Las reglas del juego están escritas. Quien quiera certificar su modelo de cumplimiento en protección de datos personales —y usarlo como atenuante frente a una fiscalización de la futura Agencia— ya sabe exactamente qué debe construir.
Lo primero que hay que entender
La adopción del MPI es voluntaria, para cualquier responsable de datos, persona natural o jurídica, pública o privada. Pero adoptarlo no reemplaza la obligación general de toda organización de prevenir infracciones a la Ley N° 19.628 y cumplirla. Es decir: cumplir es obligatorio para todos; certificar el modelo ante la Agencia es la decisión estratégica que marca la diferencia entre "cumplo y no lo puedo demostrar" y "cumplo y tengo un certificado público que lo acredita".
Los 8 pilares que exige el reglamento
El artículo 3° del decreto detalla, en diez literales, el contenido mínimo del programa de cumplimiento. Para efectos prácticos, los agrupamos en ocho pilares que toda organización debe construir:
Individualización del responsable de datos y su representante legal.
Delegado de Protección de Datos, con sus medios, facultades y autonomía claramente definidos.
Registro de Actividades de Tratamiento (RAT): qué datos se tratan, de qué categorías, con qué fines, desde qué fuentes y con qué base de licitud.
Matriz de riesgos, construida a partir de las actividades con mayor probabilidad de infracción, graduada según las sanciones de la ley.
Protocolos y procedimientos internos diferenciados según el tipo de dato y el riesgo de cada operación de tratamiento.
Canales de reporte interno y denuncia protegida, con reserva de identidad garantizada para quien denuncia.
Régimen sancionatorio interno, incorporado a los contratos de trabajo y al reglamento interno de la empresa.
Difusión y capacitación permanente del programa entre trabajadores, empleados y prestadores de servicio.
El Delegado de Protección de Datos, con reglas más claras
El reglamento dedica un párrafo completo —ocho artículos— a esta figura, obligatoria en el marco de la certificación. Algunos puntos que muchas empresas todavía no tienen resueltos:
El delegado puede ser un dependiente de la empresa o prestar el servicio externamente; en ese caso, el contrato debe individualizar a la persona natural que ejercerá el cargo.
En micro, pequeñas y medianas empresas, el propio dueño puede asumir personalmente las funciones de delegado.
Empresas de un mismo grupo empresarial o sujetas a un mismo controlador (Ley de Mercado de Valores) pueden compartir un único delegado, si operan bajo los mismos estándares y es accesible para todas.
El delegado no puede tener conflictos de interés ni supervisar actividades sobre las que después deba pronunciarse en su rol de delegado.
Debe rendir cuenta directamente ante la máxima autoridad y presentar un plan anual de trabajo.
Cómo funciona la certificación
La Agencia de Protección de Datos Personales certificará los modelos que cumplan con la ley y este reglamento, incorporará a la entidad certificada al Registro Nacional de Sanciones y Cumplimiento —de acceso público, consultable por terceros y en procesos de licitación— y la certificación tendrá una vigencia de tres años, renovable. La Agencia también podrá supervisar los modelos certificados y revocar la certificación de forma fundada si detecta incumplimientos.
Por qué esto es una ventana, no una urgencia menor
La entrada en vigencia plena de la Ley N° 21.719 sigue fijada, por ahora, para el 1 de diciembre de 2026. Existe un proyecto de ley que busca postergarla un año, hasta diciembre de 2027, pero sigue en trámite en el Congreso: no está aprobado ni es ley todavía. Se apruebe o no, el resultado práctico es el mismo para cualquier organización seria: los ocho pilares ya están definidos por decreto, el proceso de certificación ya tiene reglas, y construir un Modelo de Prevención de Infracciones toma meses, no semanas. Esperar la fecha límite —cualquiera que termine siendo— es la peor estrategia posible.
La invitación
En Pallavicini Consultores llevamos más de 28 años ayudando a organizaciones chilenas a transformar exigencias regulatorias en ventaja competitiva. Si su empresa trata datos personales —y hoy prácticamente todas lo hacen— este es el momento de diagnosticar dónde está parada frente a los ocho pilares del Decreto N° 662 y definir una hoja de ruta hacia la certificación.
Escríbanos y agendemos una conversación de 30 minutos para revisar el estado de su organización frente al nuevo reglamento. La norma ya existe; la decisión de estar preparados es suya.
