Delegado de Protección de Datos (DPO) en Chile: ¿Qué es y cuándo es obligatorio?

¿Qué es un Delegado de Protección de Datos (DPO)?

El Delegado de Protección de Datos, conocido también como DPO por sus siglas en inglés (Data Protection Officer), es un rol clave dentro de la estructura de cumplimiento de la Ley 21.719. Se trata de la persona natural o jurídica designada por el responsable del tratamiento para informar, asesorar y supervisar el cumplimiento de la normativa de protección de datos personales dentro de una organización.

A diferencia de lo que muchos piensan, el DPO no es un cargo necesariamente full-time ni requiere una formación específica regulada por ley. Sin embargo, sí debe contar con los conocimientos técnicos y legales suficientes para desempeñar sus funciones de manera efectiva.

El DPO actúa como un puente entre la organización, los titulares de los datos y la Agencia de Protección de Datos Personales. Su rol es fundamentalmente preventivo y de supervisión, no ejecutivo: asesora pero no toma las decisiones operativas sobre el tratamiento de datos.

¿Cuándo es obligatorio designar un DPO?

La Ley 21.719 establece que la designación de un DPO es obligatoria en los siguientes casos:

• ●Cuando el responsable o encargado del tratamiento sea una autoridad u organismo público
• ●Cuando las actividades principales del responsable o encargado impliquen operaciones de tratamiento que requieran una observación regular y sistemática de titulares a gran escala
• ●Cuando las actividades principales impliquen tratamiento a gran escala de datos sensibles o datos relativos a condenas e infracciones penales

Para la mayoría de las empresas chilenas, la obligatoriedad dependerá del volumen y tipo de datos que traten. Una empresa que maneje datos de salud de miles de clientes probablemente requerirá un DPO. Una PyME que solo procese datos básicos de contacto podría no estar obligada, aunque siempre es recomendable tenerlo.

Es importante destacar que incluso cuando no es obligatorio, muchas organizaciones optan por designar un DPO voluntariamente como parte de sus buenas prácticas de gobierno corporativo y preparación para la ley.

Funciones principales del DPO

El DPO tiene un conjunto de funciones definidas por la ley que incluyen:

1. Informar y asesorar al responsable y a los empleados sobre sus obligaciones en materia de protección de datos 2. Supervisar el cumplimiento de la normativa, incluyendo la asignación de responsabilidades y la capacitación del personal 3. Realizar o supervisar las Evaluaciones de Impacto en Protección de Datos (EIPD) 4. Cooperar con la Agencia de Protección de Datos Personales y actuar como punto de contacto 5. Atender las consultas de los titulares respecto al tratamiento de sus datos 6. Mantener un registro actualizado de las actividades de tratamiento 7. Documentar y reportar incidentes de seguridad

El DPO debe tener acceso directo a la alta dirección de la organización para poder desempeñar sus funciones sin restricciones. Además, la ley protege al DPO contra cualquier despido o sanción relacionada con el ejercicio de sus funciones.

Perfil y requisitos del DPO

La Ley 21.719 no exige una certificación específica para ser DPO, pero sí requiere que la persona designada cuente con:

• ●Conocimientos especializados en derecho y práctica en materia de protección de datos
• ●Capacidad para desempeñar las funciones asignadas
• ●Independencia en el ejercicio de sus funciones
• ●Ausencia de conflicto de intereses

En la práctica, los DPO suelen ser abogados especializados en protección de datos, profesionales de seguridad de la información (CISSP, CISM) o auditores con experiencia en cumplimiento normativo.

El perfil ideal combina conocimientos legales (para interpretar la normativa), técnicos (para entender los sistemas de información y medidas de seguridad) y de gestión (para coordinar los esfuerzos de cumplimiento en toda la organización).

Las empresas más pequeñas que no pueden costear un DPO interno tienen la opción de contratar un DPO externo o un servicio de DPO as a Service, figura perfectamente válida según la ley.

DPO interno vs externo: ¿cuál elegir?

La ley permite que el DPO sea un miembro de la organización (DPO interno) o un proveedor externo (DPO externo). Cada opción tiene ventajas y desventajas:

• ●DPO interno:
• ●Conoce en profundidad la cultura y los procesos de la organización
• ●Está disponible de forma permanente para consultas internas
• ●Puede tener sesgos o falta de independencia
• ●Requiere inversión en capacitación y desarrollo profesional

• ●DPO externo:
• ●Mayor objetividad e independencia
• ●Acceso a experiencia multidisciplinaria (varios clientes, múltiples industrias)
• ●Costo compartido entre varias organizaciones
• ●Menor conocimiento del negocio específico

Para PyMEs y empresas medianas, el DPO externo suele ser la opción más costo-efectiva, ya que permite acceder a experiencia especializada sin el costo de un empleado full-time.

¿Cómo preparar su organización para el DPO?

Independientemente de si la designación de un DPO es obligatoria para su organización o no, recomendamos seguir estos pasos:

1. Evaluar si su organización requiere un DPO obligatorio según los criterios de la ley. Puede usar nuestro diagnóstico gratuito de cumplimiento para identificar sus obligaciones específicas. 2. Definir el perfil del DPO según el tamaño y complejidad de su organización 3. Establecer las funciones, responsabilidades y posición jerárquica del DPO 4. Asegurar los recursos necesarios (presupuesto, acceso a información, personal de apoyo) 5. Documentar la designación formalmente y comunicarla a toda la organización 6. Implementar un plan de capacitación continua para el DPO y el personal clave

La designación de un DPO es solo uno de los muchos pasos necesarios para cumplir con la Ley 21.719. Le recomendamos realizar nuestra evaluación gratuita de cumplimiento para obtener una visión completa del nivel de preparación de su organización.