Un Modelo de Prevención de Infracciones —MPI— es un programa de cumplimiento que cualquier responsable de datos puede adoptar voluntariamente, que la Agencia de Protección de Datos Personales puede certificar por tres años, y que la Ley 21.719 contempla como circunstancia atenuante al graduar las sanciones. Desde el 9 de septiembre de 2026 dejó de ser una idea abstracta: el Decreto Supremo N° 662 define exactamente qué debe contener.
La definición, sin rodeos
La Ley 21.719 incorporó a la Ley 19.628 los artículos 49 a 53, que crean un sistema de prevención de infracciones denominado literalmente «Modelo de prevención de infracciones», consistente en un programa de cumplimiento. El artículo 1 del reglamento lo define por sus tres rasgos esenciales:
- Es voluntario. Los responsables «podrán adoptar e implementar, voluntariamente» el modelo. Nadie está obligado a tenerlo.
- No sustituye el cumplimiento. El mismo artículo aclara que adoptar el programa «no obstará al deber de todos los responsables de datos de adoptar acciones destinadas a prevenir la comisión de las infracciones» y de cumplir la ley.
- Es certificable. La Agencia puede certificarlo, registrarlo, supervisarlo y revocarlo.
El modelo es voluntario; cumplir la ley no lo es. El MPI no es un atajo para cumplir menos: es la formalización auditable de un cumplimiento que ya debería existir.
De dónde viene la sigla «MPI»
La sigla no aparece en la ley ni en el reglamento. Se impuso en la práctica chilena por analogía con el MPD, el Modelo de Prevención de Delitos de la Ley 20.393, que las áreas de compliance llevan más de una década implementando. La analogía ayuda a entender la estructura —programa, encargado autónomo, canal de denuncia, régimen disciplinario, certificación— pero confunde en lo esencial: son dos programas distintos, con leyes distintas, infracciones distintas y certificadores distintos. Lo desarrollamos en detalle en MPI vs. Modelo de Prevención de Delitos.
Los nueve componentes que exige el DS 662
El artículo 3 del reglamento enumera diez literales de contenido mínimo. Agrupados como entregables reales de un proyecto, son nueve componentes:
| # | Componente | Artículo | Qué hay que producir |
|---|---|---|---|
| 1 | Gobernanza del delegado | 3 b), c) y 6-10 | Acta de designación por la máxima autoridad, definición de autonomía y línea de reporte, medios y facultades, análisis de conflicto de interés |
| 2 | Caracterización de tratamientos | 3 d) | Once campos obligatorios: tipo de datos, ámbito territorial, bases de datos, titulares, fines, fuentes, base de licitud, cesiones, transferencias internacionales, plazos de supresión y decisiones automatizadas |
| 3 | Matriz de riesgos | 3 e) | Identificación de procesos que generan o incrementan riesgo de infracción, con la matriz ponderada según la graduación de sanciones de la ley |
| 4 | Protocolos por proceso | 3 f) | Procedimientos específicos, proporcionales al tamaño y capacidad económica de la entidad |
| 5 | Reporte y autodenuncia | 3 g) | Reporte interno con vías expeditas, notificación de brechas (art. 14 sexies) y mecanismo de autodenuncia (art. 36 N° 4) |
| 6 | Régimen disciplinario | 3 h) | Sanciones administrativas internas y procedimiento sancionatorio, con variante para organismos públicos |
| 7 | Canal de denuncia | 3 i) | Denuncia ante el delegado con reserva de identidad garantizada y prohibición de medidas desfavorables contra el denunciante |
| 8 | Integración laboral y difusión | 4 y 5 | Anexos de contrato para toda la dotación, incorporación al reglamento interno con publicidad del art. 156 del Código del Trabajo, plan de difusión |
| 9 | Expediente de certificación | 13 i) y 15 | Carpeta completa para la Agencia, más plan anual del delegado y modelo de rendición de cuentas |
Los dos componentes que más proyectos subestiman
La matriz de riesgos del literal e). El reglamento no pide una matriz de riesgos cualquiera: pide una que se desarrolle «considerando la graduación de las sanciones previstas en la ley». Eso significa cruzar cada proceso de tratamiento con los tipos de infracción de los artículos 34 bis, 34 ter y 34 quáter, y con la sanción asociada. Una matriz ISO 27001 reutilizada sin ese eje no cumple el literal, por bien construida que esté.
La integración laboral del artículo 4. Convierte el modelo en un proyecto de recursos humanos: anexos de contrato firmados por toda la dotación —incluidos los máximos ejecutivos—, modificación del reglamento interno de orden, higiene y seguridad y cumplimiento de las medidas de publicidad del Código del Trabajo. Es la tarea que más tiempo calendario consume y la que más se subestima al planificar.
Quién certifica, por cuánto tiempo y dónde queda registrado
Tres respuestas cortas, todas del Párrafo III del reglamento:
- Quién: la Agencia de Protección de Datos Personales, directamente (art. 14 y 15). No hay certificadoras externas acreditadas como en ISO 27001 o en el MPD. La Agencia sí puede contratar servicios de terceros para el estudio de la solicitud, conforme a la Ley 19.886.
- Por cuánto: tres años, renovables a petición del interesado (art. 15, inciso final).
- Dónde queda: en el Registro Nacional de Sanciones y Cumplimiento, de acceso público, con indicación del responsable, su representante legal, la fecha de incorporación y el plazo de vencimiento (art. 17).
El artículo 5 dispone que el responsable «solo podrá publicitar e informar que su programa de cumplimiento está certificado mediante la referencia directa, pura y simple al Registro Nacional de Sanciones y Cumplimiento». Nada de sellos propios, adjetivos ni afirmaciones interpretativas sobre el alcance del certificado.
Por qué el MPI no reemplaza la adecuación
Es la confusión operativa más cara. El cumplimiento de la Ley 21.719 tiene dos etapas y el orden importa:
- Adecuación (obligatoria). Registro de actividades de tratamiento, bases de licitud documentadas, políticas, procesos ARSOP operando, gestión de brechas, evaluaciones de impacto cuando corresponda.
- Modelo de Prevención de Infracciones (voluntario). Formalizar ese cumplimiento en un programa certificable.
La razón es mecánica, no conceptual: la caracterización que exige el artículo 3 letra d) del reglamento es un registro de actividades de tratamiento ampliado a once campos. Si no existe un RAT, el primer entregable del modelo es construirlo —y eso ya es adecuación. Si aún no sabes en qué etapa estás, el punto de entrada es el diagnóstico de la Ley 21.719 o la adecuación completa.
Cuánto demora implementarlo
Depende del tamaño y la complejidad del tratamiento, no del rubro. Los rangos que manejamos:
| Perfil | Procesos de tratamiento | Plazo estimado |
|---|---|---|
| MiPyme o estructura simple (hasta 50 trabajadores, 1 sede) | Hasta 15 | 4 a 6 semanas |
| Empresa con múltiples áreas y proveedores (50 a 500, hasta 3 sedes) | Hasta 40 | 6 a 10 semanas |
| Grupo empresarial o varias razones sociales | Sin tope, por alcance definido | 10 a 14 semanas |
Esos plazos corresponden al modelo implementado y al expediente listo para presentar. Los plazos de resolución los fija la Agencia, que además debe dictar la instrucción general con el procedimiento de certificación (art. 15).
¿Conviene esperar a que la Agencia esté operativa?
No, y el reglamento lo dice expresamente. El artículo 18 dispone que la implementación «podrá iniciarse con anterioridad a la fecha en que la Agencia incorpore a la entidad en el Registro Nacional de Sanciones y Cumplimiento». Hay tres razones prácticas para adelantarse:
- La Ley 21.719 rige desde el 1 de diciembre de 2026. Las infracciones son sancionables desde entonces, haya o no modelo.
- La integración laboral del artículo 4 depende de plazos de terceros —firma de anexos, modificación del reglamento interno, publicidad— que no se comprimen a voluntad.
- El certificado dura tres años. Quien parte antes, queda cubierto antes.
¿Quieres implementar el Modelo de Prevención de Infracciones?
Confiden360 implementa el MPI completo conforme al DS 662 y deja el expediente ordenado para su presentación ante la Agencia. Alcance cerrado en tres tramos, con separación de roles entre quien implementa y quien ejerce como delegado.
Ver el servicio → Solicitar evaluación →Preguntas frecuentes
¿Qué es el Modelo de Prevención de Infracciones (MPI)?
Un programa de cumplimiento que cualquier responsable de datos puede adoptar voluntariamente para prevenir infracciones a la normativa de protección de datos personales. Está regulado por los artículos 49 a 53 que la Ley 21.719 incorpora a la Ley 19.628 y desarrollado por el DS 662. La Agencia puede certificarlo por tres años y la ley lo contempla como atenuante al graduar las sanciones.
¿Qué significa la sigla MPI?
Modelo de Prevención de Infracciones. La sigla no aparece en la ley ni en el reglamento: se usa por analogía con el MPD, el Modelo de Prevención de Delitos de la Ley 20.393.
¿El Modelo de Prevención de Infracciones es obligatorio?
No. El artículo 1 del DS 662 dice que los responsables «podrán adoptar e implementar, voluntariamente» el modelo, y aclara que hacerlo no exime del deber de cumplir la Ley 19.628.
¿Cuáles son los componentes obligatorios del MPI?
El artículo 3 del DS 662 exige diez literales que se organizan en nueve entregables: gobernanza del delegado, caracterización de tratamientos con once campos, matriz de riesgos ponderada a las sanciones, protocolos por proceso, reporte y autodenuncia, régimen disciplinario, canal de denuncia con reserva de identidad, integración laboral y difusión, y expediente de certificación.
¿Quién certifica el Modelo de Prevención de Infracciones?
La Agencia de Protección de Datos Personales, directamente. No existen certificadoras externas acreditadas como en ISO 27001 o en el Modelo de Prevención de Delitos.
¿Cuánto dura la certificación del MPI?
Tres años, renovables a petición del interesado (art. 15 del DS 662). Durante ese período la entidad queda sujeta a supervisión de la Agencia.
¿El MPI reemplaza la adecuación a la Ley 21.719?
No. Se construye sobre ella. La caracterización del artículo 3 letra d) es esencialmente un RAT ampliado a once campos: sin RAT no hay sobre qué construir el programa.
¿Cuánto se demora implementar un MPI?
Entre 4 y 6 semanas para una MiPyme de estructura simple, 6 a 10 semanas para una empresa con múltiples áreas, y 10 a 14 semanas para un grupo empresarial. Son plazos de implementación y expediente listo; la resolución la fija la Agencia.
¿Puedo empezar antes de que la Agencia esté operativa?
Sí. El artículo 18 del DS 662 permite expresamente iniciar la implementación antes de que la Agencia incorpore a la entidad en el registro.