Si tu empresa ya tiene un Modelo de Prevención de Delitos, la buena noticia es que entiendes la lógica: programa documentado, responsable autónomo, canal de denuncia, régimen disciplinario, certificación. La mala es que tener un MPD no equivale a tener un MPI. Este artículo separa lo que se parece de lo que no, y define exactamente qué puedes reutilizar.
La comparación completa
| MPI — Modelo de Prevención de Infracciones | MPD — Modelo de Prevención de Delitos | |
|---|---|---|
| Norma | Ley 21.719, arts. 49 a 53 incorporados a la Ley 19.628; reglamento DS 662 del Ministerio de Hacienda | Ley 20.393 sobre responsabilidad penal de las personas jurídicas |
| Qué previene | Infracciones administrativas a la normativa de protección de datos personales (arts. 34 bis, 34 ter y 34 quáter) | Delitos del catálogo de la Ley 20.393: cohecho, lavado de activos, receptación, financiamiento del terrorismo, delitos económicos y ambientales, entre otros |
| Tipo de responsabilidad | Administrativa, ante la Agencia de Protección de Datos Personales | Penal de la persona jurídica, ante tribunales |
| Rol de gobernanza | Delegado de Protección de Datos, designado por la máxima autoridad, con autonomía y prohibición expresa de supervisar su propio trabajo (DS 662 art. 8 y 9) | Encargado de Prevención de Delitos, designado por el máximo órgano de administración, con autonomía respecto de la administración |
| Quién certifica | La Agencia de Protección de Datos Personales, directamente (DS 662 art. 14 y 15) | Empresas certificadoras externas registradas ante la CMF |
| Vigencia | Tres años, renovable (DS 662 art. 15) | Hasta dos años según la regulación aplicable |
| Registro público | Registro Nacional de Sanciones y Cumplimiento, administrado por la Agencia, de acceso público (DS 662 art. 17) | No existe un registro público equivalente administrado por el Estado |
| Efecto del programa | Circunstancia atenuante al graduar la sanción administrativa | Puede eximir o atenuar la responsabilidad penal de la persona jurídica |
| Adopción | Voluntaria; no exime del deber de cumplir la Ley 19.628 (DS 662 art. 1) | Voluntaria, con fuerte presión contractual y de mercado |
| Restricción de publicidad | Solo puede publicitarse por referencia directa, pura y simple al registro (DS 662 art. 5) | Sin restricción equivalente en la norma |
El MPD puede llegar a eximir de responsabilidad penal. El MPI atenúa la sanción administrativa. No es un matiz: cambia el argumento con el que se llega a la fiscalización. Vender el MPI como un escudo de inmunidad es incorrecto y, ante la Agencia, contraproducente.
Qué puedes reutilizar de tu MPD
Más de lo que parece, siempre que se adapte. El reglamento es explícito en un punto y permisivo en otros.
Reutilizable con adaptación
- El canal de denuncia. El artículo 3 letra g) del DS 662 permite expresamente que «los mecanismos de reporte interno podrán integrarse a canales existentes en la organización respecto de la denuncia a infracciones relativas a otras materias, siempre que éstos cumplan con lo establecido en la ley N° 19.628 y en este reglamento». Es la autorización más clara de reutilización que da la norma. La adaptación consiste en verificar que el canal permita denunciar ante el delegado, garantice reserva de identidad a petición del denunciante y asegure indemnidad frente a represalias (art. 3 letra i).
- El régimen disciplinario. El procedimiento sancionatorio interno ya existe; lo que falta es tipificar las conductas asociadas al tratamiento de datos y al incumplimiento del programa.
- Los anexos de contrato y el reglamento interno. Si ya integraste el MPD a los contratos y al RIOHS, el vehículo está montado. El artículo 4 del DS 662 exige el mismo mecanismo para el MPI, incluidos los máximos cargos ejecutivos y las medidas de publicidad del artículo 156 del Código del Trabajo.
- La gobernanza y la cultura. Una organización acostumbrada a un encargado autónomo que reporta al directorio y rinde cuentas tiene la mitad del problema resuelto.
No reutilizable: hay que construirlo
- La caracterización de tratamientos del artículo 3 letra d). Once campos obligatorios sobre datos personales que un MPD no contiene ni de lejos: tipo de datos y sensibilidad, ámbito territorial, categorías de bases, titulares, fines, fuentes, base de licitud, cesiones, transferencias internacionales, plazos de supresión y decisiones automatizadas.
- La matriz de riesgos del artículo 3 letra e). Debe desarrollarse «considerando la graduación de las sanciones previstas en la ley» —la de la Ley 21.719, no la penal—. El eje de ponderación es distinto y no se traduce.
- Los protocolos por proceso de tratamiento (art. 3 letra f). Un protocolo antilavado no previene una infracción de base de licitud.
- El mecanismo de reporte de brechas y autodenuncia. Referido a los artículos 14 sexies y 36 N° 4 de la Ley 19.628, con plazos y destinatarios propios.
- El expediente de certificación. Va a un certificador distinto, con requisitos distintos.
¿Puede la misma persona ser Encargado de Prevención de Delitos y Delegado de Protección de Datos?
El reglamento no lo prohíbe expresamente, pero impone dos filtros que hay que pasar:
- Conflicto de interés e independencia (art. 9). El responsable debe garantizar que las demás funciones del delegado «no den lugar a conflicto de intereses» ni afecten su independencia, y el delegado «no podrá realizar actividades que estén sujetas a su supervisión o sobre las cuales deba pronunciarse o asesorar». El propio artículo menciona el tiempo disponible como un factor del análisis.
- Idoneidad demostrable (art. 10). El delegado debe tener conocimientos especializados y actualizados en protección de datos, y el responsable «deberá ser capaz de demostrar la idoneidad del delegado» en el procedimiento de certificación. La experiencia en compliance penal no acredita, por sí sola, competencia en protección de datos.
En la práctica: acumular ambos roles es viable en organizaciones medianas cuando la persona reúne ambas competencias y tiene tiempo real. Deja de serlo cuando el rol acumulado la obliga a supervisar decisiones propias, o cuando la carga hace que una de las dos funciones sea nominal.
El conflicto que más veces hemos visto no es entre el EPD y el DPD, sino entre implementar y supervisar: la misma consultora que construye el modelo ejerciendo después como delegado sobre su propio trabajo. El artículo 9 lo prohíbe de forma directa, y es una causal que un fiscalizador puede levantar por la vía del artículo 20. Por eso separamos los equipos.
Entonces, ¿necesito los dos?
Si tu organización está en el ámbito de la Ley 20.393 y además trata datos personales —que es casi cualquier empresa con trabajadores y clientes—, la respuesta es sí, pero no simultáneamente. El orden razonable:
- El MPD cubre riesgo penal. No toca la protección de datos.
- El MPI cubre riesgo administrativo en datos personales. Requiere la adecuación a la Ley 21.719 hecha primero.
- Ambos comparten infraestructura de compliance —canal, disciplina, contratos— que conviene diseñar una sola vez.
¿Ya tienes MPD y quieres el Modelo de Prevención de Infracciones?
Evaluamos qué componentes de tu programa actual se pueden integrar y cuáles hay que construir, para no pagar dos veces por lo mismo. Implementamos el MPI conforme al DS 662 y dejamos el expediente listo para la Agencia.
Ver el servicio de MPI → Solicitar evaluación →Preguntas frecuentes
¿El Modelo de Prevención de Infracciones es lo mismo que el de Delitos?
No. El MPD de la Ley 20.393 previene delitos y busca eximir o atenuar responsabilidad penal ante tribunales, certificado por empresas registradas ante la CMF. El MPI de la Ley 21.719 previene infracciones administrativas de protección de datos, lo certifica la Agencia por tres años y opera como atenuante de la sanción administrativa.
Si ya tengo un MPD, ¿necesito además un MPI?
Sí, si quieres el efecto atenuante y la certificación en materia de datos personales. El MPD no cubre las infracciones de la Ley 19.628 modificada, no contempla al delegado de protección de datos ni produce inscripción en el Registro Nacional de Sanciones y Cumplimiento.
¿Qué puedo reutilizar de mi Modelo de Prevención de Delitos?
El canal de denuncia —el art. 3 letra g) del DS 662 lo permite expresamente—, el régimen disciplinario, los anexos de contrato y el reglamento interno, y la experiencia de gobernanza. No se reutilizan la caracterización de tratamientos con once campos, la matriz de riesgos ponderada a las sanciones de la Ley 21.719 ni los protocolos por proceso de tratamiento.
¿Puede el Encargado de Prevención de Delitos ser también el DPD?
No está prohibido, pero debe pasar dos filtros: el artículo 9 del DS 662 exige ausencia de conflicto de interés e independencia real, y prohíbe supervisar actividades propias; el artículo 10 exige conocimientos especializados y actualizados en protección de datos, demostrables ante la Agencia.
¿Cuál de los dos programas dura más?
El certificado del MPI dura tres años renovables (art. 15 del DS 662). Las certificaciones del MPD bajo la Ley 20.393 se han otorgado por plazos menores, de hasta dos años.
¿El MPI exime de responsabilidad como el MPD?
No con el mismo alcance. El MPD puede llegar a eximir de responsabilidad penal a la persona jurídica. El MPI opera como circunstancia atenuante al graduar la sanción administrativa: reduce, no elimina.