Publicaciones
No, el DPO no es obligatorio para organismos públicos en Chile
Una afirmación específica sobre la Ley 21.719 está circulando como consenso y es incorrecta. No es una diferencia de matiz: es el texto de otro reglamento, de otro país.
Autor: Erika Quintana Espinoza, Socia · Legal y Regulatorio · Revisión: Antonio Vásquez Amestica, Socio · Datos y Seguridad
Publicado: · Última revisión normativa:
¿Es obligatorio el DPO para organismos públicos en Chile?
No. Y conviene ser específico sobre qué es lo que circula, porque no es una vaguedad genérica sobre «buenas prácticas»: es una afirmación puntual, con tres supuestos concretos, que se presenta como si fuera el texto de la ley chilena.
La afirmación dice, en sustancia, que la Ley 21.719 obliga a designar un delegado de protección de datos en tres casos: cuando el responsable es un organismo público, cuando su actividad principal implica monitoreo sistemático y a gran escala de titulares, y cuando su actividad principal implica tratamiento a gran escala de datos sensibles.
¿Qué dice realmente el artículo 50 de la ley chilena?
El artículo 50 no distingue por tipo de responsable ni por escala de tratamiento. Dice que el responsable de datos «podrá designar» un delegado. Es una facultad, sin excepciones que la conviertan en obligación por categoría de sujeto o de tratamiento.
«Artículo 50.- Atribuciones del delegado. El responsable de datos podrá designar un delegado de protección de datos personales.»
Inciso primero — Ley 19.628, texto reformado por la Ley 21.719 · Ver en BCN (versión vigente 01-12-2026)
El desarrollo completo de en qué casos deja de ser opcional está en nuestro artículo sobre la obligatoriedad del DPO: se activa cuando la organización decide certificar un modelo de prevención de infracciones, no por ser un organismo público o por el volumen de datos que trata.
¿De dónde sale entonces la afirmación de los tres supuestos?
Del artículo 37, apartado 1, del Reglamento (UE) 2016/679 —el RGPD europeo—, que sí obliga a designar un DPO exactamente en esos tres casos.
«1. The controller and the processor shall designate a data protection officer in any case where: (a) the processing is carried out by a public authority or body, except for courts acting in their judicial capacity; (b) the core activities of the controller or the processor consist of processing operations which, by virtue of their nature, their scope and/or their purposes, require regular and systematic monitoring of data subjects on a large scale; or (c) the core activities of the controller or the processor consist of processing on a large scale of special categories of data pursuant to Article 9 or personal data relating to criminal convictions and offences referred to in Article 10.»
Artículo 37, apartado 1 — Reglamento (UE) 2016/679 (RGPD) · Ver texto en gdpr-info.eu
Letra por letra, son los mismos tres supuestos que circulan atribuidos a la ley chilena. El error tiene una explicación simple: gran parte del material de cumplimiento que se produce en la región traduce y adapta materiales redactados originalmente para el RGPD, y en este punto la adaptación no se hizo. El resultado es una obligación europea presentada como si fuera chilena.
¿Qué cambia esto en la práctica para una organización en Chile?
Que ningún organismo público, ninguna empresa con monitoreo a gran escala y ninguna empresa que trate datos sensibles a gran escala está, por esa sola condición, legalmente obligada a designar un DPO en Chile. La decisión de designar sigue siendo estratégica: depende de si la organización quiere construir una defensa acreditable frente a un procedimiento sancionatorio, no de en qué categoría de las tres cae.
Dicho eso, la lógica regulatoria de fondo no es descartable solo porque el texto no la imponga. Un organismo público o una empresa con tratamiento masivo de datos sensibles sigue siendo, en los hechos, el tipo de responsable que más necesita un DPO —aunque la ley no se lo exija—, precisamente porque es el tipo de responsable que más expuesto queda si algo sale mal.
¿Cómo verifica usted mismo cuál de los dos textos aplica?
Dos pasos, sin depender de lo que diga ningún artículo, incluido este. Primero, confirme la jurisdicción del tratamiento: si los datos son de personas en Chile y el responsable opera en Chile, el texto aplicable es la Ley 19.628 reformada por la Ley 21.719, no el RGPD. Segundo, lea el artículo 50 completo en la versión vigente en BCN —enlazada en el bloque de cita más arriba— y confirme que no contiene los supuestos de organismo público, monitoreo a gran escala o datos sensibles a gran escala como obligación. No los contiene.
Un diagnóstico de exposición le confirma, con su caso concreto, si necesita DPO.
Preguntas frecuentes
- ¿Es obligatorio el DPO para organismos públicos en Chile?
- No. El artículo 50 de la Ley 19.628 reformada no distingue por tipo de responsable: la designación es facultativa para organismos públicos igual que para privados. La obligación para organismos públicos es del artículo 37.1 letra a) del RGPD europeo, que Chile no replicó.
- ¿Es obligatorio el DPO si mi empresa hace monitoreo sistemático a gran escala?
- No en Chile. Ese supuesto corresponde al artículo 37.1 letra b) del RGPD. La Ley 21.719 no condicionó la obligatoriedad del DPO al volumen o sistematicidad del monitoreo.
- ¿Es obligatorio el DPO si trato datos sensibles a gran escala?
- No en Chile. Ese es el artículo 37.1 letra c) del RGPD. El artículo 50 de la ley chilena mantiene la designación como voluntaria incluso para tratamiento de datos sensibles, sin perjuicio de que sea recomendable en la práctica.
- ¿Por qué circula esta confusión sobre la Ley 21.719?
- Porque buena parte del material de cumplimiento disponible traduce y adapta contenido redactado originalmente para el RGPD europeo, y en este punto específico —los supuestos de obligatoriedad del artículo 37— la adaptación al texto chileno no se hizo.
Fuentes
Ley 21.719 (D.O. 13-12-2024) y Ley 19.628 en su texto reformado, versión BCN. Ley 21.806 (D.O. 05-02-2026). Resolución Exenta 202503748 del Ministerio de Economía (D.O. 19-12-2025) sobre cláusulas contractuales tipo para transferencias internacionales. Circular IF/N° 514 de la Superintendencia de Salud (D.O. 05-11-2025). Valor UTM del Servicio de Impuestos Internos.
Este artículo tiene fines informativos y no constituye asesoría legal para un caso concreto.