Qué es un DPO y si tu empresa necesita uno

El delegado de protección de datos —conocido coloquialmente por sus siglas en inglés como DPO (Data Protection Officer)— es una figura clave en la Ley 21.719. Muchas empresas chilenas no saben si les conviene nombrarlo, cuáles son sus responsabilidades reales, o si pueden cumplir con la ley sin uno.

Esta guía responde todas esas preguntas con precisión.

¿Qué hace un DPO?

El DPO es el responsable dentro de la organización de supervisar que el tratamiento de datos personales cumple con la ley. No es quien "firma los papeles": es el experto interno que guía las decisiones de privacidad.

Sus funciones principales son:

• Informar y asesorar a la dirección y al personal sobre sus obligaciones legales
• Supervisar el cumplimiento de las políticas de protección de datos
• Mantener actualizado el RAT (el inventario que exige el deber de información y transparencia, Art. 14 ter)
• Coordinar las Evaluaciones de Impacto (EIPD) en tratamientos de alto riesgo
• Atender las solicitudes de titulares (derechos ARSOP)
• Ser el punto de contacto con la Agencia de Protección de Datos Personales
• Gestionar incidentes y coordinar la notificación de brechas sin dilaciones indebidas
• Desarrollar un plan anual de trabajo y rendir cuenta de sus resultados (Art. 50, letra f) — no es un rol pasivo, tiene entregables periódicos exigidos por ley

El DPO debe tener independencia funcional: no puede recibir instrucciones de la dirección sobre cómo ejercer sus funciones de supervisión. Si el CEO le dice "no notifiques esta brecha", el DPO debe notificar igual.

La ley también le impone un deber de secreto o confidencialidad estricto sobre los datos que conoce en ejercicio de su cargo, y establece que la empresa responde patrimonialmente por las infracciones que cometa su delegado (Art. 50).

¿Es obligatorio el DPO según la Ley 21.719?

La Ley 21.719 no establece umbrales obligatorios de designación para el sector privado como sí lo hace el RGPD europeo. El Artículo 50 dispone que el responsable de datos podrá designar un delegado de protección de datos personales — es una decisión voluntaria, no un mandato con umbrales de "gran escala" o "monitoreo sistemático".

Esta voluntariedad es la regla general, pero tiene una excepción: si la empresa decide adoptar el Modelo de Prevención de Infracciones (MPI) del Art. 49, la designación del delegado deja de ser opcional dentro de ese programa — es uno de sus elementos mínimos obligatorios (Art. 49, letra a).

Dicho esto, designar un delegado (aunque no sea obligatorio por sí solo) es una buena práctica que la Agencia probablemente valorará como evidencia del principio de responsabilidad (Art. 3, letra e), especialmente si tu empresa trata datos sensibles, opera a gran volumen, o quiere posicionar el cumplimiento como ventaja competitiva.

El término legal chileno es "delegado de protección de datos" (a veces también "encargado de prevención" en el contexto del Modelo de Prevención de Infracciones) — "DPO" es solo el anglicismo con el que se conoce coloquialmente a la misma figura.

¿Cuándo conviene nombrar uno de todas formas?

Un delegado, aunque voluntario, es especialmente recomendable si:

• Tu empresa trata habitualmente datos sensibles (salud, biométricos, geolocalización precisa, orientación sexual, datos de menores) de un número significativo de personas — clínicas, farmacias, apps de salud, guarderías, aseguradoras.
• El tratamiento de datos personales es una actividad principal o central del negocio y afecta a un volumen importante de personas — e-commerce con miles de clientes, marketing digital, servicios de fidelización.
• Realizas vigilancia o seguimiento continuo de individuos — geolocalización de flotas, monitoreo de empleados, CCTV analizado con IA.

Un delegado voluntario:

• Demuestra compromiso con la privacidad ante clientes y socios
• Facilita la relación con la Agencia si hay una inspección, y aporta evidencia del principio de responsabilidad
• Puede ser un argumento comercial diferenciador

DPO interno vs. DPO externo

La ley permite que el DPO sea un empleado de la empresa o un externo contratado. Cada opción tiene ventajas:

DPO interno

Ventajas: conoce los procesos de la empresa, respuesta rápida, menor costo en medianas y grandes empresas.
Desventajas: riesgo de conflicto de intereses, debe tener formación especializada.

Perfiles típicos: abogado interno con formación en privacidad, CISO o Director de TI con formación legal, o un rol dedicado en empresas grandes.

DPO externo

Ventajas: independencia garantizada, experiencia especializada, sin costo de contratación permanente.
Desventajas: menor conocimiento del negocio, tiempo de respuesta variable.

Proveedores típicos: consultoras legales especializadas en datos, firmas de ciberseguridad, servicios DPO-as-a-service.

Para una PYME, el DPO externo suele ser la opción más práctica y económica. El costo mensual de un servicio DPO externo ronda los $300.000–$800.000 CLP, mientras que contratar un DPO interno dedicado puede superar los $3 millones mensuales en sueldo.

Quién puede (y no debería) ser el delegado

El Artículo 50 exige que el delegado reúna idoneidad, capacidad y conocimientos específicos, y que cuente con autonomía respecto de la administración en las materias de la ley — evita, por tanto, poner en el rol a quien tenga un conflicto de intereses estructural con la función de supervisión (por ejemplo, quien decide directamente las finalidades del tratamiento sin contrapeso).

La misma ley contempla expresamente una excepción para empresas pequeñas: en las micro, pequeñas y medianas empresas, el dueño o sus máximas autoridades pueden asumir personalmente las tareas de delegado de protección de datos (Art. 50, inciso 3°), siempre que tengan la formación necesaria para hacerlo.

Cómo nombrar al DPO: los pasos formales

1. Selección con criterios objetivos

Documenta por qué esa persona (o empresa) tiene la formación y experiencia adecuadas.

2. Designación formal

Emite un acto formal (acuerdo de directorio, resolución de gerencia) que lo designe explícitamente.

3. Publicación permanente al público

No es solo buena práctica: el Art. 14 ter, letra b) exige mantener permanentemente a disposición del público, en el sitio web de la empresa, la identidad y los datos de contacto del delegado o encargado de prevención.

4. Comunicación a la Agencia

Además de la publicación permanente, la Agencia puede requerir esta información directamente en el contexto de una fiscalización o investigación.

5. Garantía de independencia

Documenta que el DPO no recibe instrucciones sobre sus funciones de supervisión y que tiene acceso directo a la dirección.

El DPO en la práctica: un día típico

Para desmitificar el rol, esto es lo que un DPO hace en el día a día:

• Revisar que los nuevos proyectos de producto o marketing respetan la ley desde el diseño (privacy by design)
• Gestionar las solicitudes ARSOP que llegan por correo o formulario web
• Actualizar el Registro de Actividades cuando se contrata un nuevo proveedor SaaS
• Coordinar la revisión anual de contratos con encargados de datos
• Preparar reportes periódicos para la dirección

No es un trabajo de tiempo completo para la mayoría de las PYMEs: muchas compañías con DPO externo tienen 4–8 horas mensuales de dedicación efectiva.

Conclusión

La Ley 21.719 no te obliga a nombrar un delegado, pero si tu empresa trata datos personales de forma sistemática y a escala, hacerlo voluntariamente es una inversión en cumplimiento que puede evitar multas graves y facilitar tu relación con la Agencia.

Askesis incluye un campo de DPO en el perfil de empresa para que sus datos de contacto aparezcan automáticamente en los documentos legales generados (políticas de privacidad, registros de tratamiento). Si aún no has configurado el tuyo, puedes hacerlo en Configuración de empresa.