Publicaciones
DPO externo en Chile: lo que la ley permite y lo que no
Externalizar el cargo es posible en el sector privado y está prohibido en el sector público. Y en ambos casos, el contrato tiene que resolver algo que un contrato de asesoría estándar no cubre.
Autor: Erika Quintana Espinoza, Socia · Legal y Regulatorio · Revisión: Antonio Vásquez Amestica, Socio · Datos y Seguridad
Publicado: · Última revisión normativa:
¿Se puede contratar un DPO externo en Chile?
La Ley 19.628 reformada no prohíbe que el delegado sea un tercero contratado. Tampoco lo regula expresamente, lo que deja el arreglo entregado al contrato y a las reglas generales.
Hay dos límites duros que conviene tener presentes antes de firmar un servicio de DPO externo.
¿Puede un organismo público externalizar el cargo de DPO?
El artículo quinto transitorio establece que los órganos públicos que establezcan un encargado de prevención o delegado de protección de datos deberán designar para ello a un funcionario de la dotación vigente del respectivo organismo. Un servicio público no puede externalizar el cargo. Puede contratar asesoría, capacitación y apoyo metodológico, pero el delegado tiene que ser suyo.
¿Quién responde si el DPO externo infringe el deber de secreto?
Como el responsable de datos responde por las infracciones al deber de secreto de su delegado, el contrato con un DPO externo debe resolver expresamente el régimen de confidencialidad, la trazabilidad de accesos y la acción de repetición. Un contrato de asesoría estándar no cubre eso.
¿Qué es un modelo mixto de DPO interno y externo?
El modelo que funciona en organizaciones medianas suele ser mixto. Un delegado interno con la designación formal y la autonomía que exige el artículo 50, apoyado por un equipo externo que aporta metodología, capacidad de levantamiento y monitoreo normativo. El cargo se ejerce adentro. La carga técnica se distribuye.
¿Qué cláusulas concretas debe tener el contrato con un DPO externo?
Más allá del régimen de confidencialidad ya mencionado, un contrato de servicio de DPO externo que funciona en la práctica tiene que resolver cuatro puntos que un contrato de asesoría genérico deja abiertos:
- Dedicación real, no solo horas facturables: cuántas horas al mes, y con qué anticipación se pueden convocar fuera de ese cupo ante un incidente.
- Continuidad ante rotación del proveedor: qué pasa con el registro y el conocimiento acumulado si la persona asignada cambia de equipo.
- Acceso a sistemas internos con el nivel exacto de privilegio que necesita para supervisar, sin que eso lo convierta en encargado de tratamiento con responsabilidades adicionales.
- Salida ordenada: qué pasa con el registro de actividades de tratamiento, el plan anual de trabajo y las comunicaciones con la Agencia si termina el contrato.
Vestigia ejerce la función de DPO externo.
Preguntas frecuentes
- ¿Se puede contratar un DPO externo en Chile?
- En el sector privado sí: la Ley 19.628 reformada no prohíbe que el delegado sea un tercero contratado, aunque tampoco lo regula expresamente. En el sector público no: el artículo quinto transitorio obliga a designar a un funcionario de la dotación vigente del organismo.
- ¿Qué debe cubrir el contrato con un DPO externo?
- El régimen de confidencialidad, la trazabilidad de accesos y la acción de repetición, porque el responsable de datos responde por las infracciones al deber de secreto que cometa su delegado. Un contrato de asesoría estándar no cubre eso.
Fuentes
Ley 21.719 (D.O. 13-12-2024) y Ley 19.628 en su texto reformado, versión BCN. Ley 21.806 (D.O. 05-02-2026). Resolución Exenta 202503748 del Ministerio de Economía (D.O. 19-12-2025) sobre cláusulas contractuales tipo para transferencias internacionales. Circular IF/N° 514 de la Superintendencia de Salud (D.O. 05-11-2025). Valor UTM del Servicio de Impuestos Internos.
Este artículo tiene fines informativos y no constituye asesoría legal para un caso concreto.