Publicaciones
Delegado de ciberseguridad y DPO: dos cargos, dos leyes, ¿la misma persona?
Son dos leyes distintas, con dos autoridades distintas, y ninguna de las dos menciona a la otra. La pregunta de si conviene fusionar los cargos es de diseño organizacional, no de texto legal.
Autor: Antonio Vásquez Amestica, Socio · Datos y Seguridad · Revisión: Erika Quintana Espinoza, Socia · Legal y Regulatorio
Publicado: · Última revisión normativa:
¿Son el mismo cargo el delegado de ciberseguridad y el DPO?
No. Son dos figuras creadas por dos leyes distintas, con funciones y líneas de reporte distintas, y ninguna de las dos leyes remite a la otra.
«i) Designar un delegado de ciberseguridad, quien actuará como contraparte de la Agencia e informará a la autoridad o jefatura o jefe superior del órgano o servicio de la Administración del Estado o a los directores, gerentes, administradores o ejecutivos principales, según lo definan las instituciones privadas.»
Artículo 8, letra i) — Ley 21.663 · Ver en BCN (versión con vigencia desde 01-03-2025)
«Artículo 50.- Atribuciones del delegado. El responsable de datos podrá designar un delegado de protección de datos personales.»
Inciso primero — Ley 19.628, texto reformado por la Ley 21.719 · Ver en BCN (versión vigente 01-12-2026)
¿En qué se diferencian las dos figuras?
El delegado de ciberseguridad es obligatorio para todo Operador de Importancia Vital: no es facultativo como el DPO. Su contraparte es la ANCI, y su función mira hacia la seguridad de redes, sistemas y continuidad operacional. El DPO, en cambio, es facultativo bajo la Ley 19.628 reformada, su contraparte es la Agencia de Protección de Datos Personales, y su función mira hacia el tratamiento de datos personales: derechos de los titulares, bases de licitud, evaluaciones de impacto.
Se superponen en un punto concreto: un incidente de ciberseguridad que compromete datos personales activa, al mismo tiempo, el deber de reportar al CSIRT Nacional del artículo 9 de la Ley 21.663 y el deber de notificar a la Agencia de Protección de Datos del artículo 14 sexies de la Ley 19.628. El desarrollo completo de esa doble obligación está en a quién hay que notificar si sufre una filtración de datos.
¿Puede una misma persona ejercer los dos cargos?
Ninguna de las dos leyes lo prohíbe. Ninguna de las dos leyes lo autoriza expresamente tampoco: simplemente no se pronuncian sobre la otra. La decisión es de diseño organizacional, no una cuestión resuelta por el texto legal.
El caso a favor de fusionar los cargos es de eficiencia: en una organización de tamaño medio, mantener dos cargos separados para dos funciones que comparten buena parte del mismo incidente puede duplicar reportes y diluir responsabilidad. El caso en contra es de competencia: el artículo 8 letra i) exige que el delegado de ciberseguridad actúe como contraparte técnica de la ANCI, y el DPO exige, sobre todo, comprensión jurídica de derechos de los titulares. Encontrar a una sola persona que reúna ambos perfiles con solvencia real no es automático.
Lo que sí exige cada ley por separado es que la persona designada, sea la misma o no, cumpla los requisitos propios de cada cargo: para el DPO, idoneidad, capacidad y conocimientos específicos según el artículo 50; para el delegado de ciberseguridad, la línea de reporte directa a la máxima autoridad que exige el artículo 8 letra i). Fusionar los cargos no exime de cumplir ambos estándares a la vez. El resto de las obligaciones de un OIV está en la página completa de Operadores de Importancia Vital.
Ejercemos ambas funciones con el mismo equipo técnico y jurídico.
Preguntas frecuentes
- ¿El delegado de ciberseguridad de la Ley 21.663 es lo mismo que el DPO de la Ley 19.628?
- No. Son dos figuras creadas por leyes distintas: el delegado de ciberseguridad reporta a la ANCI y es obligatorio para todo Operador de Importancia Vital; el DPO reporta en materia de protección de datos y es facultativo bajo el artículo 50 de la Ley 19.628 reformada.
- ¿Puede la misma persona ser delegado de ciberseguridad y DPO a la vez?
- Ninguna de las dos leyes lo prohíbe ni lo autoriza expresamente. Es una decisión de diseño organizacional, siempre que la persona designada cumpla los requisitos propios de cada cargo.
Fuentes
Ley 21.719 (D.O. 13-12-2024) y Ley 19.628 en su texto reformado, versión BCN. Ley 21.806 (D.O. 05-02-2026). Resolución Exenta 202503748 del Ministerio de Economía (D.O. 19-12-2025) sobre cláusulas contractuales tipo para transferencias internacionales. Circular IF/N° 514 de la Superintendencia de Salud (D.O. 05-11-2025). Valor UTM del Servicio de Impuestos Internos.
Este artículo tiene fines informativos y no constituye asesoría legal para un caso concreto.