Modelo de Prevención de Infracciones (MPI) Ley 21.719: paquete cerrado de implementación
El reglamento publicado en septiembre de 2026 define exactamente qué debe contener un programa de cumplimiento certificable. Lo implementamos completo y dejamos tu expediente listo para presentar ante la Agencia de Protección de Datos Personales.
- Conforme al DS 662
- Expediente completo
- Alcance cerrado
- Ley 21.719
Qué es el Modelo de Prevención de Infracciones (MPI), en una frase
Un Modelo de Prevención de Infracciones, abreviado MPI, es un programa de cumplimiento que cualquier responsable de datos puede adoptar voluntariamente, que la Agencia de Protección de Datos Personales puede certificar por tres años, y que la ley contempla como circunstancia atenuante de las sanciones.
No reemplaza la adecuación a la ley. La formaliza, la hace auditable y la deja acreditada en un registro público.
La sigla MPI se usa en Chile por analogía con el MPD —el Modelo de Prevención de Delitos de la Ley 20.393— pero son programas distintos, con leyes, infracciones y certificadores distintos. Más abajo está la comparación completa entre ambos.
Por qué implementar el Modelo de Prevención de Infracciones ahora
El reglamento ya está publicado y la Ley 21.719 rige desde el 1 de diciembre de 2026. Cuatro razones para adelantar la decisión.
- Atenuante de sanciones
- La ley considera la adopción del modelo al graduar las sanciones. Es la única defensa estructural disponible frente a una fiscalización.
- Registro público
- Las entidades con certificación vigente quedan en el Registro Nacional de Sanciones y Cumplimiento, de acceso público. Es una señal verificable frente a clientes y licitaciones.
- Exigencia en cadena
- Las empresas grandes empezarán a exigir el modelo a sus proveedores por contrato, igual que ocurrió con la Ley 20.393.
- El certificado dura tres años
- Quien parte antes queda cubierto antes. El reglamento fija una vigencia de tres años renovable, con supervisión de la Agencia durante todo el período.
Multas y sanciones de la Ley 21.719 que el MPI ayuda a atenuar
El reglamento exige que la matriz de riesgos del modelo se construya considerando la graduación de las sanciones previstas en la ley (DS 662, art. 3 letra e). Por eso el punto de partida no es un catálogo genérico de riesgos de seguridad, sino la escala sancionatoria concreta.
| Categoría | Multa máxima | Ejemplos típicos |
|---|---|---|
| LeveArt. 34 bis | Amonestación escrita o multa de hasta 5.000 UTM | Incumplimientos formales o de transparencia: no mantener el registro de actividades de tratamiento, defectos en la información al titular, no responder una solicitud ARSOP en plazo. |
| GraveArt. 34 ter | Multa de hasta 10.000 UTM | Tratar datos sin base de licitud, no notificar una brecha de seguridad, incumplir las obligaciones del encargado, transferencias internacionales sin resguardos. |
| GravísimaArt. 34 quáter | Multa de hasta 20.000 UTM | Tratamiento fraudulento de datos, vulneración deliberada de datos sensibles, entrega de información falsa a la Agencia, uso de datos para fines incompatibles con grave perjuicio al titular. |
Escala sancionatoria: artículos 34 bis, 34 ter, 34 quáter y 35 que la Ley 21.719 incorpora a la Ley 19.628. Los montos se expresan en Unidades Tributarias Mensuales (UTM), de valor variable mensual. Cifras referenciales; la graduación concreta la determina la Agencia en cada caso.
- Reincidencia y facturación
- Para responsables que no sean empresa de menor tamaño según la Ley 20.416 y que reincidan, la multa puede llegar a lo más alto entre el triple del monto base o un porcentaje de los ingresos anuales por ventas y servicios del último año calendario: 2% en infracciones graves y 4% en gravísimas.
- Recargo y sanciones accesorias
- Si la infracción no se subsana en el plazo que fije la Agencia, se aplica un recargo del 50% sobre la multa cursada. A eso se suman sanciones accesorias como la suspensión de operaciones de tratamiento y la inscripción en el registro público de sanciones.
Requisito previo del MPI: la adecuación a la Ley 21.719
Qué incluye el Modelo de Prevención de Infracciones del DS 662
Nueve elementos que el reglamento exige y que no están cubiertos por una adecuación estándar.
- Designación formal del Delegado de Protección de Datos
- Acta de designación por la máxima autoridad, definición de autonomía, línea de reporte directa, medios y facultades, y análisis de conflicto de interés.
- Gobernanza · DS 662 art. 3 b), c) y 6-10
- Caracterización de actividades de tratamiento
- Los once campos que exige el reglamento, levantados sobre tu RAT existente: tipo de datos, ámbito territorial, categorías de bases, titulares, fines, fuentes, base de licitud, cesiones, transferencias internacionales, plazos de supresión y decisiones automatizadas.
- Tratamientos · DS 662 art. 3 d)
- Matriz de riesgos ponderada a las sanciones
- Identificación de los procesos que generan o incrementan el riesgo de infracción, y matriz construida según la graduación de sanciones que establece la ley.
- Riesgos · DS 662 art. 3 e)
- Protocolos y reglas por proceso
- Procedimientos específicos para que quienes intervienen en los tratamientos ejecuten sus tareas de una forma que prevenga la infracción.
- Operación · DS 662 art. 3 f)
- Canal de denuncia interna
- Mecanismo de denuncia ante el delegado, con reserva de identidad garantizada y protección expresa contra represalias.
- Denuncias · DS 662 art. 3 i)
- Régimen disciplinario interno
- Sanciones administrativas internas y procedimiento sancionatorio por incumplimiento del programa, con la variante aplicable a organismos públicos.
- Disciplina · DS 662 art. 3 h)
- Mecanismos de reporte y autodenuncia
- Procedimientos de notificación de brechas a la Agencia y a los titulares, y mecanismo formal de autodenuncia.
- Reporte · DS 662 art. 3 g)
- Integración laboral del programa
- Anexos de contrato de trabajo y de prestación de servicios, incorporación al reglamento interno de orden, higiene y seguridad, y cumplimiento de las medidas de publicidad del Código del Trabajo. Firma electrónica masiva incluida.
- Laboral · DS 662 art. 4 y 5
- Expediente de certificación
- Carpeta completa y ordenada según los requisitos del reglamento, lista para presentar ante la Agencia, más el plan anual de trabajo del delegado y su modelo de rendición de cuentas.
- Expediente · DS 662 art. 13 i) y 15
Tres tramos de implementación del MPI
Cada tramo es un paquete de alcance cerrado. El tramo que te corresponde se define en la evaluación inicial.
| Esencial | Corporativo | Grupo Empresarial | |
|---|---|---|---|
| Para | MiPymes y organizaciones de estructura simple | Empresas con múltiples áreas y proveedores | Holdings y empresas relacionadas bajo un mismo controlador |
| Trabajadores | Hasta 50 | 50 a 500 | Más de 500 o varias razones sociales |
| Procesos de tratamiento | Hasta 15 | Hasta 40 | Sin tope, por alcance definido |
| Sedes | 1 | Hasta 3 | Múltiples |
| Delegado | El dueño o máxima autoridad puede asumirlo | Delegado designado o DPD Virtual | Delegado único para todo el grupo |
| Datos sensibles / decisiones automatizadas / transferencias internacionales | Alcance acotado | Incluido | Incluido |
| Plazo estimado | 4 a 6 semanas | 6 a 10 semanas | 10 a 14 semanas |
Nuestro delegado no audita su propio trabajo
El reglamento prohíbe que el delegado de protección de datos realice actividades que estén sujetas a su propia supervisión. Es un conflicto de interés que un fiscalizador puede levantar.
Por eso separamos los roles: el equipo que implementa tu modelo no es el que después ejerce como delegado. Es una distinción que pocos hacen y que sostiene la validez del modelo.
Cuatro etapas de implementación del Modelo de Prevención de Infracciones
El mismo método de trabajo de la adecuación, aplicado al programa de cumplimiento.
Levantamiento
Revisión del estado de adecuación, identificación de procesos de riesgo, definición del alcance y del tramo.
Construcción
Matriz de riesgos, protocolos, canal de denuncias, régimen disciplinario y estatuto del delegado.
Formalización
Anexos contractuales, reglamento interno, difusión al personal y capacitación.
Expediente
Armado del expediente de certificación, revisión final y acompañamiento en la presentación ante la Agencia.
El Modelo de Prevención de Infracciones en organismos públicos
Los organismos públicos deben designar como delegado a un funcionario de su dotación vigente. No podemos ocupar el cargo, pero sí implementar el modelo completo, formar al funcionario designado y dejar el expediente listo.
Trabajamos con organismos públicos a través de Mercado Público. Contacto para sector público
Modelo de Prevención de Infracciones (MPI) vs. Modelo de Prevención de Delitos (Ley 20.393)
Es la confusión más frecuente en las áreas de compliance chilenas, y es razonable: la estructura se parece mucho. Pero son dos programas distintos, con leyes distintas, infracciones distintas y certificadores distintos. Tener un MPD de la Ley 20.393 no significa tener un Modelo de Prevención de Infracciones.
| Modelo de Prevención de Infracciones (MPI) | Modelo de Prevención de Delitos (MPD) | |
|---|---|---|
| Norma | Ley 21.719, arts. 49 a 53 incorporados a la Ley 19.628 · reglamento DS 662 | Ley 20.393 sobre responsabilidad penal de las personas jurídicas |
| Qué previene | Infracciones administrativas a la normativa de protección de datos personales (arts. 34 bis, 34 ter y 34 quáter) | Delitos del catálogo de la Ley 20.393: cohecho, lavado de activos, receptación, financiamiento del terrorismo, delitos económicos y ambientales, entre otros |
| Responsabilidad | Administrativa, ante la Agencia de Protección de Datos Personales | Penal de la persona jurídica, ante tribunales |
| Rol de gobernanza | Delegado de Protección de Datos, designado por la máxima autoridad, con autonomía y prohibición de supervisar su propio trabajo | Encargado de Prevención de Delitos, designado por el máximo órgano de administración, con autonomía respecto de la administración |
| Quién certifica | La Agencia de Protección de Datos Personales, directamente | Empresas certificadoras externas registradas ante la CMF |
| Vigencia del certificado | Tres años, renovable (DS 662, art. 15) | Hasta dos años según la regulación aplicable |
| Registro público | Registro Nacional de Sanciones y Cumplimiento, administrado por la Agencia | No existe un registro público equivalente administrado por el Estado |
| Efecto del programa | Circunstancia atenuante al graduar la sanción administrativa | Puede eximir o atenuar la responsabilidad penal de la persona jurídica |
| Adopción | Voluntaria, pero no exime del deber de cumplir la Ley 19.628 | Voluntaria, con fuerte presión contractual y de mercado |
Comparación ampliada: MPI vs. Modelo de Prevención de Delitos, artículo por artículo
Preguntas frecuentes sobre el Modelo de Prevención de Infracciones
¿Qué significa MPI en la Ley 21.719?
MPI es la sigla de Modelo de Prevención de Infracciones: el programa de cumplimiento regulado por los artículos 49 a 53 que la Ley 21.719 incorpora a la Ley 19.628, y desarrollado por el Decreto Supremo N° 662 del Ministerio de Hacienda. La sigla no aparece en la ley: se usa en la práctica chilena por analogía con el MPD, el Modelo de Prevención de Delitos de la Ley 20.393. Son programas distintos.
¿El MPI es lo mismo que el Modelo de Prevención de Delitos de la Ley 20.393?
No. El Modelo de Prevención de Delitos previene delitos del catálogo de la Ley 20.393 y busca eximir o atenuar responsabilidad penal de la persona jurídica ante tribunales; lo certifican empresas certificadoras registradas ante la CMF. El Modelo de Prevención de Infracciones previene infracciones administrativas a la normativa de protección de datos, lo certifica directamente la Agencia de Protección de Datos Personales por tres años y opera como atenuante al graduar la sanción administrativa. Tener un MPD no equivale a tener un MPI, aunque el canal de denuncia y el régimen disciplinario sí se pueden integrar. Ver la comparación completa.
¿De qué monto son las multas que el MPI ayuda a atenuar?
La Ley 21.719 clasifica las infracciones en leves, graves y gravísimas. Las leves se sancionan con amonestación escrita o multa de hasta 5.000 UTM; las graves con multa de hasta 10.000 UTM; las gravísimas con multa de hasta 20.000 UTM. En caso de reincidencia, y tratándose de responsables que no sean empresa de menor tamaño según la Ley 20.416, la multa puede alcanzar el triple del monto base o un 2% de los ingresos anuales en infracciones graves y un 4% en gravísimas. Si la infracción no se subsana en plazo se aplica un recargo del 50%. Ver la tabla completa.
¿Dónde puedo leer el texto del reglamento del MPI?
Publicamos el texto completo del Decreto Supremo N° 662, con sus 20 artículos transcritos, notas de lectura y el PDF oficial del Diario Oficial N° 44.546 del 9 de septiembre de 2026 disponible para descarga.
¿El Modelo de Prevención de Infracciones es obligatorio?
No. La adopción del modelo es voluntaria. Lo que no es voluntario es cumplir la Ley 21.719: el reglamento señala expresamente que adoptar el programa de cumplimiento no exime del deber de cumplir la ley. El modelo agrega valor porque es certificable por la Agencia y la ley lo contempla como circunstancia atenuante al graduar las sanciones.
¿Necesito haber hecho la adecuación antes?
Sí. El modelo se construye sobre la adecuación, no en vez de ella. El programa parte de tu registro de actividades de tratamiento, tus bases de licitud documentadas y tus procesos ARSOP operando. Si aún no los tienes, el punto de partida es la Adecuación a la Ley 21.719. Si ya la hiciste con nosotros, el alcance del modelo se reduce.
¿Ustedes certifican el modelo?
No. La certificación la otorga la Agencia de Protección de Datos Personales. Nuestro alcance es implementar el modelo conforme a los requisitos del reglamento y dejar el expediente completo y ordenado para su presentación. Los plazos de resolución los fija la Agencia, que aún debe dictar la instrucción general con el procedimiento de certificación.
¿Cuánto dura la certificación?
El reglamento establece una vigencia de tres años para el certificado, renovable. Durante ese período la entidad queda sujeta a la supervisión de la Agencia y debe mantener el modelo operativo y actualizado. El plan anual de trabajo del delegado y su rendición de cuentas son las piezas que sostienen esa vigencia.
¿Qué pasa si la Agencia revoca la certificación?
El reglamento contempla la supervisión del programa y la revocación del certificado cuando el modelo deja de cumplir los requisitos. Por eso el programa no se entrega y se abandona: incluye el plan anual del delegado, el modelo de rendición de cuentas y los mecanismos de actualización que permiten sostener el cumplimiento durante toda la vigencia.
¿Puedo tener un solo modelo para varias empresas del grupo?
Sí, es el escenario del tramo Grupo Empresarial: un programa común y un delegado único para empresas relacionadas bajo un mismo controlador. Requiere definir con precisión el alcance, las responsabilidades de cada razón social y la línea de reporte del delegado hacia cada máxima autoridad.
¿Puede el dueño de una pyme ser el delegado de protección de datos?
En organizaciones de estructura simple, la máxima autoridad puede asumir el rol. La restricción relevante es el conflicto de interés: el delegado no puede realizar actividades que queden sujetas a su propia supervisión. Ese análisis forma parte del acta de designación que preparamos.
¿Qué pasa con los contratos de trabajo vigentes?
El reglamento exige integrar el programa a los contratos de trabajo y de prestación de servicios, y al reglamento interno de orden, higiene y seguridad. Para los contratos vigentes preparamos anexos y gestionamos la firma electrónica masiva, además de cumplir las medidas de publicidad que exige el Código del Trabajo.
¿Esto reemplaza a mi ISO 27001?
No. ISO 27001 es un sistema de gestión de seguridad de la información certificado por un organismo acreditado; el Modelo de Prevención de Infracciones es un programa de cumplimiento de la Ley 21.719 certificable por la Agencia. Se apoyan: los controles del SGSI sirven como evidencia para varios elementos del programa, pero no cubren la gobernanza del delegado, el régimen disciplinario ni el expediente que exige el reglamento.
El modelo no opera solo: dónde encaja en el cumplimiento de la Ley 21.719
El programa se construye sobre la adecuación y se sostiene con la operación diaria del cumplimiento.
Solicitar evaluación del Modelo de Prevención de Infracciones (MPI)
Agenda una sesión de 30 minutos sin costo. Revisamos tu estado de adecuación, definimos el tramo que corresponde y te decimos con franqueza si el modelo es el paso correcto para tu organización hoy.