DPO externo en Chile: la verdad sobre cuándo conviene
Actualizado el
Un DPO externo no es obligatorio en Chile. La Ley 21.719, en su artículo 50, dice que el responsable «podrá designar» un delegado de protección de datos, es una facultad, no un deber. El delegado solo se vuelve exigible si la empresa adopta de forma voluntaria un Modelo de Prevención de Infracciones (MPI, art. 49), y hoy nadie puede certificar un MPI porque la Agencia (APDP) aún no está constituida. Por eso un retainer mensual de «DPO externo» vendido como requisito legal es humo. Un delegado, interno o externo, sí aporta valor en organizaciones grandes, con tratamiento intensivo de datos sensibles o que deciden operar un MPI. Si lo que usted necesita es cumplir, empiece por los entregables a precio fijo: la EIPD obligatoria y la remediación de contratos DPA, no un gasto recurrente sin alcance definido.
El artículo 50 establece que el responsable de datos «podrá designar» un delegado de protección de datos personales. Es una facultad, no una obligación. El delegado solo se vuelve exigible cuando la empresa adopta de forma voluntaria un Modelo de Prevención de Infracciones conforme al artículo 49.
El DPO externo no es obligatorio: lo que dice el artículo 50
La primera cosa que debe saber antes de firmar cualquier retainer: la Ley 21.719 no le obliga a tener un delegado de protección de datos, ni interno ni externo. El artículo 50 usa la palabra «podrá designar». En lenguaje legal eso es una facultad, algo que usted puede hacer si le conviene, no un deber cuyo incumplimiento se sanciona.
Esto es distinto del GDPR europeo, donde el DPO es obligatorio en ciertos supuestos. En Chile no existe ese mandato general. Quien le diga que «la ley exige un DPO desde el 1 de diciembre de 2026» está, en el mejor de los casos, confundido, y en el peor, vendiéndole un servicio recurrente sobre una obligación que no existe.
- Art. 50: el responsable «podrá designar» un delegado. Facultad, no obligación.
- No hay sanción por no tener DPO. La ley no lo lista entre los deberes exigibles.
- El DPO obligatorio del GDPR no se replica en la ley chilena.
El único caso en que se vuelve exigible: el MPI del artículo 49
Hay una sola vía por la que un delegado pasa a ser exigible, y es voluntaria. Si la empresa decide adoptar un Modelo de Prevención de Infracciones (MPI) conforme al artículo 49, ese modelo contempla la figura del delegado como parte de su estructura. Pero el MPI en sí no es obligatorio: es un mecanismo que la empresa elige para atenuar responsabilidad.
Aquí está el detalle que casi nadie menciona: hoy nadie puede certificar un MPI. La Agencia de Protección de Datos Personales (APDP) todavía no está constituida, el Senado rechazó a los consejeros y el plazo venció el 1 de junio de 2026. Sin Agencia no hay entidad que certifique el modelo. Así que pagar un retainer de DPO externo «para su MPI» hoy es pagar por una estructura que aún no se puede validar oficialmente.
- El MPI (art. 49) es voluntario: la empresa lo adopta para atenuar responsabilidad.
- El delegado forma parte del MPI, por eso solo ahí se vuelve exigible.
- La APDP no está constituida: hoy nadie certifica un MPI en Chile.
Cuándo un DPO (interno o externo) sí aporta valor
Que no sea obligatorio no significa que sea inútil. Un delegado con conocimiento real de la ley puede ordenar el cumplimiento de una organización, y en algunos perfiles la inversión se justifica. Seamos honestos sobre cuáles son.
Si usted es una organización grande, con tratamiento intensivo y continuo de datos, o maneja volúmenes importantes de datos sensibles (salud, biometría, situación socioeconómica), o efectivamente decidió construir y operar un MPI, entonces una función de delegado tiene sentido. En esos casos el punto no es «externo vs interno», sino tener a alguien responsable del programa de cumplimiento de forma permanente.
- Organizaciones grandes con muchas actividades de tratamiento simultáneas.
- Tratamiento intensivo de datos sensibles: clínicas, salud, seguros, biometría.
- Empresas que decidieron adoptar y operar un MPI del art. 49.
- Casos donde se necesita un punto de contacto permanente ante titulares y, en el futuro, la Agencia.
Cuándo es un gasto recurrente que usted no necesita
Para la mayoría de las pymes y empresas medianas con tratamiento acotado, un retainer mensual de DPO externo es un gasto recurrente sin retorno claro. Le cobran todos los meses por «estar disponibles», pero lo que usted realmente necesita para cumplir son entregables concretos y puntuales, no una suscripción indefinida.
La diferencia es simple: un entregable a precio fijo tiene alcance, plazo y un producto que queda en su poder. Un retainer no le entrega nada tangible salvo la promesa de estar ahí. Compare las dos lógicas antes de firmar.
- Pyme o empresa mediana con tratamiento acotado: no necesita retainer.
- Si busca cumplir, priorice la EIPD obligatoria y la remediación de DPA.
- Antes de contratar a alguien permanente, revise si le corresponde o no un delegado en DPO obligatorio en Chile.
| Criterio | DPO externo en retainer | Entregable a precio fijo |
|---|---|---|
| Base legal | Vendido como «obligatorio», pero el art. 50 dice «podrá» | Cubre lo que la ley sí exige (ej. EIPD, art. 15 ter) |
| Costo | Mensual e indefinido | Precio cerrado y único por entregable |
| Qué recibe | Disponibilidad, sin producto tangible | Un documento o remediación que queda en su poder |
| Alcance | Difuso, «lo que vaya saliendo» | Definido de antemano, con plazo |
| Riesgo | Pagar por una obligación que no existe | Cubrir una obligación real y verificable |
Qué contratar en vez de un retainer
Si su objetivo es llegar al 1 de diciembre de 2026 cumpliendo, lo eficiente es resolver primero lo que la ley sí le exige, con productos de alcance y precio cerrado, y solo después evaluar si además necesita una función de delegado permanente.
Nuestro enfoque es sin humo: implementamos, su abogado valida. No vendemos suscripciones legales indefinidas. Trabajamos entregables técnicos concretos junto al abogado del cliente.
- EIPD express: la evaluación de impacto obligatoria del art. 15 ter, a precio fijo.
- Pack remediación DPA: sus contratos de encargo con proveedores, corregidos.
- DPO obligatorio en Chile: dónde queda parada la figura del delegado según la ley.
Preguntas frecuentes
¿Es obligatorio tener un DPO externo en Chile?
No. La Ley 21.719, en su artículo 50, dice que el responsable «podrá designar» un delegado de protección de datos. Es una facultad, no una obligación. Un delegado solo se vuelve exigible si la empresa adopta voluntariamente un Modelo de Prevención de Infracciones (art. 49).
¿Cuánto cuesta un DPO externo?
Suele venderse como retainer mensual indefinido, pero ese formato no responde a ninguna obligación legal. Para cumplir usted necesita entregables concretos, como la EIPD o la remediación de contratos DPA, con precio cerrado y alcance definido, no una suscripción sin producto tangible.
¿Cuándo tiene sentido externalizar el DPO?
Cuando usted es una organización grande, trata datos sensibles de forma intensiva, o decidió operar un Modelo de Prevención de Infracciones. En esos casos una función de delegado permanente aporta orden. Para una pyme con tratamiento acotado, casi nunca se justifica.
¿Puedo cumplir la Ley 21.719 sin contratar un DPO?
Sí. El delegado no es un requisito general de la ley. Lo que sí debe resolver son las obligaciones reales, como la evaluación de impacto (EIPD, art. 15 ter) cuando corresponde y la corrección de sus contratos de encargo con proveedores. Empiece por ahí.
¿Por qué dicen que el DPO es obligatorio desde diciembre de 2026?
Es sobreventa. La plena vigencia de la ley el 1 de diciembre de 2026 es firme, pero eso no crea una obligación de tener DPO. El art. 50 sigue diciendo «podrá designar». Además, la Agencia aún no está constituida, así que hoy nadie puede certificar el MPI que haría exigible al delegado.