Modelo de prevención de infracciones: ¿es obligatorio tener un delegado?

La respuesta corta

No. El modelo de prevención de infracciones es voluntario, y el delegado de protección de datos también. Lo obligatorio es otra cosa, más simple de decir: prevenir.

La ley lo separa en artículos seguidos:

• El artículo 48 es obligatorio. Toda empresa responsable de datos, grande o chica, pública o privada, debe adoptar acciones destinadas a prevenir las infracciones de la ley.
• El artículo 49 es voluntario. Las empresas «podrán voluntariamente» adoptar un modelo de prevención de infracciones, que consiste en un programa de cumplimiento con ciertos elementos mínimos.
• El artículo 50 también. Parte diciendo que el responsable «podrá designar» un delegado de protección de datos personales.

Es decir: prevenir es un deber; hacerlo con un modelo formal y un delegado, que la Agencia puede certificar, es una opción. Juanito no necesitaba publicar el aviso. La pregunta que le queda es si le conviene.

Qué pide el modelo, si lo adoptas

El artículo 49 enumera lo que el programa tiene que contener, al menos:

1. Un delegado de protección de datos personales, designado.
2. Los medios y facultades de ese delegado, definidos.
3. Qué datos trata la empresa: el tipo de información, el ámbito territorial, las categorías de datos o bases de datos que administra y quiénes son los titulares.
4. Dónde está el riesgo: las actividades o procesos, habituales o esporádicos, en que aumenta el riesgo de cometer infracciones.
5. Protocolos, reglas y procedimientos para que las personas que participan en esas actividades trabajen de un modo que prevenga las infracciones.
6. Mecanismos de reporte interno sobre el cumplimiento, y de reporte a la Agencia para los casos de vulneraciones de seguridad del artículo 14 sexies.
7. Sanciones administrativas internas y procedimientos de denuncia para quien incumpla el sistema.

Lo que el programa establezca tiene que quedar como obligación en los contratos de trabajo o de prestación de servicios de todos —incluidos los máximos ejecutivos— o en el reglamento interno de la empresa.

Ejemplo. En la empresa de Juanito, el punto 4 incluiría la venta de pasajes (nombre, RUT, teléfono de cada pasajero), la nómina de conductores con sus licencias de conducir y, si los vendedores usan IA para responder reclamos, ese uso también.

El delegado no tiene que ser alguien nuevo

Para Juanito, el artículo 50 resuelve lo que más le preocupaba:

• Lo designa la máxima autoridad: el directorio, un socio administrador o la máxima autoridad de la empresa.
• Puede tener otras funciones, siempre que no generen conflicto de interés.
• En las micro, pequeñas y medianas empresas, el dueño o sus máximas autoridades pueden asumir personalmente las tareas de delegado.
• Un grupo de empresas con los mismos estándares puede tener un único delegado, si es accesible para todas.

A cambio, la ley pide que sea idóneo (capacidad y conocimientos específicos para la función), que tenga autonomía respecto de la administración en las materias de esta ley, que guarde estricto secreto de los datos que conoce, y que la empresa le dé los medios necesarios, según su tamaño y capacidad económica.

Sus funciones: informar y asesorar a la empresa, a sus proveedores que tratan datos y a sus trabajadores; promover la política de datos y supervisar que se cumpla; preocuparse de la formación permanente de quienes tratan datos; ayudar a identificar riesgos y medidas; hacer un plan anual de trabajo y rendir cuenta; responder las consultas y solicitudes de las personas; y ser el punto de contacto de la Agencia.

Qué gana la empresa que lo adopta

Un certificado. La Agencia certifica que el modelo reúne los requisitos de la ley y de su reglamento, y lo supervisa (artículo 51). Las empresas con certificado vigente quedan inscritas en el Registro Nacional de Sanciones y Cumplimiento, que es público. El certificado dura tres años (artículo 52), y la Agencia puede revocarlo si la empresa no cumple (artículo 53).

Una atenuante. Entre las atenuantes del artículo 36 está «el haber cumplido diligentemente sus deberes de dirección y supervisión para la protección de los datos personales», y la ley dice cómo se acredita: con el certificado del artículo 51. Si algún día la Agencia sanciona a la empresa, eso se considera al fijar la sanción. Cómo se calculan las multas está en Las multas de la Ley 21.719.

Orden. Aun sin certificar, los puntos 3 y 4 son la forma más directa de cumplir el deber del artículo 48: saber qué datos tiene la empresa y dónde puede fallar.

Qué decidió Juanito

No contrató a nadie. Designó como delegada a la jefa de administración, que ya conocía todos los procesos, con horas y presupuesto definidos. Empezó por el punto 3 y el 4. La certificación la dejó para después de tener el programa funcionando.

Dónde ayuda Plumii

Si en tu empresa se usa IA, ese uso es una de las actividades del punto 4. Plumii aporta piezas concretas: una regla por tipo de dato que la empresa define (punto 5), un registro de uso —quién, cuándo, con qué modelo, qué datos traía cada mensaje y qué regla se aplicó, sin las conversaciones— que sirve como reporte interno (punto 6), y capacitación a los colaboradores para usar la IA con cuidado, que va en la línea de la formación permanente que la ley le encarga al delegado. No reemplaza el programa ni al delegado. Mira cómo funciona.

Las personas, empresas y situaciones de este artículo son ficticias: las inventamos para explicar la ley, y cualquier parecido con un caso real es coincidencia. Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.