¿Todas las empresas en Chile están obligadas a tener un DPO?

No. La Ley 21.719 dispone que los responsables deben adoptar acciones para prevenir infracciones, pero configura como voluntario el modelo de prevención de infracciones. Si una organización adopta ese modelo, la designación de un delegado es uno de sus elementos mínimos. Además pueden existir exigencias sectoriales o contractuales específicas, por lo que la conclusión debe revisarse caso a caso.

¿Puede el delegado de protección de datos ser externo?

En empresas privadas debe evaluarse si una prestación externa permite cumplir las condiciones aplicables de designación, idoneidad, autonomía, medios, accesibilidad y ausencia de conflictos de interés. La ley contempla además un delegado común para ciertas empresas relacionadas bajo condiciones. Para órganos públicos existe una regla especial: si establecen esta función, deben designar a una persona de su dotación vigente.

¿El DPO externo reemplaza al responsable de datos?

No. La empresa que decide los fines y medios del tratamiento mantiene su calidad y responsabilidades como responsable de datos. El DPO informa, asesora, supervisa, ayuda a identificar riesgos, atiende consultas dentro de su mandato y actúa como punto de contacto; las decisiones y su ejecución siguen correspondiendo a la organización.

¿Conviene designar un DPO antes del 1 de diciembre de 2026?

Puede ser conveniente cuando la organización necesita preparar procesos, contratos, registros y evidencia antes de la entrada en vigencia de la reforma. La fecha adecuada depende de la madurez, el riesgo y la capacidad interna. La Ley 19.628 vigente ya regula el tratamiento de datos personales, por lo que la preparación no supone que hoy no existan deberes.

¿El servicio incluye respuesta a incidentes?

Incluye preparación, coordinación y análisis jurídico dentro del alcance acordado. La contención, investigación forense y recuperación técnica corresponden a los equipos especializados de seguridad. Un incidente crítico puede requerir una activación extraordinaria con alcance y honorarios separados.

¿Contratar un DPO certifica o garantiza el cumplimiento?

No. La designación por sí sola no acredita que los tratamientos cumplan la ley ni elimina riesgos. La Ley 21.719 entrega a la futura Agencia la certificación de los modelos de prevención que reúnan los requisitos legales y reglamentarios. Legalcore no reemplaza esa certificación ni promete obtenerla.

¿Un mismo DPO puede cubrir a varias empresas del grupo?

La Ley 21.719 permite un delegado común para sociedades o entidades de un mismo grupo, relacionadas o sujetas a un mismo controlador, siempre que operen bajo los mismos estándares y políticas y que el delegado sea accesible para todas. Antes de definirlo revisamos diferencias operativas, regulatorias y posibles conflictos.

Ref. LC·CY·DPO

Privacidad · Acompañamiento recurrente

DPO externo en Chile para empresas

Asumimos de forma externa la función de delegado de protección de datos (DPO), con responsables, registro y seguimiento continuo.

El problema

La privacidad necesita una función permanente, no documentos aislados

Los datos personales atraviesan ventas, recursos humanos, marketing, tecnología y proveedores. Cuando cada área decide por separado, es difícil saber qué se trata, con qué fundamento, durante cuánto tiempo y quién responde frente a una solicitud o una vulneración de seguridad.

Un servicio de DPO externo instala una función de orientación, supervisión y reporte: ordena responsables, mantiene un plan de trabajo, registra decisiones y eleva riesgos a la administración. No reemplaza al responsable de datos, al equipo de ciberseguridad ni a las áreas que deben ejecutar las medidas acordadas.

La designación no es una obligación universal para toda empresa. La Ley 21.719, que entra en vigencia el 1 de diciembre de 2026, permite adoptar voluntariamente un modelo de prevención de infracciones; si se adopta ese modelo, debe incluir un delegado de protección de datos. La conveniencia y forma de una función externa deben revisarse según el régimen aplicable, el sector, el tipo de tratamientos, la estructura de la organización y los eventuales conflictos de interés.

Señales de alerta

Cuándo conviene actuar.

Señal 01
No existe un inventario actualizado de tratamientos, finalidades, bases de licitud, plazos de conservación y responsables internos.
Señal 02
No existe un circuito trazable para los derechos actualmente vigentes ni para preparar las solicitudes de acceso, rectificación, supresión, oposición, portabilidad y bloqueo que regulará la reforma desde el 1 de diciembre de 2026.
Señal 03
Los contratos con proveedores no reflejan con claridad instrucciones, medidas de seguridad, subencargos ni destino de los datos al terminar el servicio.
Señal 04
Marketing, producto o recursos humanos lanzan nuevas iniciativas sin una revisión previa de privacidad.
Señal 05
La empresa utiliza analítica avanzada, inteligencia artificial, biometría, geolocalización u otras operaciones que pueden requerir una evaluación reforzada.
Señal 06
No existe un protocolo jurídico coordinado con ciberseguridad para registrar, evaluar y comunicar vulneraciones cuando corresponda.
Señal 07
La administración no recibe un reporte periódico de riesgos, decisiones pendientes, solicitudes de titulares e incidentes.

Alcance

Qué incluye el trabajo de Legalcore

El alcance final se define después de revisar antecedentes. Estos son los frentes que normalmente ordenamos.

Gobierno y plan anual

Definimos mandato, independencia, canales de reporte, contrapartes internas, prioridades y un plan de trabajo medible según los riesgos de la organización.

Mapa de tratamientos y brechas

Mantenemos una lectura operativa de datos, finalidades, personas cuyos datos se usan (titulares), motivos legales para usarlos (bases de licitud), proveedores, transferencias, conservación y controles pendientes.

Derechos de los titulares

Diseñamos el circuito de recepción, verificación, análisis, respuesta y respaldo de solicitudes, con responsables y alertas de plazo.

Proveedores y contratos

Revisamos cláusulas de tratamiento, subencargos, transferencias, seguridad, cooperación y eliminación o devolución de datos al término de la relación.

Privacidad desde el diseño

Participamos tempranamente en proyectos, campañas y productos para identificar riesgos y determinar si corresponde una evaluación de impacto u otras medidas.

Incidentes y vulneraciones

Coordinamos el análisis jurídico, la preservación de antecedentes y las decisiones de comunicación con los equipos técnicos y de continuidad.

Formación, consultas y reporte

Atendemos consultas dentro del alcance acordado, apoyamos capacitaciones y reportamos avances, riesgos abiertos y decisiones que requieren a la administración.

Antecedentes

Qué necesitamos para empezar

Organigrama, sociedades involucradas y responsables de legal, tecnología, seguridad, personas, marketing y operaciones.
Políticas de privacidad, avisos, consentimientos, formularios, contratos tipo y reglamentos internos vigentes.
Inventarios de sistemas, bases de datos, integraciones y flujos de información disponibles.
Listado de proveedores que acceden, alojan, analizan o reciben datos personales.
Procedimientos y registros de solicitudes de titulares, reclamos e incidentes anteriores.
Matriz de riesgos, políticas de seguridad, planes de continuidad y protocolos de respuesta disponibles.
Descripción de productos, campañas o proyectos que utilicen datos sensibles, perfilamiento, biometría, geolocalización o inteligencia artificial.
Antecedentes sobre operaciones internacionales, empresas relacionadas y transferencias de datos fuera de Chile.

Si no tienes todo, partimos con lo disponible y dejamos visible qué falta. No envíes claves ni información sensible por un canal no acordado.

Riesgos

Riesgos de postergar la decisión

Solicitudes de titulares sin responsable, respuesta o respaldo suficiente.
Tratamientos nuevos aprobados sin identificar su finalidad, base de licitud, proporcionalidad o riesgos.
Contratos que no permiten exigir cooperación, seguridad o eliminación de datos a los proveedores.
Vulneraciones gestionadas técnicamente sin análisis jurídico, evidencia ni decisiones oportunas de comunicación.
Políticas publicadas que no coinciden con las prácticas reales de la organización.
Conflictos de interés o falta de autonomía que debilitan la función del delegado.
Reportes dispersos que impiden a la administración conocer y priorizar riesgos relevantes.
Presentar la designación como garantía de cumplimiento, aunque las áreas no ejecuten controles ni corrijan brechas.

Proceso

Cómo trabajamos

Al terminar cada etapa sabrás qué se decidió, quién debe actuar y qué documento recibirás.

01
1. Encuadre y diagnóstico
Determinamos qué sociedades y tratamientos quedan dentro del servicio, qué normativa y reglas sectoriales resultan relevantes y dónde están las brechas prioritarias.
Resultado de la etapa
Matriz inicial de alcance, responsables, riesgos y antecedentes faltantes.
02
2. Diseño de la función
Acordamos mandato, autonomía, recursos, canales de contacto, reglas de conflicto de interés, niveles de servicio y relación con la administración.
Resultado de la etapa
Propuesta de designación, gobierno, calendario y protocolo de escalamiento.
03
3. Implementación operativa
Construimos o ajustamos los circuitos de derechos, proveedores, nuevos proyectos, incidentes, capacitación y registro de evidencia.
Resultado de la etapa
Procedimientos priorizados, registros de control y plan para corregir las brechas.
04
4. Seguimiento recurrente
Revisamos avances, atendemos consultas, supervisamos hitos y elevamos a la administración los riesgos y decisiones que no pueden quedar abiertos.
Resultado de la etapa
Reporte periódico y plan de trabajo actualizado con responsables y próximos pasos.

Alcance y presupuesto

Entregables, tiempos y honorarios

Antes de empezar, la propuesta indicará qué incluye el servicio, quién participa, cómo trabajaremos y cuánto costará.

Entregables

Mandato y matriz de gobierno de la función de privacidad.
Plan anual de trabajo priorizado por riesgo.
Inventario o registro operativo de tratamientos, sujeto a la información disponible.
Procedimiento y registro de solicitudes de titulares.
Checklist de privacidad para nuevos proyectos, campañas y proveedores.
Protocolo jurídico de vulneraciones coordinado con seguridad y continuidad.
Matriz de contratos y brechas de terceros priorizadas.
Reporte periódico para la administración con avances, riesgos, decisiones y próximos pasos.

Plazos estimados

La puesta en marcha inicial suele planificarse en 4 a 8 semanas y luego continúa mediante ciclos mensuales. Es un rango referencial: el calendario se confirma después de revisar alcance y antecedentes, y no equivale a una fecha garantizada de adecuación o certificación.

Puede variar según

— Número de sociedades, áreas, sistemas y países involucrados.
— Volumen, sensibilidad y complejidad de los tratamientos.
— Calidad de inventarios, contratos, políticas y evidencia disponibles.
— Cantidad de proveedores, transferencias y proyectos activos.
— Capacidad de las áreas internas para ejecutar las medidas acordadas.
— Existencia de incidentes, fiscalizaciones o solicitudes urgentes en curso.

Cómo se cobran los honorarios

Acompañamiento mensual

Honorario recurrente definido por sociedades cubiertas, dedicación, reuniones, reportes, volumen de consultas y tiempos de respuesta acordados.

Instalación por proyecto

Etapa inicial con alcance y entregables cerrados para diagnóstico, diseño de gobierno y habilitación de procedimientos prioritarios.

Trabajo extraordinario

Incidentes críticos, defensas, investigaciones extensas, negociaciones especiales o evaluaciones complejas se cotizan por separado cuando exceden la cobertura recurrente.

El precio depende del alcance de cada caso. Recibirás una cotización antes de comenzar.

Preguntas frecuentes

Lo que conviene aclarar primero

¿Todas las empresas en Chile están obligadas a tener un DPO?: No. La Ley 21.719 dispone que los responsables deben adoptar acciones para prevenir infracciones, pero configura como voluntario el modelo de prevención de infracciones. Si una organización adopta ese modelo, la designación de un delegado es uno de sus elementos mínimos. Además pueden existir exigencias sectoriales o contractuales específicas, por lo que la conclusión debe revisarse caso a caso.
¿Puede el delegado de protección de datos ser externo?: En empresas privadas debe evaluarse si una prestación externa permite cumplir las condiciones aplicables de designación, idoneidad, autonomía, medios, accesibilidad y ausencia de conflictos de interés. La ley contempla además un delegado común para ciertas empresas relacionadas bajo condiciones. Para órganos públicos existe una regla especial: si establecen esta función, deben designar a una persona de su dotación vigente.
¿El DPO externo reemplaza al responsable de datos?: No. La empresa que decide los fines y medios del tratamiento mantiene su calidad y responsabilidades como responsable de datos. El DPO informa, asesora, supervisa, ayuda a identificar riesgos, atiende consultas dentro de su mandato y actúa como punto de contacto; las decisiones y su ejecución siguen correspondiendo a la organización.
¿Conviene designar un DPO antes del 1 de diciembre de 2026?: Puede ser conveniente cuando la organización necesita preparar procesos, contratos, registros y evidencia antes de la entrada en vigencia de la reforma. La fecha adecuada depende de la madurez, el riesgo y la capacidad interna. La Ley 19.628 vigente ya regula el tratamiento de datos personales, por lo que la preparación no supone que hoy no existan deberes.
¿El servicio incluye respuesta a incidentes?: Incluye preparación, coordinación y análisis jurídico dentro del alcance acordado. La contención, investigación forense y recuperación técnica corresponden a los equipos especializados de seguridad. Un incidente crítico puede requerir una activación extraordinaria con alcance y honorarios separados.
¿Contratar un DPO certifica o garantiza el cumplimiento?: No. La designación por sí sola no acredita que los tratamientos cumplan la ley ni elimina riesgos. La Ley 21.719 entrega a la futura Agencia la certificación de los modelos de prevención que reúnan los requisitos legales y reglamentarios. Legalcore no reemplaza esa certificación ni promete obtenerla.
¿Un mismo DPO puede cubrir a varias empresas del grupo?: La Ley 21.719 permite un delegado común para sociedades o entidades de un mismo grupo, relacionadas o sujetas a un mismo controlador, siempre que operen bajo los mismos estándares y políticas y que el delegado sea accesible para todas. Antes de definirlo revisamos diferencias operativas, regulatorias y posibles conflictos.

Autoría y revisión

Autor: Equipo jurídico Legalcore; Abogados autores
Revisión: Equipo jurídico Legalcore; Revisión legal

Revisado el 29 de julio de 2026. El alcance de una función de privacidad depende de los tratamientos, riesgos y estructura de cada empresa.

Fuentes oficiales

Siguiente lectura

Servicios y guías relacionadas

Privacidad y datos

Ley 21.719: qué debería revisar primero una empresa

Antes de cambiar políticas o comprar herramientas, conviene entender qué datos trata la empresa, por qué los usa y quién interviene.

29 de julio de 20266 min

Leer guía

Siguiente paso

Revisemos tus antecedentes y definamos el próximo paso.

Cuéntanos qué necesitas revisar y qué plazo debes cuidar. Te diremos qué antecedentes faltan y si podemos ayudarte.

Solicitar evaluación de DPO externo