Fiscalización de la Agencia de Protección de Datos: ¿Cómo prepararse para una inspección?

¿Qué es la Agencia de Protección de Datos Personales?

La Agencia de Protección de Datos Personales es el organismo público creado por la Ley 21.719 para velar por el cumplimiento de la normativa de protección de datos en Chile. Es la autoridad encargada de fiscalizar, sancionar y promover el derecho a la protección de datos personales.

La Agencia tiene independencia funcional y administrativa, y cuenta con facultades para:

• ●Fiscalizar de oficio o a petición de parte el cumplimiento de la ley
• ●Requerir información y documentación a las organizaciones
• ●Realizar inspecciones in situ en las dependencias de las organizaciones
• ●Ordenar medidas cautelares y correctivas
• ●Aplicar sanciones, incluyendo multas de hasta 20.000 UTM
• ●Publicar un registro de sanciones
• ●Emitir instructivos y recomendaciones
• ●Promover la educación y concienciación en protección de datos

La Agencia comenzará a operar plenamente desde diciembre de 2026, y se espera que gradualmente aumente su capacidad fiscalizadora.

¿Cómo será el proceso de fiscalización?

El proceso de fiscalización de la Agencia de Protección de Datos puede iniciarse de dos formas:

1. De oficio: la Agencia decide fiscalizar a una organización por iniciativa propia, basándose en criterios de riesgo, denuncias públicas o sectores prioritarios. 2. A petición de parte: un titular de datos presenta una reclamación formal ante la Agencia, lo que activa un proceso de investigación.

El proceso típico de fiscalización incluye las siguientes etapas:

1. Notificación: la Agencia comunica formalmente el inicio del proceso de fiscalización, indicando el alcance y los documentos requeridos 2. Requerimiento de información: la organización debe entregar la documentación solicitada en un plazo determinado 3. Inspección in situ (opcional): funcionarios de la Agencia visitan las instalaciones para verificar los procesos 4. Análisis y evaluación: la Agencia analiza la documentación y las evidencias recopiladas 5. Formulación de cargos: si se detectan incumplimientos, se notifican los cargos a la organización 6. Descargos: la organización tiene la oportunidad de presentar sus descargos y evidencias 7. Resolución: la Agencia dicta una resolución que puede incluir sanciones, medidas correctivas o el archivo del caso

La duración del proceso puede variar desde semanas hasta meses, dependiendo de la complejidad del caso y la colaboración de la organización fiscalizada.

Documentos que solicitará la Agencia

Durante una fiscalización, la Agencia puede solicitar una amplia gama de documentos y evidencias. Los más comunes incluyen:

• ●Documentos de gobernanza:
• ●Registro de Actividades de Tratamiento (RAT) actualizado
• ●Designación formal del DPO (si corresponde)
• ●Políticas y procedimientos de protección de datos
• ●Matriz de roles y responsabilidades

• ●Documentos de consentimiento y derechos:
• ●Modelos de consentimiento informado utilizados
• ●Registro de solicitudes de derechos ARCO
• ●Procedimientos para la atención de titulares
• ●Cláusulas de información en formularios de recolección

• ●Documentos de seguridad:
• ●Evaluaciones de Impacto en Protección de Datos (EIPD)
• ●Medidas de seguridad técnicas y organizativas implementadas
• ●Procedimientos de notificación de brechas
• ●Resultados de pruebas de seguridad y auditorías

• ●Documentos contractuales:
• ●Contratos con encargados de tratamiento incluyendo cláusulas DPA
• ●Acuerdos de confidencialidad con empleados
• ●Contratos con proveedores que acceden a datos personales

• ●Documentos de capacitación:
• ●Registros de capacitación al personal
• ●Material de formación en protección de datos
• ●Evaluaciones de concienciación

La falta de documentación puede ser considerada en sí misma un incumplimiento, ya que la ley exige que las organizaciones puedan demostrar su cumplimiento.

Sanciones y consecuencias

Las sanciones que puede aplicar la Agencia van más allá de las multas económicas:

• ●Multas:
• ●Infracciones leves: hasta 5.000 UTM (~$353M CLP)
• ●Infracciones graves: hasta 10.000 UTM (~$706M CLP)
• ●Infracciones gravísimas: hasta 20.000 UTM (~$1.412M CLP)

• ●Otras consecuencias:
• ●Publicación en el Registro Nacional de Sanciones
• ●Suspensión temporal o definitiva del tratamiento de datos
• ●Obligación de implementar medidas correctivas específicas
• ●Publicación de la resolución sancionatoria en el sitio web de la Agencia

• ●Además, las organizaciones sancionadas pueden enfrentar:
• ●Daño reputacional significativo
• ●Pérdida de clientes que exigen cumplimiento normativo
• ●Exclusión de licitaciones que requieren evidencia de cumplimiento
• ●Demandas civiles de los titulares afectados

Para calcular el riesgo financiero de su organización, use nuestra calculadora de multas interactiva.

Estrategia de preparación para una fiscalización

La mejor estrategia para enfrentar una fiscalización es estar preparado antes de que ocurra. Recomendamos seguir estos pasos:

1. Realizar un diagnóstico inicial de cumplimiento para identificar brechas. Puede comenzar con nuestra evaluación gratuita. 2. Implementar un programa de cumplimiento estructurado con hitos y responsables 3. Documentar todo: cada decisión, cada proceso, cada medida de seguridad debe estar documentada 4. Mantener el RAT actualizado como documento vivo 5. Capacitar al personal de forma continua y registrar las capacitaciones 6. Realizar auditorías internas periódicas para verificar el estado del cumplimiento 7. Designar un interlocutor para la Agencia (puede ser el DPO) 8. Preparar un kit de fiscalización con todos los documentos clave organizados y accesibles

La preparación anticipada no solo reduce el riesgo de sanciones, sino que también demuestra a la Agencia una actitud proactiva y de buena fe, lo que puede influir positivamente en la resolución del caso.