Decreto 662 de Hacienda: qué exige el reglamento de datos personales del modelo de prevención
El Decreto 662 del Ministerio de Hacienda, dictado el 13 de junio de 2025 y publicado en el Diario Oficial el 9 de septiembre de 2026, es el reglamento del modelo de prevención de infracciones de la ley de protección de datos. Fija los diez elementos mínimos del programa de cumplimiento (artículo 3), las reglas del Delegado de Protección de Datos Personales (DPO) (artículos 6 a 13) y la certificación ante la Agencia, con una vigencia de tres años (artículo 15).
Por Juancarlo Barahona, Delegado de Protección de Datos Personales (DPO) de Orbix Consultor.
Revisado al 11 de octubre de 2026, contra el texto oficial de la ley. Esta guía explica la norma en términos generales y no reemplaza el análisis de un caso concreto.
¿Cuándo se dictó y cuándo se publicó el Decreto 662?
El Decreto N° 662, de 2025, del Ministerio de Hacienda, se dictó en Santiago el 13 de junio de 2025. Lo suscribieron el Presidente de la República y los ministros de Hacienda, Secretaría General de la Presidencia y Economía, como exige el artículo 51 de la ley.
El artículo segundo transitorio de la Ley 21.719 ordenó dictar los reglamentos dentro de seis meses desde la publicación de la ley (13 de diciembre de 2024). El decreto se dictó dentro de ese plazo, pero se publicó más de un año después: el 9 de septiembre de 2026, en el Diario Oficial N° 44.546 (CVE 2865940).
Los artículos que reglamenta (48 a 53 de la ley) rigen desde el 1 de diciembre de 2026. El calendario completo está en la guía sobre la vigencia de la Ley 21.719.
Hito
Fecha
Fuente
Publicación de la Ley 21.719
13 de diciembre de 2024
Diario Oficial
Dictación del Decreto 662
13 de junio de 2025
Decreto N° 662, Hacienda
Publicación del Decreto 662
9 de septiembre de 2026
Diario Oficial N° 44.546, CVE 2865940
Entrada en vigencia de la ley reformada
1 de diciembre de 2026
Artículo primero transitorio, Ley 21.719
¿El modelo de prevención de infracciones es obligatorio?
No. El artículo 49 de la ley dice que los responsables podrán voluntariamente adoptar un modelo de prevención de infracciones, y el artículo 1 del decreto lo repite.
Lo que no es voluntario es prevenir: el artículo 48 obliga a todos los responsables a adoptar acciones para prevenir las infracciones de los artículos 34 bis, 34 ter y 34 quáter. Toda empresa debe prevenir; el modelo es la forma ordenada y certificable de demostrarlo.
El incentivo está en el artículo 36 número 5: cumplir diligentemente los deberes de dirección y supervisión es una atenuante, y esa diligencia se verifica con el certificado del artículo 51. Más detalle en la guía de multas de la Ley 21.719.
La adopción e implementación de un programa de cumplimiento no obstará al deber de todos los responsables de datos de adoptar acciones destinadas a prevenir la comisión de las infracciones establecidas en la ley N° 19.628 y, en general, a dar cumplimiento a sus disposiciones.
Elementos del programa de cumplimiento: artículo 3 del decreto frente al artículo 49 de la ley
El artículo 49 de la ley enumera siete elementos mínimos. El artículo 3 del decreto los ordena en diez letras, agrega dos y detalla los demás.
Tres precisiones pesan en la práctica. La letra d exige once contenidos, entre ellos la base de licitud, los plazos de supresión y las decisiones automatizadas, y se puede cumplir con un registro de actividades de tratamiento. La letra e pide una matriz de riesgos que considere la graduación de las sanciones. Y el canal de la letra g puede integrarse a un canal de denuncias que la empresa ya tenga.
Además, el artículo 4 exige incorporar las reglas del programa en los contratos de trabajo o de prestación de servicios, incluidos los máximos cargos ejecutivos, o en el reglamento interno. Ver también datos de trabajadores.
Decreto 662, artículo 3
Qué pide
Ley, artículo 49
a
Individualización del responsable y de su representante legal
Sin equivalente
b
Designación del Delegado de Protección de Datos Personales, según el artículo 8
Letra a
c
Medios y facultades del delegado
Letra b
d
Caracterización de datos, bases, titulares y operaciones, con once contenidos mínimos; puede hacerse con un registro de actividades
Letra c, ampliada
e
Actividades o procesos con riesgo de infracción y matriz de riesgos según la graduación de sanciones
Letra d, ampliada
f
Protocolos, reglas y procedimientos proporcionales al tamaño y riesgos de la entidad
Letra e
g
Reporte interno permanente; aviso a la Agencia o a los titulares por vulneraciones (artículo 14 sexies) y mecanismo de autodenuncia
Letra f, ampliada
h
Sanciones administrativas internas y procedimientos sancionatorios
Letra g, primera parte
i
Denuncia interna ante el delegado, con reserva de identidad y sin represalias
Letra g, segunda parte
j
Cualquier otra disposición necesaria o útil según las operaciones de tratamiento
Sin equivalente
¿Qué dice el Decreto 662 del Delegado de Protección de Datos Personales?
Dentro del modelo, el delegado no es opcional: el artículo 6 dice que su designación será obligatoria al adoptar y certificar un programa de cumplimiento, y es el primer elemento mínimo tanto en la ley (artículo 49, letra a) como en el decreto (artículo 3, letra b).
Las reglas se reparten así:
Calidad (artículo 7): puede ser trabajador o prestador externo. Si el contrato es con una empresa, debe nombrar a la persona natural que actuará como delegado, quien puede serlo de varios responsables.
Designación (artículo 8): la hace la máxima autoridad (directorio, socio administrador o máxima autoridad), ante quien rinde cuenta directamente, con autonomía respecto de la administración. En micro, pequeñas y medianas empresas, el dueño o sus máximas autoridades pueden asumir las tareas; un grupo empresarial puede tener un único delegado si opera con los mismos estándares.
Medios e independencia (artículo 9): recursos según tamaño y riesgos. Puede tener otras funciones sin conflicto de intereses, pero no ejecutar actividades que él mismo supervisa, salvo la regla para empresas de menor tamaño.
Requisitos (artículo 10): conocimientos especializados y actualizados, experiencia y habilidades profesionales. En la certificación, la empresa debe demostrar su idoneidad.
Contacto y secreto (artículos 11 y 12): su contacto se publica en el sitio web y se informa a la Agencia; guarda estricto secreto de lo que conoce en el cargo.
Funciones (artículo 13): once, de la a a la k, entre ellas supervisar el cumplimiento, comunicar las infracciones a quien lo designó, velar por la capacitación, asesorar en la evaluación de impacto, un plan anual con rendición de cuenta, responder a los titulares y ser contacto de la Agencia.
El responsable de datos podrá designar un delegado de protección de datos personales, designación que será obligatoria en el marco de la adopción y certificación de un programa de cumplimiento.
¿Quién certifica el modelo de prevención y cuánto dura la certificación?
Certifica la Agencia de Protección de Datos Personales (artículo 51 de la ley y artículo 15 del decreto). El procedimiento parte a solicitud de la empresa y se rige por la Ley 19.880 y por las instrucciones generales de la Agencia, que puede contratar a terceros para estudiar la solicitud, pero decide ella.
Si la concede, inscribe a la entidad en el Registro Nacional de Sanciones y Cumplimiento (artículo 17), con fecha de incorporación y vencimiento, y acceso público a los certificados.
Según el artículo 18, la implementación puede empezar antes de la inscripción en el registro.
Tema
Regla
Artículo
Vigencia
Tres años, renovable a petición del interesado
52 de la ley; 15 del decreto
Término
Revocación, fallecimiento de la persona natural, disolución de la persona jurídica, resolución judicial ejecutoriada o cese voluntario de la actividad
52 de la ley; 16 del decreto
Aviso de cese
Dentro de 30 días desde que se produce
16 del decreto
Supervisión
La Agencia puede pedir información; entregarla falsa, incompleta o manifiestamente errónea se sanciona
53 de la ley; 19 del decreto
Revocación
Por dejar de cumplir los requisitos, o por ser sancionada por una infracción de los artículos 34 bis, 34 ter o 34 quáter
53 de la ley; 20 del decreto
Nueva solicitud tras revocación
Acreditar que la causal fue subsanada y qué medidas se adoptaron
53 de la ley; 16 y 20 del decreto
¿Cómo puede una empresa publicitar que su modelo está certificado?
El artículo 5 pone dos reglas. Hacia adentro, la empresa debe difundir el programa y sus cambios entre trabajadores y prestadores de servicios.
Hacia afuera, la empresa solo puede informar la certificación con una referencia directa, pura y simple al Registro Nacional de Sanciones y Cumplimiento. Una lectura prudente: nada de sellos propios ni frases como "certificados en la ley de protección de datos" sin remitir al registro; basta indicar que la empresa figura en él.
El responsable solo podrá publicitar e informar que su programa de cumplimiento está certificado mediante la referencia directa, pura y simple al Registro Nacional de Sanciones y Cumplimiento que administrará la Agencia de Protección de Datos Personales.
El decreto define el contenido del programa, pero certificar depende de la Agencia de Protección de Datos Personales, que al 11 de octubre de 2026 no está plenamente instalada.
El decreto también deja piezas a instrucciones generales de la Agencia: el procedimiento de certificación (artículo 15) y el mecanismo para comunicar vulneraciones (artículo 3, letra g). Mientras tanto, lo escrito en la ley y el decreto es la mayor parte del trabajo.
El Boletín 18.623-07 propone postergar la ley a 2027, pero está en primer trámite en el Senado y no es ley: la fecha sigue siendo el 1 de diciembre de 2026.
Cómo se arma cada pieza está en la página del modelo de prevención de infracciones. En Orbix, el registro que alimenta la letra d se levanta conversando con cada área, y de él se deriva la matriz de riesgos.
Preguntas frecuentes
¿Qué establece el Decreto 662 de Hacienda?+
Establece los requisitos, modalidades y procedimientos para implementar, certificar, registrar y supervisar los modelos de prevención de infracciones de la ley de protección de datos (artículo 1). En concreto: los elementos mínimos del programa de cumplimiento (artículo 3), la obligación de designar un Delegado de Protección de Datos Personales dentro del modelo y sus reglas (artículos 6 a 13), y la certificación por la Agencia, que dura tres años (artículos 15 a 20).
¿Qué es el Decreto 662 de 2025?+
Es el reglamento del Ministerio de Hacienda que regula la implementación, certificación, registro y supervisión de los modelos de prevención de infracciones de la Ley 21.719. Se dictó el 13 de junio de 2025 y se publicó en el Diario Oficial el 9 de septiembre de 2026 (CVE 2865940).
¿Es obligatorio tener un modelo de prevención de infracciones?+
No. Adoptarlo es voluntario según el artículo 49 de la ley y el artículo 1 del Decreto 662. Lo obligatorio para toda empresa es adoptar acciones para prevenir infracciones (artículo 48). El modelo certificado sirve para acreditar la atenuante del artículo 36 número 5, que se verifica con el certificado de la Agencia.
¿Es obligatorio el Delegado de Protección de Datos Personales si adopto el modelo?+
Sí. El artículo 6 del Decreto 662 dice que la designación del delegado es obligatoria en el marco de la adopción y certificación de un programa de cumplimiento, y es el primer elemento mínimo del modelo según el artículo 49 de la ley. En micro, pequeñas y medianas empresas, el dueño o sus máximas autoridades pueden asumir personalmente esas tareas.
¿Cuánto dura la certificación del modelo de prevención?+
Tres años, renovables a petición del interesado (artículo 52 de la ley y artículo 15 del Decreto 662). Puede terminar antes por revocación de la Agencia, disolución de la persona jurídica, resolución judicial ejecutoriada, cese voluntario de la actividad o fallecimiento del responsable si es persona natural.
¿Puedo empezar a implementar el modelo antes de que funcione la Agencia?+
Sí. El artículo 18 del Decreto 662 permite iniciar la implementación antes de que la Agencia incorpore a la empresa al Registro Nacional de Sanciones y Cumplimiento. Lo que no se puede obtener todavía es la certificación, porque depende de que la Agencia esté instalada y dicte sus instrucciones generales sobre el procedimiento.
¿Qué diferencia hay entre el artículo 49 de la ley y el artículo 3 del Decreto 662?+
El artículo 49 fija siete elementos mínimos. El artículo 3 del decreto los desarrolla en diez letras: agrega la individualización del responsable y una cláusula abierta, pide una matriz de riesgos y separa el canal de denuncia interna ante el delegado, con reserva de identidad.
El 1 de diciembre de 2026 la ley será plenamente exigible
La puesta en marcha toma alrededor de un mes; cerrar todas las brechas depende de cada empresa. En una demostración de 30 minutos revisamos tu caso: qué tratamientos realizas, qué brechas tienes y por dónde comenzar.