Acuerdo de Procesamiento de Datos (DPA) Chile

Sí. El Artículo 14 de la Ley 21.719 de 2024 (nueva Ley de Protección de Datos Personales de Chile) establece expresamente que el responsable del tratamiento que encargue el procesamiento de datos personales a un tercero (encargado del tratamiento) debe suscribir un contrato escrito — el DPA — que regule las condiciones del encargo. Esta obligación es aplicable a todas las empresas chilenas que contraten servicios externos que impliquen el procesamiento de datos personales de sus clientes, empleados u otros titulares: servicios de computación en nube, gestión de nóminas externalizadas, call centers, plataformas de marketing digital, análisis de datos, servicios de procesamiento de pagos y similares. El incumplimiento de la obligación de suscribir el DPA puede ser sancionado por la Agencia de Protección de Datos Personales — el nuevo organismo regulador creado por la Ley 21.719 — con multas de hasta el 4% de los ingresos anuales del infractor para infracciones graves, y hasta el 2% para infracciones leves. La Ley 21.719 tiene un período de vacancia legal para la plena entrada en vigor de algunas de sus disposiciones, por lo que se recomienda verificar las fechas de aplicación de cada obligación con un Abogado especialista.

La distinción entre responsable y encargado del tratamiento es fundamental en la Ley 21.719/2024 de Chile, siguiendo el modelo del RGPD europeo. El responsable del tratamiento (data controller) es la persona natural o jurídica que determina los fines (para qué se tratan los datos) y los medios (cómo se tratan) del tratamiento de datos personales. El responsable es quien tiene la relación directa con los titulares de los datos y quien responde ante ellos y ante la Agencia de Protección de Datos Personales por el cumplimiento de la ley. El encargado del tratamiento (data processor) es la persona natural o jurídica que procesa datos personales únicamente por cuenta y bajo las instrucciones del responsable, sin determinar los fines ni los medios por sí mismo. El encargado actúa como prestador de servicios del responsable y solo puede tratar los datos para las finalidades que el responsable le haya autorizado expresamente en el DPA. Ejemplos: una empresa de retail que recopila datos de sus clientes es el responsable; el proveedor de cloud que almacena esos datos es el encargado. Una empresa de recursos humanos que procesa los datos de los empleados de otra empresa bajo sus instrucciones es el encargado; la empresa empleadora es el responsable. Esta distinción determina las obligaciones legales de cada parte y las responsabilidades frente a los titulares y las autoridades.

La Ley 21.719/2024 de Chile establece un régimen sancionatorio escalonado administrado por la Agencia de Protección de Datos Personales. Las infracciones se clasifican en leves, graves y gravísimas. Las infracciones leves — como el incumplimiento de obligaciones formales o la falta de registro de actividades de tratamiento — pueden ser sancionadas con multas de hasta 5.000 Unidades Tributarias Mensuales (UTM, aproximadamente CLP 340.000.000 en 2025) o el 1% de los ingresos anuales del infractor. Las infracciones graves — como el tratamiento de datos sin base legal, el incumplimiento de los derechos de los titulares, o la falta de medidas de seguridad adecuadas — pueden acarrear multas de hasta 10.000 UTM o el 2% de los ingresos anuales. Las infracciones gravísimas — como el tratamiento de datos sensibles sin las bases de licitud reforzadas, la transferencia internacional de datos sin garantías suficientes, o el reincidencia en infracciones graves — pueden ser sancionadas con multas de hasta 20.000 UTM o el 4% de los ingresos anuales del infractor. Adicionalmente, la Ley 21.719 establece la responsabilidad civil del responsable y del encargado por los daños causados a los titulares, y en casos de infracciones penales graves (tratamiento de datos sensibles sin autorización, usurpación de identidad) pueden aplicarse las sanciones del Código Penal.

Las empresas que tienen DPAs suscritos bajo la Ley 19.628/1999 deben revisar y actualizar estos contratos para cumplir con los nuevos requisitos de la Ley 21.719/2024. La Ley 21.719 introduce obligaciones adicionales que no existían bajo la Ley 19.628: la obligación de notificación de brechas de seguridad dentro de las 72 horas (Artículo 20 de la Ley 21.719), los requisitos detallados de las cláusulas mínimas del DPA (Artículo 15), la regulación de subencargados (Artículo 17), la obligación de registro de actividades de tratamiento (Artículo 14bis), los nuevos derechos de portabilidad y oposición de los titulares, y las exigencias reforzadas para la transferencia internacional de datos (Artículo 24). Las empresas deben evaluar si sus DPAs actuales cumplen con los nuevos requisitos de la Ley 21.719 y suscribir adendas o nuevos contratos según corresponda. La Agencia de Protección de Datos Personales publicará guías y modelos de contratos que facilitarán la adaptación. Durante el período de vacancia legal de la Ley 21.719, la Ley 19.628 sigue vigente, pero se recomienda comenzar la adaptación inmediatamente para evitar incumplimientos cuando la nueva ley sea plenamente exigible.

El Artículo 16 de la Ley 21.719/2024 define las categorías especiales de datos (datos sensibles) que reciben protección reforzada en el derecho chileno de protección de datos. Son datos sensibles los que revelan el origen racial o étnico de la persona, sus opiniones políticas, sus convicciones religiosas o filosóficas, su afiliación sindical, los datos genéticos (datos personales relativos a las características genéticas heredadas o adquiridas que proporcionen información única sobre la fisiología o la salud del individuo), los datos biométricos tratados con el propósito de identificar de manera unívoca a una persona física (como huellas dactilares, reconocimiento facial, iris), los datos relativos a la salud (diagnósticos médicos, historial clínico, recetas, incapacidades laborales), y los datos relativos a la vida sexual u orientación sexual. El tratamiento de datos sensibles está sujeto a condiciones más estrictas que el tratamiento de datos personales ordinarios: requiere el consentimiento explícito del titular (no basta el consentimiento genérico), o una base legal específica prevista por la Ley 21.719, y el DPA debe contemplar medidas de seguridad técnicas y organizativas reforzadas para este tipo de datos. Las empresas que manejan datos de salud (clínicas, mutualidades, ISAPRE, servicios de telemedicina) y datos biométricos (control de acceso por huella o reconocimiento facial) deben prestar especial atención a estos requisitos.

El Artículo 20 de la Ley 21.719/2024 establece el protocolo obligatorio de notificación de brechas de seguridad (violaciones de datos) en Chile. Cuando el encargado del tratamiento detecta una brecha de seguridad que afecte datos personales que procesa en nombre del responsable, debe notificar al responsable sin dilación indebida y, en todo caso, dentro de las 72 horas siguientes a tener conocimiento de la brecha. El responsable del tratamiento, a su vez, debe notificar la brecha a la Agencia de Protección de Datos Personales dentro del mismo plazo de 72 horas desde que tiene conocimiento de ella, indicando la naturaleza de la brecha, las categorías y el número aproximado de titulares afectados, las posibles consecuencias de la brecha, y las medidas adoptadas o propuestas para remediar la situación. Cuando la brecha pueda suponer un alto riesgo para los derechos y libertades de los titulares (por ejemplo, filtraciones de datos de salud, financieros o de contraseñas), el responsable debe notificar directamente a los titulares afectados sin demora indebida, explicando la naturaleza de la brecha, los datos comprometidos y las medidas recomendadas para mitigar sus posibles consecuencias. El DPA debe establecer el procedimiento de comunicación entre encargado y responsable ante brechas de seguridad, asignar responsabilidades, y establecer el contenido mínimo de la notificación.

Sí. El uso de servicios como Google Workspace (anteriormente G Suite), Microsoft 365, Salesforce, AWS, u otras plataformas que procesan datos personales de titulares chilenos en nombre de una empresa chilena requiere la suscripción de un DPA conforme al Artículo 14 de la Ley 21.719/2024. Estas plataformas son encargados del tratamiento en los términos de la Ley 21.719, dado que procesan datos personales (correos electrónicos, documentos, datos de clientes almacenados en CRM, datos de empleados en sistemas de RR.HH.) por cuenta y bajo las instrucciones de la empresa usuaria (responsable del tratamiento). Google, Microsoft, Salesforce y otros grandes proveedores de tecnología ofrecen DPAs estándar (Data Processing Agreements o Data Processing Addendums) que pueden ser aceptados mediante la configuración de la cuenta o mediante la firma de un documento adicional. Sin embargo, las empresas chilenas deben verificar que los DPAs estándar de estos proveedores cumplan con los requisitos específicos de la Ley 21.719 — especialmente en materia de transferencias internacionales de datos, notificación de brechas, derechos de los titulares, y condiciones para la subcontratación — y complementarlos o renegociarlos cuando sea necesario para cumplir con la normativa chilena.

El Delegado de Protección de Datos (DPO — Data Protection Officer) es el profesional responsable de supervisar el cumplimiento de la normativa de protección de datos dentro de una organización, asesorar al responsable y al encargado del tratamiento sobre sus obligaciones, y actuar como punto de contacto con la Agencia de Protección de Datos Personales y con los titulares de datos. La Ley 21.719/2024 de Chile introduce la figura del Delegado de Protección de Datos para ciertos responsables y encargados del tratamiento. Conforme al Artículo 34 de la Ley 21.719, el nombramiento de un DPO es obligatorio para los organismos públicos, para los responsables y encargados cuyo núcleo de actividades consiste en operaciones de tratamiento que requieren monitoreo periódico y sistemático de los titulares a gran escala, y para los responsables y encargados que tratan a gran escala categorías especiales de datos sensibles o datos de condenas penales. Las demás empresas pueden nombrar un DPO voluntariamente. El DPO puede ser un empleado de la organización o un proveedor externo (DPO as a Service), y debe tener conocimientos especializados en derecho y práctica de protección de datos. El nombramiento del DPO y sus datos de contacto deben comunicarse a la Agencia de Protección de Datos Personales conforme a los procedimientos que esta establezca en su reglamentación.