La certificación del Modelo de Prevención de Infracciones la otorga la Agencia de Protección de Datos Personales, directamente. No hay certificadoras externas acreditadas. Eso cambia la lógica del proyecto: no se trata de aprobar una auditoría, sino de presentar un expediente administrativo que acredite cada elemento del reglamento.
Quién certifica y con qué atribuciones
El artículo 14 del DS 662 le entrega a la Agencia cuatro potestades sobre el modelo: certificar, registrar, supervisar y revocar, más la de aplicar las sanciones que contempla la ley. El artículo 15 agrega que, para el estudio de la solicitud, la Agencia «podrá contratar servicios de terceros» conforme a la Ley 19.886 —pero la decisión sigue siendo suya.
Como no hay certificadoras acreditadas, ninguna consultora puede «certificar» tu modelo. Lo que sí puede hacer un tercero es implementarlo conforme al reglamento y dejar el expediente completo y ordenado para su presentación. Desconfía de cualquier oferta que prometa entregar el certificado.
El procedimiento, paso a paso
Paso 1 — Tener la adecuación hecha
No es un paso formal del reglamento, pero es una precondición material. La caracterización que exige el artículo 3 letra d) es un registro de actividades de tratamiento ampliado a once campos. Sin RAT, bases de licitud documentadas y procesos ARSOP operando, no hay sobre qué construir. El punto de partida es la adecuación a la Ley 21.719.
Paso 2 — Implementar los nueve componentes del artículo 3
Designación del delegado con definición de medios y facultades; caracterización de tratamientos; matriz de riesgos ponderada a la graduación de sanciones; protocolos y reglas por proceso; mecanismos de reporte interno, reporte a la Agencia y autodenuncia; régimen disciplinario interno; y canal de denuncia ante el delegado con reserva de identidad e indemnidad del denunciante.
Paso 3 — Integrar el programa a la relación laboral
El artículo 4 exige incorporar la regulación interna como obligación expresa en los contratos de trabajo y de prestación de servicios de toda la dotación —incluidos los máximos cargos ejecutivos— y en el reglamento interno de orden, higiene y seguridad, cumpliendo las medidas de publicidad del artículo 156 del Código del Trabajo. El artículo 5 añade el deber de difundir la existencia del programa y sus actualizaciones.
Paso 4 — Armar el expediente
Es la pieza que define el resultado. Debe acreditar, elemento por elemento, el cumplimiento del reglamento:
| Sección del expediente | Artículo | Evidencia esperada |
|---|---|---|
| Individualización | 3 a) | Antecedentes del responsable y de su representante legal |
| Gobernanza del delegado | 3 b), c), 8, 9, 10 | Acta de designación por la máxima autoridad, definición de autonomía y línea de reporte, medios y facultades asignados, análisis de conflicto de interés y antecedentes que acrediten idoneidad |
| Caracterización de tratamientos | 3 d) | Registro con los once campos obligatorios completos |
| Riesgos | 3 e) | Identificación de procesos de riesgo y matriz ponderada a la graduación de sanciones |
| Operación | 3 f) | Protocolos y reglas por proceso, proporcionales al tamaño y capacidad económica |
| Reporte y autodenuncia | 3 g) | Procedimiento de reporte interno, de notificación a la Agencia y a titulares, y mecanismo de autodenuncia |
| Disciplina y denuncia | 3 h), 3 i) | Régimen sancionatorio interno y canal de denuncia con reserva de identidad |
| Integración laboral y difusión | 4, 5 | Anexos de contrato firmados, RIOHS modificado, constancia de publicidad, plan de difusión ejecutado |
| Contacto del delegado | 11 | Publicación en el sitio web y comunicación del nombre y contacto a la Agencia |
| Sostenibilidad | 13 i) | Plan anual de trabajo del delegado y modelo de rendición de cuentas |
Paso 5 — Presentar la solicitud
El procedimiento se inicia a solicitud del interesado y se tramita conforme a la Ley 19.880 y a la instrucción general que la Agencia debe dictar. En su acto terminal, la Agencia resuelve y, si concede la certificación, dispone la incorporación del modelo al registro.
El reglamento no fija plazos de resolución. El procedimiento concreto depende de la instrucción general que la Agencia aún debe dictar conforme al artículo 15. Por eso el artículo 18 es relevante: permite iniciar la implementación antes de que ese engranaje esté funcionando.
Qué pasa después: registro, vigencia y supervisión
El registro es público
La Agencia incorpora a las entidades con certificación vigente al Registro Nacional de Sanciones y Cumplimiento (art. 17), indicando el responsable, su representante legal —en servicios centralizados, el jefe de servicio—, la fecha de incorporación y el plazo de vencimiento. El registro permite acceso público a los certificados, y a petición del responsable la Agencia emite una constancia.
Ojo con el artículo 5: solo se puede publicitar la certificación mediante referencia directa, pura y simple a ese registro. Nada de sellos propios ni interpretaciones sobre el alcance.
Tres años, con supervisión durante todo el período
El certificado dura tres años y se renueva a petición del interesado por el mismo procedimiento. En ese lapso la Agencia «podrá supervisar el cumplimiento de los modelos de prevención que haya certificado» (art. 19) y requerir toda la información necesaria. El delegado debe ponerla a disposición de forma íntegra y oportuna. El responsable puede exceptuarse solo cuando la información esté amparada por secreto o confidencialidad, señalando la norma y acreditando la causal.
Entregar información falsa, incompleta o manifiestamente errónea es sancionable conforme a la Ley 19.628.
Cómo se pierde la certificación
El artículo 16 enumera cinco causales de término de vigencia:
- Revocación dispuesta por la Agencia.
- Fallecimiento del responsable, si es persona natural.
- Disolución de la persona jurídica.
- Resolución judicial ejecutoriada.
- Cese voluntario de la actividad objeto del modelo, con aviso a la Agencia dentro de treinta días.
La revocación propiamente tal la regula el artículo 20. Procede de manera fundada en dos supuestos: si el responsable infringe o deja de cumplir cualquiera de los requisitos exigidos para certificar el modelo, o si es sancionado por infracciones de los artículos 34 bis, 34 ter o 34 quáter con infracción al artículo 48 de la ley. Puede iniciarse de oficio o a petición de interesado.
«Dejar de dar cumplimiento a cualquiera de los requisitos» incluye los del funcionamiento continuo: el plan anual del delegado, la rendición de cuentas anual, la difusión interna, la actualización del programa y la publicación del contacto del delegado. Un modelo implementado y archivado no llega al tercer año.
Volver a certificar después de una revocación
Es posible, con una carga adicional: además de cumplir todos los requisitos, el responsable debe acreditar fehacientemente que la causal fue subsanada, aportando los antecedentes sobre las medidas organizativas y de funcionamiento adoptadas para prevenir la misma infracción. La Agencia debe referirse especialmente a esas medidas en la nueva resolución.
Los tres errores que más comprometen un expediente
- Matriz de riesgos genérica. Reutilizar una matriz de seguridad de la información sin ponderarla por la graduación de sanciones de la Ley 21.719 incumple el artículo 3 letra e).
- Delegado con conflicto de interés. El artículo 9 prohíbe que el delegado realice actividades sujetas a su propia supervisión. El caso más común: la consultora que implementa el modelo ejerciendo después como delegado sobre su propio trabajo.
- Integración laboral incompleta. Anexos sin firmar, reglamento interno no modificado o medidas de publicidad del artículo 156 del Código del Trabajo omitidas. Es verificable documentalmente y no admite interpretación.
¿Quieres llegar a la Agencia con el expediente completo?
Implementamos el Modelo de Prevención de Infracciones conforme a los 20 artículos del DS 662 y dejamos el expediente ordenado para su presentación. Separamos los roles: el equipo que implementa no es el que después ejerce como delegado.
Ver el servicio de MPI → Solicitar evaluación →Preguntas frecuentes
¿Quién certifica el Modelo de Prevención de Infracciones?
La Agencia de Protección de Datos Personales, directamente. No existen certificadoras externas acreditadas. La Agencia puede contratar terceros para el estudio de la solicitud conforme a la Ley 19.886, pero la decisión es suya.
¿Cómo se inicia el procedimiento de certificación?
A solicitud del interesado (art. 15 del DS 662). Se tramita conforme a la Ley 19.880 y a la instrucción general que dicte la Agencia.
¿Cuánto se demora la Agencia en certificar?
El reglamento no fija plazo de resolución. Dependerá de la instrucción general que la Agencia aún debe dictar.
¿Qué contiene el expediente de certificación?
La evidencia de cada elemento del artículo 3: individualización, acta de designación del delegado con medios, facultades e idoneidad, caracterización de tratamientos con los once campos, matriz de riesgos ponderada, protocolos por proceso, reporte y autodenuncia, régimen disciplinario, canal de denuncia, integración a contratos y reglamento interno, difusión, y el plan anual del delegado con su rendición de cuentas.
¿Cuánto dura el certificado y se puede renovar?
Tres años, renovable a petición del interesado por el mismo procedimiento (art. 15, inciso final).
¿Por qué causales se pierde la certificación?
El artículo 16 enumera revocación, fallecimiento del responsable persona natural, disolución de la persona jurídica, resolución judicial ejecutoriada y cese voluntario de la actividad. El artículo 20 regula la revocación: procede si se deja de cumplir cualquier requisito o si el responsable es sancionado por infracciones de los arts. 34 bis, 34 ter o 34 quáter con infracción al artículo 48.
¿Puedo volver a certificar después de una revocación?
Sí, cumpliendo todos los requisitos y acreditando fehacientemente que la causal fue subsanada, con los antecedentes de las medidas adoptadas para prevenir la misma infracción.
¿Puedo implementar antes de solicitar la certificación?
Sí, y es lo recomendable. El artículo 18 del DS 662 lo permite expresamente.