Chile finalmente cuenta con una ley moderna de protección de datos: la Ley N° 21.719, publicada en diciembre de 2024. Esta normativa no solo refuerza los derechos de los ciudadanos sobre su información personal, sino que también introduce la figura del Delegado de Protección de Datos (DPO), un rol clave para garantizar que empresas y organismos cumplan con las nuevas exigencias y manejen los datos de forma segura y responsable.
¿Es obligatorio designar un DPO?
La designación de un DPO no es obligatoria en todos los casos, pero sí altamente recomendada. La Ley N° 21.719 establece que las organizaciones pueden nombrar un DPO como parte de un Modelo de prevención de infracciones, el cual es voluntario.
Este modelo, definido en los artículos 49 y 50 de la Ley, busca ayudar a las empresas a cumplir con la normativa y reducir riesgos de sanciones. Sin embargo, aunque su implementación no es un requisito obligatorio, en la práctica, el DPO se convierte en la figura clave para garantizar el cumplimiento de la Ley, actuar como enlace con la Agencia de protección de datos y gestionar consultas o reclamos de los titulares de datos.
En resumen, si bien la ley no exige de manera general que todas las empresas nombren un DPO, aquellas que quieran demostrar un compromiso serio con la protección de datos y evitar problemas legales, deberían considerar seriamente su designación.
Funciones principales del DPO
El Delegado de Protección de Datos (DPO) es la persona encargada de asegurarse de que una empresa u organismo público maneje la información personal de manera adecuada y dentro del marco legal. Su rol no solo implica supervisar el cumplimiento de la ley, sino también educar a la organización, gestionar riesgos y servir como enlace con la agencia de protección de datos personales.
Obligaciones del DPO
- Asesorar y capacitar: Explicar a la empresa y sus empleados qué deben hacer para cumplir con la normativa de protección de datos y qué riesgos deben evitar.
- Supervisar el cumplimiento: Encargarse de que la organización respete la normativa vigente y que sus políticas internas reflejen las exigencias de la ley.
- Evaluar impactos: Participar en la identificación de riesgos al manejar datos personales y asesorar en la implementación de medidas para minimizar posibles daños.
- Enlace con la agencia de protección de datos: Actuar como representante de la empresa ante la autoridad reguladora, facilitando auditorías y respondiendo a consultas oficiales.
- Atender a los titulares de datos: Responder preguntas, solicitudes de acceso, corrección o eliminación de datos, asegurando que los ciudadanos puedan ejercer sus derechos de manera efectiva.
Designación del DPO
No todas las empresas tienen las mismas exigencias cuando se trata de la designación de un Delegado de Protección de Datos (DPO), y desgraciadamente, tampoco el mismo presupuesto para designarlo, pero por suerte, esta ley es un poco flexible en cuanto este rol.
La Ley N° 21.719 establece que las grandes empresas deben nombrar un DPO independiente y especializado, mientras que en el caso de las pequeñas y medianas empresas (PYMEs), la responsabilidad puede recaer en el dueño o en la persona que lidera el negocio. Esto permite que cada organización adopte un enfoque acorde con su tamaño y capacidad operativa.
DPO en grandes empresas
Las grandes empresas están obligadas a contar con un DPO que opere con autonomía, sin conflictos de interés y con los recursos adecuados para desempeñar su labor. Este profesional debe estar involucrado en la toma de decisiones estratégicas sobre protección de datos y asegurarse de que la organización cumpla con la normativa. Para ello, debe contar con acceso a herramientas tecnológicas, personal de apoyo y formación continua en regulación y seguridad de la información.
Ejemplos de integración del DPO en decisiones estratégicas:
- Evaluación de riesgos: Participa en la identificación y mitigación de riesgos asociados al tratamiento de datos personales.
- Diseño de productos y servicios: Asegura que desde la etapa inicial los proyectos cumplan con los principios de privacidad y seguridad.
- Auditorías internas: Coordina revisiones periódicas para garantizar el cumplimiento de la normativa y detectar posibles vulnerabilidades.
- Políticas de seguridad: Contribuye en la definición e implementación de medidas de protección de datos dentro de la empresa.
DPO en pequeñas y medianas empresas (PYMEs)
Las PYMEs tienen mayor flexibilidad en la designación del DPO. En muchos casos, el dueño o el gerente general pueden asumir este rol, siempre y cuando cuenten con conocimientos requeridos en protección de datos. Sin embargo, debido a limitaciones de recursos, muchas PYMEs pueden optar por soluciones externas.
Fractional DPO y MSPs: Alternativas para PYMEs
Para aquellas empresas que no pueden contar con un DPO a tiempo completo, existen algunas soluciones tipo Fractional DPO, un profesional externo que presta sus servicios por horas o proyectos específicos o también los proveedores de servicios externos (MSPs), empresas especializadas que gestionan la protección de datos y ayudan a cumplir con la normativa. Estas soluciones permiten que las PYMEs accedan a asesoría experta sin asumir costos elevados.
Requisitos para la designación del DPO
Elegir al Delegado de Protección de Datos (DPO) no es una decisión menor. La persona designada debe contar con un sólido conocimiento en legislación de protección de datos y experiencia en la aplicación de buenas prácticas para el tratamiento seguro de información personal. Además, es fundamental que pueda actuar con autonomía, sin presiones internas que afecten su objetividad, y que cuente con los recursos necesarios para cumplir con sus responsabilidades.
Requisitos clave para el DPO:
- Conocimiento en normativas de protección de datos: Debe estar familiarizado con la Ley N° 21.719 y otros estándares internacionales como el GDPR y Directiva NIS 2 de la Unión Europea.
- Formación en seguridad de la información: Es ideal que tenga experiencia en ciberseguridad, auditoría de datos y gestión de riesgos.
- Independencia en la toma de decisiones: No debe estar sujeto a presiones que comprometan su rol de fiscalización dentro de la empresa.
- Capacidad de comunicación y liderazgo: Su función implica coordinar equipos, capacitar empleados y asesorar a la alta dirección.
- Acceso a herramientas y recursos: Para cumplir su trabajo, necesitará apoyo constantes de otros roles y herramientas de seguridad utilizadas en la organización tales como:
- Plataformas de gestión de privacidad y cumplimiento (OneTrust, TrustArc, Vanta).
- Sistemas de seguridad de dispositivos y MDM (Mobile Device Management) para proteger y validad los controles de seguridad de dispositivos como celulares, laptops y tablets corporativos y sus datos (Prey, Miradore, Kandji)
- Software de monitoreo de amenazas y detección de vulnerabilidades (Splunk, Tenable, Qualys).
- Herramientas de gestión de acceso e identidad (Okta, Microsoft Entra, Ping Identity).
- Sistemas de encriptación y resguardo de datos para proteger información sensible en tránsito y en reposo.
Beneficios de contar con un DPO en la organización
Un Delegado de Protección de Datos (DPO) no solo ayuda a que la empresa cumpla con la ley, sino que también mejora la gestión de la información personal y refuerza la seguridad digital. Su supervisión permite implementar controles efectivos para proteger datos sensibles, prevenir accesos no autorizados y reducir la exposición a ciberataques. Además, al asesorar en prácticas seguras para el almacenamiento y tratamiento de datos, contribuye a evitar filtraciones y fraudes que puedan comprometer a la organización y a sus clientes.
Contar con un DPO también minimiza riesgos legales y financieros. Su labor garantiza que la empresa respete los derechos de los titulares de datos y evite sanciones por incumplimiento normativo. Además, fortalece la confianza de clientes, socios y reguladores, demostrando un compromiso real con la privacidad. Al mantenerse alineado con estándares internacionales como el GDPR, el DPO facilita la expansión a mercados globales y permite establecer relaciones comerciales con organizaciones que exigen altos niveles de protección de datos.
Conclusión
La nueva Ley de Protección de Datos N° 21.719 marca un antes y un después en la forma en que las empresas y organismos en Chile deben manejar la información personal. Aunque la designación de un Delegado de Protección de Datos (DPO) no es obligatoria para todas las organizaciones, su papel es clave para garantizar el cumplimiento normativo, mitigar riesgos y fortalecer la confianza de clientes y socios comerciales.
Adoptar un enfoque proactivo en la protección de datos no solo evita sanciones y problemas legales, sino que también ayuda a las empresas a diferenciarse en un entorno cada vez más digital y regulado. Ya sea a través de un DPO interno, un Fractional DPO o el apoyo de un proveedor externo, contar con un especialista en privacidad y seguridad de datos es una inversión estratégica para cualquier organización que valore la integridad de su información y la confianza de sus clientes.
