Valentina es jefa de marketing de una tienda de ropa online en Santiago. Para el Cyber contrata a una agencia que manda los correos masivos: le sube la lista de 20.000 clientes con nombre, correo y lo que compraron. La agencia le manda una cotización y una factura. Contrato, ninguno. Dos meses después, uno de esos clientes recibe publicidad de otra tienda que también es cliente de la agencia, y se pregunta de dónde sacaron su correo.
La agencia de Valentina es lo que la ley llama un encargado: alguien que trata datos personales por cuenta de tu empresa. Y para esa relación, el artículo 15 bis pide un contrato.
Encargado no es lo mismo que cesionario
Conviene distinguir dos cosas, porque la ley las trata distinto:
- Encargo (artículo 15 bis). Le pasas datos a alguien para que haga un trabajo para ti, siguiendo tus instrucciones. Tu empresa sigue siendo la responsable. Ejemplos: la contadora externa que hace las liquidaciones, la agencia de correos masivos, el software de remuneraciones en la nube, el proveedor de un asistente de IA.
- Cesión (artículo 15). Le transfieres datos a otro responsable para que los use para sus propios fines. Ese otro pasa a ser responsable de los datos, y para cederlos necesitas una base: el consentimiento de las personas, un contrato del que sean parte, un interés legítimo o que lo disponga la ley.
La diferencia está en quién decide para qué se usan los datos. Si el artículo pilar te dejó la idea del laboratorio dental que fabrica una corona, ese es un encargado.
Lo que el contrato tiene que decir
El artículo 15 bis es preciso. El contrato entre el responsable y el encargado debe establecer:
- El objeto del encargo. Qué trabajo se encarga.
- La duración.
- La finalidad del tratamiento. Para qué se usan los datos.
- El tipo de datos personales. Nombre, correo, historial de compras.
- Las categorías de titulares. De quiénes son: clientes, trabajadores, postulantes.
- Los derechos y obligaciones de las partes.
Ejemplo. «La agencia enviará, entre el 1 de noviembre de 2026 y el 31 de enero de 2027, las campañas de correo de la tienda a sus clientes, usando sólo su nombre, correo e historial de compras, siguiendo las instrucciones escritas de la tienda».
La Agencia de Protección de Datos pondrá en su sitio web modelos tipo de estos contratos.
Lo que la ley ya le exige al encargado
Aunque el contrato no lo diga, el artículo 15 bis pone reglas que el encargado tiene que cumplir:
- Sólo para lo convenido. No puede tratar los datos para otro objeto, ni cederlos o entregarlos a nadie, salvo que tu empresa lo haya autorizado de forma expresa y específica para cumplir el encargo.
- Secreto y seguridad. Tiene que cumplir el deber de confidencialidad (artículo 14 bis) y las medidas de seguridad (artículo 14 quinquies).
- Avisar si hay un incidente. Si hay una vulneración de seguridad, el encargado tiene que reportarla a tu empresa. Tu empresa, a su vez, evalúa si hay que reportarla a la Agencia (qué hacer ante una filtración).
- No subcontratar sin permiso. No puede delegar el encargo, ni parte de él, sin una autorización específica y por escrito de tu empresa. Si delega, sigue respondiendo solidariamente.
- Borrar o devolver al terminar. Cumplido el servicio, los datos se suprimen o se devuelven, según corresponda.
Aunque la ley ya lo diga, escribirlo en el contrato ayuda: el proveedor lo lee, y tu empresa puede mostrar que lo exigió.
Qué pasa si el encargado se sale del encargo
Es lo que le pasó a la clienta de Valentina, si la agencia usó su correo para otra tienda. La ley es directa: si el encargado trata los datos para otro objeto, o los cede sin autorización, se le considera responsable para todos los efectos legales. Responde personalmente por sus infracciones y solidariamente con tu empresa por los daños causados.
Eso no deja a tu empresa fuera. Sigue siendo la responsable de los datos que entregó, y la persona puede ejercer sus derechos ante ella. Por eso conviene saber a quién se le pasan los datos y por qué.
Lo que conviene revisar ahora
Toma la lista de datos de tu empresa y, para cada proveedor que toque datos personales, pregúntate:
- ¿Hay contrato? ¿Dice objeto, duración, finalidad, tipo de datos y de quiénes?
- ¿Prohíbe usar los datos para otra cosa?
- ¿Dice si puede subcontratar, y a quién?
- ¿Dice qué hace con los datos al terminar?
- ¿Dónde procesa los datos? Si es fuera de Chile, además aplican las reglas de transferencia internacional.
El proveedor de IA también es un encargado
Cuando un colaborador pega el reclamo de un cliente en un asistente de IA, el proveedor de ese asistente está tratando datos por cuenta de tu empresa. Si lo hace con su cuenta personal de un chat gratuito, no hay contrato de encargo: hay unos términos de uso que aceptó una persona, no tu empresa. Lo explicamos en Tus colaboradores usan IA con su cuenta personal.
Con Plumii, en el plan de empresa, tu empresa es la responsable y Plumii el encargado, y la relación queda por escrito en un contrato de encargo de tratamiento. Los modelos corren fuera de Chile con un proveedor bajo contrato que no puede usar lo que se escribe para entrenar, y Plumii tampoco usa los datos para entrenar ningún modelo. Mira los planes.
Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.