Cláusulas Contractuales Modelo y transferencia internacional de datos bajo la Ley 21.719
Actualizado el
La Ley 21.719 permite transferir datos personales fuera de Chile solo con un mecanismo de garantía. Cuando usa HubSpot, AWS, Salesforce o una casa matriz en el extranjero, hay una transferencia internacional que debe amparar. La ley acepta varias vías: países con nivel adecuado, Cláusulas Contractuales Modelo (CCM), normas corporativas vinculantes o el consentimiento del titular. En diciembre de 2025 el Ministerio de Economía aprobó las CCM (RAEX202503748) como mecanismo de garantía, aunque su alcance está en debate porque algunos juristas sostienen que esa competencia sería de la futura Agencia (APDP). En la práctica, las CCM se incorporan como anexo al DPA con cada proveedor. No prohíbe usar proveedores extranjeros: exige la garantía. Vea también proveedores SaaS extranjeros.
Cuándo ocurre una transferencia internacional (y por qué le afecta)
Hay transferencia internacional cada vez que un dato personal sale del territorio chileno o queda accesible desde el extranjero. No importa que el dato siga alojado en un servidor: si su proveedor lo procesa, replica o respalda fuera de Chile, o si personal de soporte lo consulta desde otro país, la transferencia existe.
La mayoría de las empresas la realizan sin darse cuenta, porque está incrustada en herramientas de uso diario. El punto no es si transfiere, sino si esa transferencia tiene un mecanismo de garantía detrás.
- CRM y marketing en la nube (HubSpot, Salesforce) con datos alojados en EE. UU. o Europa.
- Infraestructura y respaldos en AWS, Google Cloud o Azure en regiones fuera de Chile.
- Reporte de clientes o RR. HH. a una casa matriz o filial en el extranjero.
- Soporte, mesa de ayuda o desarrollo accedido remotamente desde otro país.
Qué mecanismos de garantía acepta la ley
La Ley 21.719 no prohíbe la transferencia internacional: la condiciona a que exista una garantía adecuada. La ley reconoce varias vías, y usted elige la que corresponda a cada flujo. No todas son intercambiables: el consentimiento, por ejemplo, es frágil y revocable, mientras que las cláusulas contractuales dan una base estable para un flujo permanente con un proveedor.
- Países o territorios con nivel adecuado de protección, reconocidos como tales por la autoridad.
- Cláusulas Contractuales Modelo (CCM) incorporadas al contrato con el destinatario.
- Normas corporativas vinculantes, para transferencias dentro de un mismo grupo empresarial.
- Consentimiento expreso e informado del titular, o las demás excepciones legales tasadas (ejecución de un contrato, interés del titular, etc.).
Las Cláusulas Contractuales Modelo aprobadas en diciembre de 2025
En diciembre de 2025 el Ministerio de Economía aprobó las Cláusulas Contractuales Modelo mediante la resolución RAEX202503748. Son un texto tipo que las partes incorporan a su contrato para comprometer al destinatario extranjero a un nivel de protección equivalente al chileno: finalidad limitada, seguridad, atención de derechos ARCOP y responsabilidad.
Su ventaja práctica es que evitan negociar garantías desde cero con cada proveedor. Pero su alcance está en debate. Parte de la doctrina sostiene que definir estas cláusulas sería una competencia de la futura Agencia de Protección de Datos Personales (APDP), aún no constituida, y no del Ministerio de Economía. Ese debate no le impide usarlas hoy como base contractual, pero conviene documentar la decisión y que su abogado la valide, porque el criterio puede afinarse cuando la Agencia entre en funciones.
Cómo encajan las CCM dentro de un DPA
Las CCM no reemplazan al contrato de encargo de tratamiento (DPA): se incorporan a él. El DPA regula la relación responsable-encargado dentro de Chile, y las CCM se suman como el anexo que ampara específicamente el componente de transferencia internacional. Un mismo proveedor puede requerir ambas capas.
En la práctica, la remediación consiste en revisar cada contrato de proveedor, identificar dónde hay salida de datos al extranjero y anexar las cláusulas correctas. Ese es el trabajo del pack de remediación DPA: mapear los flujos, redactar los anexos y dejar cada transferencia con un mecanismo de garantía documentado.
- El DPA fija roles, finalidad, seguridad y subencargados dentro del marco chileno.
- Las CCM anexas comprometen al destinatario extranjero al nivel de protección exigido.
- El registro de actividades debe reflejar cada transferencia y su mecanismo de garantía.
- Si el proveedor impone su propio addendum, se revisa que sea compatible, no se firma a ciegas.
El error que conviene evitar: confundir el mecanismo con el mito
Circula la idea de que usar Salesforce, AWS o cualquier nube extranjera quedaría prohibido bajo la Ley 21.719. No es así: lo que la ley exige es amparar la transferencia con un mecanismo de garantía, no dejar de usar la herramienta. Esa confusión se aclara en detalle en datos en proveedores SaaS extranjeros.
El foco correcto es de ingeniería contractual: identificar cada flujo, elegir la garantía adecuada (país adecuado, CCM, normas corporativas o consentimiento) y dejarla firmada. Nosotros implementamos ese mapeo y los anexos; su abogado valida el texto legal.
Preguntas frecuentes
¿Puedo seguir usando HubSpot, AWS o Salesforce con la Ley 21.719?
Sí. La ley no prohíbe proveedores extranjeros. Exige que la transferencia internacional tenga un mecanismo de garantía: país con nivel adecuado, Cláusulas Contractuales Modelo, normas corporativas vinculantes o consentimiento del titular. El proveedor se mantiene; lo que se agrega es la garantía contractual.
¿Qué son las Cláusulas Contractuales Modelo (CCM)?
Son un texto tipo aprobado por el Ministerio de Economía en diciembre de 2025 (RAEX202503748) que las partes incorporan a su contrato para obligar al destinatario extranjero a un nivel de protección equivalente al chileno. Funcionan como mecanismo de garantía para transferir datos fuera de Chile sin negociar cada garantía desde cero.
¿Las CCM las define el Ministerio de Economía o la Agencia?
Hoy fueron aprobadas por el Ministerio de Economía, pero su alcance está en debate. Algunos juristas sostienen que esa competencia correspondería a la futura Agencia de Protección de Datos, aún no constituida. Puede usarlas como base contractual hoy, documentando la decisión, y ajustar cuando la Agencia entre en funciones.
¿Las CCM reemplazan al contrato de encargo de tratamiento (DPA)?
No. Las CCM se incorporan al DPA como anexo. El DPA regula la relación responsable-encargado dentro de Chile; las CCM amparan el componente de transferencia internacional. Un mismo proveedor puede necesitar ambas capas, y el registro de actividades debe reflejar cada transferencia y su garantía.
¿Sirve el consentimiento del titular como mecanismo de transferencia?
Sirve como una de las vías legales, pero es frágil: el titular puede revocarlo y usted queda sin base para un flujo permanente. Para transferencias continuas con un proveedor conviene usar Cláusulas Contractuales Modelo o normas corporativas vinculantes, que dan una base estable e independiente de la voluntad de cada titular.