Delegado de Protección de Datos Personales (DPO) en Chile: funciones, requisitos y cómo designarlo
El Delegado de Protección de Datos Personales (DPO) es el primer elemento mínimo del modelo de prevención de infracciones de la ley de protección de datos (artículo 49, letra a), y su designación es obligatoria dentro de ese modelo (artículo 6 del Decreto 662). Lo designa la máxima autoridad, puede ser trabajador o externo, y en una pyme el dueño puede asumir el rol (artículo 50 de la ley).
Por Juancarlo Barahona, Delegado de Protección de Datos Personales (DPO) de Orbix Consultor.
Revisado al 11 de octubre de 2026, contra el texto oficial de la ley. Esta guía explica la norma en términos generales y no reemplaza el análisis de un caso concreto.
¿El delegado de protección de datos es obligatorio en Chile?
La ley de protección de datos (Ley 19.628, actualizada por la Ley 21.719, que rige desde el 1 de diciembre de 2026) enumera en su artículo 49 los elementos mínimos del modelo de prevención de infracciones. El primero, letra a, es la designación de un Delegado de Protección de Datos Personales; la letra b, la definición de sus medios y facultades.
El artículo 50 regula quién lo designa, qué requisitos debe reunir y con qué autonomía actúa. El artículo 6 del Decreto 662, reglamento del modelo de prevención, precisa que la designación será obligatoria en el marco de la adopción y certificación de un programa de cumplimiento: sin delegado no hay modelo de prevención que certificar.
Además, el artículo 48 obliga a todas las empresas a prevenir infracciones, y el artículo 36 número 5 reconoce como atenuante la diligencia en dirección y supervisión, verificada con el certificado del modelo. El delegado conduce ese trabajo; por eso, en el modelo de prevención de infracciones que implementa Orbix, forma parte del alcance base.
El responsable de datos podrá designar un delegado de protección de datos personales, designación que será obligatoria en el marco de la adopción y certificación de un programa de cumplimiento.
¿Qué funciones tiene el delegado de protección de datos?
El artículo 13 del Decreto 662 fija once funciones mínimas, de la letra a a la k. Se resumen así:
a) Informar y asesorar a la empresa, sus trabajadores y encargados de tratamiento sobre la ley y sobre las instrucciones y decisiones de la Agencia.
b) Asesorar en el programa de cumplimiento, participando en su elaboración y revisión.
c) Difundir la política de protección de datos y el programa dentro de la organización.
d) Supervisar el cumplimiento de la ley y de las instrucciones de la Agencia.
e) Comunicar las infracciones que conozca a la autoridad que lo designó.
f) Velar por la capacitación permanente de quienes tratan datos personales.
g) Asesorar en la identificación de riesgos y de las medidas para proteger a los titulares.
h) Asesorar en la evaluación de impacto en protección de datos personales (artículo 15 ter de la ley).
i) Elaborar un plan anual de trabajo y rendir cuenta de sus resultados, a lo menos una vez al año.
j) Responder directamente las consultas y solicitudes de los titulares, con su contacto siempre actualizado.
k) Ser punto de contacto con la Agencia y entregarle la información que pida.
Requisitos, autonomía e independencia del delegado
El artículo 50 de la ley exige que el delegado reúna requisitos de idoneidad, capacidad y conocimientos específicos. El Decreto 662 desarrolla esa exigencia y la amarra a la certificación: la empresa debe ser capaz de demostrar la idoneidad del delegado ante la Agencia (artículo 10).
El delegado puede tener otras tareas, pero sin conflicto de intereses, y no puede ejecutar actividades que él mismo debe supervisar o asesorar, salvo la regla para pymes del artículo 50 de la ley (artículo 9 del decreto).
Un ejemplo hipotético: en una empresa grande, nombrar delegado al jefe de informática, que administra las bases que el delegado supervisa, puede chocar con esa regla.
Exigencia
Qué significa en la práctica
Norma
Conocimientos especializados
Dominio de la regulación de protección de datos, experiencia y habilidades profesionales
Artículo 10 del decreto
Conocimientos actualizados
Al día en las normas, decisiones de la Agencia y jurisprudencia
Artículo 10 del decreto
Autonomía
Independiente de la administración en materias de esta ley; rinde cuenta a quien lo designó
Artículo 50 de la ley; artículo 8 del decreto
Medios suficientes
Recursos según el tamaño, la capacidad económica y los riesgos de la empresa
Artículo 9 del decreto
Sin conflicto de intereses
No ejecuta lo que supervisa, salvo la regla para pymes
Artículo 9 del decreto
Secreto
Estricta reserva de los datos y de la información que conozca en el cargo
Artículo 50 de la ley; artículo 12 del decreto
¿Delegado interno o delegado externo de protección de datos?
El artículo 7 del Decreto 662 permite las dos formas: el delegado puede ser un dependiente de la empresa o prestar el servicio mediante un contrato de prestación de servicios con una persona natural o jurídica.
Si se contrata a una empresa, el contrato debe individualizar a la persona natural que actuará como delegado: no basta con contratar a una consultora. Esa persona puede ser delegado de varias empresas a la vez.
No hay que confundirlo con el encargado de tratamiento del artículo 15 bis de la ley, que es un tercero que trata datos por cuenta de la empresa, por ejemplo, un proveedor de remuneraciones. Son figuras distintas, con reglas distintas.
Aspecto
Delegado interno
Delegado externo
Vínculo
Contrato de trabajo
Contrato de prestación de servicios
Si el proveedor es una empresa
No aplica
El contrato nombra a la persona natural que actúa como delegado
Independencia
Requiere cuidar que sus otras tareas no generen conflicto
Suele ser más fácil de asegurar, pues no ejecuta procesos de la empresa
Conocimiento de la empresa
Alto desde el inicio
Se construye con información que la empresa debe proveer (artículo 13, letra b)
¿Puede el dueño de una pyme ser el delegado de protección de datos?
Sí. El artículo 50 de la ley y el artículo 8 del decreto dicen que en las micro, pequeñas y medianas empresas, el dueño o sus máximas autoridades pueden asumir personalmente las tareas de delegado. Es una forma de cumplir con el rol, no de omitirlo: las once funciones del artículo 13 siguen vigentes.
El artículo 9 del decreto salva esta situación de la prohibición de ejecutar lo que se supervisa. Como el dueño responde por actividades que él mismo dirige, conviene que se apoye en procedimientos escritos y asesoría externa.
El artículo 50 no define qué es una micro, pequeña o mediana empresa. La referencia razonable son las categorías del artículo segundo de la Ley 20.416, que fija normas para las empresas de menor tamaño y a la que la propia ley de protección de datos remite en sus artículos 14 septies y 35 y en su artículo sexto transitorio. Más detalle en la guía sobre a quién aplica la Ley 21.719.
¿Un grupo de empresas puede tener un solo delegado?
Sí. Las sociedades de un mismo grupo empresarial, las empresas relacionadas o las sujetas a un mismo controlador, en los términos de la Ley de Mercado de Valores, pueden designar un único delegado (artículo 50 de la ley y artículo 8 del decreto).
Hay dos condiciones: todas deben operar bajo los mismos estándares y políticas de tratamiento de datos, y el delegado debe ser accesible para todas las entidades y establecimientos en condiciones similares. Un ejemplo hipotético: un holding con tres sociedades puede nombrar a una persona si las tres usan la misma política y sus titulares pueden contactarla por igual.
Publicar el contacto del delegado e informarlo a la Agencia
El artículo 11 del Decreto 662 obliga a publicar en el sitio web, o en un medio equivalente, los datos de contacto del delegado, para que los titulares le escriban sobre el tratamiento de sus datos y el ejercicio de sus derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo. El contacto debe permitir una comunicación expedita y directa. Lo habitual es incluirlo en la política de privacidad del sitio web, junto al Canal para el ejercicio de los derechos del titular.
El mismo artículo exige informar el nombre y contacto del delegado a la Agencia, a los trabajadores y, cuando corresponda, a los encargados de tratamiento. El artículo 13, en su inciso final, precisa que ante la Agencia se informa, a lo menos, el nombre completo y un medio de contacto directo y expedito, y que todo cambio de designación o de contacto se comunica.
El artículo 14 ter de la ley, sobre la información que toda empresa mantiene a disposición del público, pide en su letra b identificar a quien está a cargo de la prevención, si existe. La Agencia aún no está plenamente instalada, así que conviene dejar lista la designación y el contacto publicado.
Cómo designar al delegado de protección de datos paso a paso
Al 11 de octubre de 2026 no existe un formulario oficial, pero sí elementos que la empresa deberá demostrar al certificar. Un orden razonable:
Elegir a la persona: interna, externa o el dueño en una pyme, revisando conocimientos y conflictos de intereses (artículos 7, 9 y 10 del decreto).
Formalizar la designación por la máxima autoridad: acta de directorio, decisión del socio administrador o del gerente general, dejando constancia de que rinde cuenta directamente a ella (artículo 8).
Definir medios y facultades por escrito: tiempo, presupuesto y acceso a la información (artículo 49, letra b, de la ley y artículo 9 del decreto).
Incorporar las reglas del programa en los contratos o en el reglamento interno (artículo 49 de la ley y artículo 4 del decreto).
Publicar su contacto y comunicarlo a trabajadores, encargados de tratamiento y a la Agencia (artículos 11 y 13).
Aprobar su plan anual y fijar la fecha de su primera rendición de cuenta (artículo 13, letra i).
Preguntas frecuentes
¿Qué es el DPO en Chile?+
DPO es la sigla en inglés de Data Protection Officer, que en Chile se usa de manera corriente para referirse al Delegado de Protección de Datos Personales, el nombre que usan la Ley 21.719 y el Decreto 662. Es la misma figura: la persona que la empresa designa para dirigir el cumplimiento de la ley de protección de datos, con autonomía y cuenta directa a la máxima autoridad.
¿Es obligatorio el Delegado de Protección de Datos Personales en Chile?+
El delegado es el primer elemento mínimo del modelo de prevención de infracciones (artículo 49, letra a, de la Ley 19.628 actualizada por la Ley 21.719), y el artículo 6 del Decreto 662 dice que su designación será obligatoria al adoptar y certificar ese programa. Toda empresa debe prevenir infracciones (artículo 48), y el delegado organiza ese deber.
¿Quién designa al delegado de protección de datos?+
La máxima autoridad directiva o administrativa de la empresa: el directorio, un socio administrador o la máxima autoridad, según corresponda. El delegado rinde cuenta directamente ante quien lo designó y debe tener autonomía respecto de la administración (artículo 50 de la ley y artículo 8 del Decreto 662).
¿Se puede contratar un delegado de protección de datos externo?+
Sí. El artículo 7 del Decreto 662 permite que el delegado preste sus funciones mediante un contrato de prestación de servicios con una persona natural o jurídica. Si es una persona jurídica, el contrato debe individualizar a la persona natural que actuará como delegado, y esa persona puede serlo de más de una empresa.
¿Existe una certificación oficial para ser delegado de protección de datos en Chile?+
Los artículos 50 de la ley y 10 del Decreto 662 no exigen un título ni un certificado específico. Piden conocimientos especializados y actualizados, experiencia y habilidades profesionales. Lo que la Agencia certifica es el modelo de prevención de la empresa (artículo 51 de la ley), y en ese trámite la empresa debe demostrar la idoneidad de su delegado.
¿El dueño de una pyme puede ser su propio delegado?+
Sí. En las micro, pequeñas y medianas empresas, el dueño o sus máximas autoridades pueden asumir personalmente las tareas de delegado (artículo 50 de la ley y artículo 8 del Decreto 662), incluidas las once funciones del artículo 13 del decreto.
¿Dónde se publica el contacto del delegado de protección de datos?+
En el sitio web de la empresa o en un medio de información equivalente, con datos que permitan una comunicación expedita y directa (artículo 11 del Decreto 662). Además, se informa a la Agencia de Protección de Datos Personales su nombre completo y un medio de contacto, y se le comunica cualquier cambio (artículo 13 del decreto).
El 1 de diciembre de 2026 la ley será plenamente exigible
La puesta en marcha toma alrededor de un mes; cerrar todas las brechas depende de cada empresa. En una demostración de 30 minutos revisamos tu caso: qué tratamientos realizas, qué brechas tienes y por dónde comenzar.