Necesito un Delegado de Protección de Datos (DPO): ¿cuándo contratarlo?

¿Tienes razón?

No existe una única regla universal que obligue a contratar un DPO en Chile como en otras jurisdicciones, pero la recomendación práctica surge de la naturaleza y la escala del tratamiento de datos. Debes considerar seriamente un DPO cuando en tu organización se dan varias de estas circunstancias: tratamiento regular y sistemático de grandes volúmenes de datos personales, tratamiento de datos sensibles (salud, origen racial, creencias), actividades de perfilado que influyen en decisiones sobre las personas, o cuando tu organización actúa como entidad responsable en múltiples jurisdicciones con obligación de tener un punto de contacto.

Un DPO aporta un punto de control y cumplimiento continuo; su presencia ayuda a documentar decisiones, formar personal, gestionar incidentes y, en procesos de due diligence o revisiones regulatorias, demuestra diligencia. Si tu actividad está orientada a servicios sanitarios, recursos humanos, fintech, marketing a gran escala o manejo de datos de salud, la figura suele pasar de recomendable a prácticamente necesaria.

Cómo se soluciona

1. Evalúa internamente la necesidad (puedes iniciar)

• Haz un inventario de tratamientos: identifica qué datos recoges, su sensibilidad, volumen y finalidad.
• Revisa si haces perfilado automatizado o decisiones automatizadas que afecten a personas.
• Determina si tus servicios se prestan en jurisdicciones que exigen DPO.

1. Decide modalidad: interno vs externo

• DPO interno: conviene si el volumen y la complejidad del tratamiento requieren dedicación plena o continua. Ideal para organizaciones grandes con operaciones en varias áreas.
• DPO externo o compartido: opción eficiente para pymes o proyectos con tratamiento relevante pero que no justifican un puesto a tiempo completo. Asegúrate de que la persona o firma tenga conocimientos técnicos y legal-compliance.

1. Qué funciones debe cubrir (criterios que puedes pedir)

• Asesorar sobre obligaciones de protección de datos y formación del personal.
• Supervisar el cumplimiento de políticas internas y llevar el registro de actividades de tratamiento.
• Ser punto de contacto para interesados y autoridades en temas de privacidad.
• Participar en evaluaciones de impacto y en la definición de medidas de seguridad.
• Revisar contratos con procesadores y subcontratistas.

1. Selección y onboarding

• Exige CV con experiencia práctica y referencias en proyectos similares.
• Define responsabilidades claras y acceso a la alta dirección.
• Asegura independencia funcional: no supervisar funciones que impliquen decidir sobre fines y medios del tratamiento.

1. Formaliza funciones y reporting

• Documenta el alcance en un contrato o descripción de cargo: tiempo dedicado, tareas esperadas, y modalidades de reporte.
• Si es externo, define niveles de servicio, entregables y confidencialidad.

1. Medición y revisión

• Planifica revisiones periódicas y KPIs: número de auditorías internas realizadas, formación impartida, incidentes gestionados y tiempos de respuesta.

Qué puede pasar

1) Se resuelve internamente con roles y formación

En organizaciones pequeñas, muchas obligaciones se cubren asignando responsabilidades claras a un responsable de cumplimiento y formando al personal. Esto puede ser suficiente si los tratamientos no son masivos ni sensibles.

2) Incorporación de un DPO y mejora del cumplimiento

Contratar un DPO (interno o externo) suele mejorar la madurez del programa de privacidad: hay menos brechas, mayor control documental y procesos más ágiles ante incidentes o solicitudes de usuarios.

3) Problemas regulatorios por falta de control

Si ocurre una brecha y no hay un responsable claro, la empresa puede recibir sanciones o requerimientos de autoridades. La ausencia de un DPO no es automáticamente sancionable, pero la falta de diligencia probada sí puede agravar la situación.

Y si ganas, ¿cobras? La inversión en DPO no genera ingresos directos, pero reduce riesgos de multas y costosas remediaciones. En procesos de venta o due diligence, tener un DPO es un activo que mejora la percepción del comprador.

Errores que arruinan el caso

• Nombrar a alguien sin independencia ni tiempo suficiente: el DPO debe poder actuar sin conflictos de interés.
• No formalizar funciones y accesos: si no tiene acceso a documentación y a la dirección, no puede cumplir.
• Elegir solo por precio: la experiencia práctica en privacidad y tecnología es esencial.
• Confundir al DPO con el responsable del tratamiento: el DPO asesora y supervisa, no decide sobre fines y medios.
• No evaluarlo periódicamente: la figura requiere seguimiento como cualquier función crítica.