Gonzalo es gerente general de una empresa de buses interprovinciales con base en Puerto Montt. En una reunión de gremio escucha que «ahora hay que tener un delegado de datos» y vuelve a la oficina pensando en contratar a alguien. Antes de publicar el aviso, le pide a su asistente que busque qué dice la ley exactamente. La respuesta lo sorprende: no es obligatorio. Pero tampoco es irrelevante.
Lo obligatorio y lo voluntario
La ley separa dos cosas en dos artículos seguidos:
- El artículo 48 es obligatorio. Toda empresa responsable de datos, grande o chica, pública o privada, debe adoptar acciones destinadas a prevenir las infracciones de la ley.
- El artículo 49 es voluntario. Las empresas «podrán voluntariamente» adoptar un modelo de prevención de infracciones, que consiste en un programa de cumplimiento con ciertos elementos mínimos.
Es decir: prevenir es un deber; hacerlo con un modelo formal, que la Agencia puede certificar, es una opción.
Qué tiene que contener el programa
El artículo 49 enumera los elementos mínimos:
- Un delegado de protección de datos personales, designado.
- Los medios y facultades de ese delegado, definidos.
- Qué datos trata la empresa: el tipo de información, el ámbito territorial, las categorías de datos o bases de datos que administra y quiénes son los titulares.
- Dónde está el riesgo: las actividades o procesos, habituales o esporádicos, en que aumenta el riesgo de cometer infracciones.
- Protocolos, reglas y procedimientos para que las personas que participan en esas actividades trabajen de un modo que prevenga las infracciones.
- Mecanismos de reporte interno sobre el cumplimiento, y de reporte a la Agencia para los casos de vulneraciones de seguridad del artículo 14 sexies.
- Sanciones administrativas internas y procedimientos de denuncia para quien incumpla el sistema.
Y una regla práctica: lo que el programa establezca tiene que quedar como obligación en los contratos de trabajo o de prestación de servicios de todos —incluidos los máximos ejecutivos— o en el reglamento interno de la empresa.
Ejemplo. En la empresa de Gonzalo, el punto 4 incluiría la venta de pasajes (nombre, RUT, teléfono de cada pasajero), la nómina de conductores con sus licencias de conducir y, si los vendedores usan IA para responder reclamos, ese uso también.
El delegado de protección de datos
El artículo 50 dice cómo es el delegado:
- Lo designa la máxima autoridad: el directorio, un socio administrador o la máxima autoridad de la empresa.
- Tiene autonomía respecto de la administración en las materias de esta ley.
- Puede tener otras funciones, siempre que no generen conflicto de interés.
- En las micro, pequeñas y medianas empresas, el dueño o sus máximas autoridades pueden asumir personalmente las tareas de delegado.
- Un grupo de empresas con los mismos estándares puede tener un único delegado, si es accesible para todas.
- Tiene que ser idóneo: capacidad y conocimientos específicos para la función.
- Guarda estricto secreto de los datos que conoce.
- La empresa le da los medios: recursos materiales suficientes, según su tamaño y capacidad económica.
Sus funciones, según la ley: informar y asesorar a la empresa, a sus proveedores que tratan datos y a sus trabajadores; promover la política de datos y supervisar que se cumpla; preocuparse de la formación permanente de quienes tratan datos; ayudar a identificar riesgos y medidas; hacer un plan anual de trabajo y rendir cuenta; responder las consultas y solicitudes de las personas; y ser el punto de contacto de la Agencia.
Las personas pueden escribirle directamente al delegado sobre el tratamiento de sus datos y sus derechos. Y si la empresa tiene encargado de prevención, la política de privacidad tiene que identificarlo (artículo 14 ter, letra b).
La certificación
El artículo 51 dice que la Agencia certifica que el modelo reúne los requisitos de la ley y de su reglamento, y lo supervisa. Las empresas con certificado vigente quedan inscritas en el Registro Nacional de Sanciones y Cumplimiento, que es público. Un reglamento fija los requisitos y el procedimiento.
El certificado dura tres años (artículo 52). Termina antes, entre otras causas, si la Agencia lo revoca, si la empresa se disuelve, por resolución judicial o si cesa la actividad. La Agencia puede revocarlo si la empresa no cumple, y para volver a pedirlo hay que acreditar que se corrigió la causa (artículo 53). Entregar a sabiendas información falsa en la certificación es infracción gravísima (artículo 34 quáter, letra j).
Por qué cuenta como atenuante
Entre las atenuantes del artículo 36 está «el haber cumplido diligentemente sus deberes de dirección y supervisión para la protección de los datos personales», y la ley dice cómo se verifica: con el certificado del artículo 51. Si algún día la Agencia sanciona a la empresa, tener el modelo certificado se considera al fijar la sanción. El detalle de cómo se calculan las multas está en Las multas de la Ley 21.719.
Más allá de la atenuante, el ejercicio sirve por sí solo: el punto 3 es la lista de datos de la empresa, el punto 4 es saber dónde puede fallar, y el punto 6 es tener armado el aviso de una filtración.
Qué decidió Gonzalo
No contrató a nadie. Designó como delegada a la jefa de administración, que ya conocía todos los procesos, con horas y presupuesto definidos. Empezó por el punto 3 y el 4. La certificación la dejó para después de tener el programa funcionando.
Dónde ayuda Plumii
Si en tu empresa se usa IA, ese uso es una de las actividades del punto 4. Plumii aporta piezas concretas: una regla por tipo de dato que la empresa define (punto 5), un registro de uso —quién, cuándo, con qué modelo, qué datos traía cada mensaje y qué regla se aplicó, sin las conversaciones— que sirve como reporte interno (punto 6), y capacitación a los colaboradores para usar la IA con cuidado, que va en la línea de la formación permanente que la ley le encarga al delegado. No reemplaza el programa ni al delegado. Mira cómo funciona.
Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.