El Ministerio de Hacienda publicó el reglamento que regula los modelos de prevención de infracciones de la nueva normativa de protección de datos. La publicación ocurre mientras el Ejecutivo impulsa un proyecto para postergar por un año la entrada en vigencia de la Ley N° 21.719 y modificar la estructura de la futura Agencia de Protección de Datos Personales.
El nuevo reglamento de los modelos de prevención de infracciones en protección de datos personales fue publicado este 9 de septiembre en el Diario Oficial. El texto establece los requisitos, modalidades y procedimientos para implementar, certificar, registrar y supervisar estos modelos, en el marco de la Ley N° 21.719.
La publicación se produce, sin embargo, en un escenario de incertidumbre respecto de la entrada en vigencia de la nueva legislación. Actualmente, la Ley N° 21.719 establece que sus principales modificaciones comenzarán a regir el 1 de diciembre de 2026. No obstante, el Ejecutivo ingresó al Congreso el Boletín N° 18.623-07, que propone trasladar esa fecha al 1 de diciembre de 2027. La iniciativa se encuentra en tramitación y cuenta con suma urgencia.
¿Qué establece el nuevo reglamento?
El Decreto N° 662 establece el marco para que los responsables de datos puedan adoptar voluntariamente un modelo de prevención de infracciones, entendido como un programa de cumplimiento destinado a prevenir incumplimientos de la normativa de protección de datos.
El reglamento señala expresamente que estos modelos pueden ser adoptados por responsables de datos, sean personas naturales o jurídicas, públicas o privadas. Además, aclara que implementar un programa de cumplimiento no elimina el deber general de cumplir la legislación ni de adoptar medidas para prevenir infracciones.
Los programas deberán incorporar, entre otros elementos, la identificación del responsable de datos, la designación de un delegado de protección de datos, la caracterización de los tratamientos realizados, una matriz de riesgos, protocolos y procedimientos, mecanismos de reporte interno y medidas para prevenir infracciones.
Decisiones automatizadas y elaboración de perfiles
Uno de los aspectos relevantes del reglamento es que exige identificar si dentro de las operaciones de tratamiento existen decisiones automatizadas, incluida la elaboración de perfiles.
Cuando una organización realice este tipo de tratamientos, el programa deberá incorporar información significativa sobre la lógica aplicada y las consecuencias previstas para el titular de los datos.
Esta disposición incorpora expresamente dentro de la gestión de cumplimiento la necesidad de identificar y documentar este tipo de tratamientos.
El papel del delegado de protección de datos
El reglamento también desarrolla las funciones del delegado de protección de datos personales, cuya designación será obligatoria cuando una organización adopte y busque certificar un programa de cumplimiento.
El delegado deberá contar con autonomía respecto de la administración en las materias relacionadas con la protección de datos y rendir cuenta directamente ante la autoridad que lo haya designado. Para las micro, pequeñas y medianas empresas, el reglamento contempla que el dueño o las máximas autoridades puedan asumir personalmente estas tareas.
Entre sus funciones estarán asesorar a la organización, participar en la elaboración y revisión del programa, supervisar el cumplimiento de la normativa, promover la capacitación, identificar riesgos, asesorar en evaluaciones de impacto y actuar como punto de contacto con la futura Agencia de Protección de Datos Personales.
¿Y qué ocurre con la Agencia de Protección de Datos?
El reglamento contempla que la Agencia de Protección de Datos Personales tenga atribuciones para certificar, registrar y supervisar los modelos de prevención de infracciones. También podrá revocar certificaciones cuando se incumplan los requisitos establecidos por la ley o el reglamento.
Aquí se encuentra uno de los puntos relevantes del actual proceso de implementación: el proyecto presentado por el Ejecutivo busca modificar precisamente aspectos relacionados con la futura Agencia y ampliar el número de integrantes de su Consejo Directivo.
Por lo tanto, la publicación del reglamento no significa que la Agencia ya esté plenamente operativa ni que la Ley 21.719 haya comenzado a regir. Se trata de una pieza normativa destinada a desarrollar el sistema previsto por la ley.
¿Qué deben tener presente las empresas?
Por ahora, las organizaciones deben distinguir entre lo que ya está publicado y lo que todavía se encuentra en discusión legislativa.
El reglamento de los modelos de prevención de infracciones ya fue publicado y establece el marco para su implementación. En cambio, la eventual postergación de la Ley N° 21.719 hasta diciembre de 2027 todavía depende de la aprobación del proyecto presentado por el Ejecutivo.
Por ello, la situación actual puede resumirse así: el reglamento avanza mientras el Congreso analiza si la entrada en vigencia de la nueva Ley de Protección de Datos debe aplazarse por un año.
La discusión será especialmente relevante para las organizaciones que ya se encuentran preparando sus procesos, contratos, sistemas, políticas y mecanismos de cumplimiento frente al nuevo régimen de protección de datos personales.