Multas en Europa por fallas en protección de datos: Chile bajo la lupa

No tener un Delegado de Protección de Datos (DPD o DPO), designarlo pero limitar su independencia o entregarle funciones incompatibles con su rol ya está siendo sancionado en Europa. Y en algunos casos, con multas que alcanzan los 525 mil euros.

La experiencia europea adquiere especial relevancia para Chile: el próximo 1 de diciembre de 2026 entrará en plena vigencia la Ley N.º 21.719, que moderniza el sistema nacional de protección de datos personales y establece nuevas exigencias para las organizaciones.

Las resoluciones de autoridades de protección de datos de países como España, Alemania, Italia, Polonia y Bélgica muestran que la fiscalización ya no se concentra únicamente en las filtraciones de información o los ciberataques. También alcanza a las fallas de gobernanza y cumplimiento relacionadas con la protección de datos.

En otras palabras, una organización puede ser sancionada incluso cuando no haya sufrido una brecha de seguridad.

“El error más costoso no siempre es no tener un Delegado de Protección de Datos, sino tener a la persona correcta y en el rol equivocado. Muchas organizaciones designan esta figura para cumplir formalmente, pero luego la subordinan a las áreas que debería supervisar o no le entregan recursos ni acceso a la alta dirección. Europa está multando exactamente eso”, advierte Fernando Lagos, CEO de NIVEL4.

Entre los casos sancionados en Europa destacan:

Fuentes: AEPD, UODO, Garante italiano, APD Bélgica, EDPB, GDPRhub, DataGuidance, CEDPO y Altalex.

Los casos muestran un patrón: las autoridades no solo sancionan la ausencia del Delegado. También castigan la falta de independencia, los conflictos de interés, la ausencia de recursos y las fórmulas que buscan reemplazar esta función mediante estructuras internas que no cumplen con las exigencias regulatorias.

Uno de los casos más relevantes ocurrió en Alemania, donde una multa de 525 mil euros estuvo relacionada con un conflicto de interés generado porque el DPO tenía funciones ejecutivas incompatibles con su labor de supervisión independiente.

IAB Europe, en tanto, fue sancionada con 250 mil euros por no designar un DPO pese al tratamiento de datos a gran escala, mientras que Toyota Bank Polska recibió una multa de 132 mil euros debido a problemas relacionados con la independencia de su Delegado.

La experiencia europea podría convertirse en una hoja de ruta para las organizaciones chilenas.

La Ley N.º 21.719 crea la Agencia de Protección de Datos Personales, organismo autónomo que tendrá facultades de fiscalización y sanción, y establece nuevas obligaciones para quienes realizan tratamientos de datos personales.

Dentro de este nuevo esquema aparece el Delegado de Protección de Datos, especialmente relevante en tratamientos de alto riesgo o a gran escala. La figura deberá contar con autonomía, independencia y recursos suficientes para ejercer sus funciones.

El cambio no es menor. Las infracciones más graves contempladas por la nueva legislación pueden llegar a 20.000 UTM, equivalentes a cerca de $1.400 millones, mientras que en caso de reincidencia las sanciones pueden alcanzar hasta el 4% de los ingresos anuales.

“Chile tiene una ventaja que Europa no tuvo: puede aprender de estos errores antes de que lleguen las sanciones. Incorporar hoy un Delegado con independencia real y respaldo de la dirección no es un gasto de cumplimiento, sino una inversión en confianza y continuidad del negocio”, señala Lagos.

El principal desafío para las empresas e instituciones chilenas será pasar de una lógica de cumplimiento formal a una verdadera estructura de gobernanza de datos.

Eso implica no solo designar a una persona, sino asegurar que tenga atribuciones claras, independencia frente a las áreas que debe supervisar, recursos suficientes y acceso a la alta dirección.

La experiencia europea muestra que esperar a que la autoridad detecte las brechas puede resultar costoso.

Para las organizaciones chilenas, el mensaje es claro: "el nuevo régimen de protección de datos no comenzará a importar cuando ocurra una filtración, sino desde el momento en que la autoridad pueda exigir que existan estructuras adecuadas para prevenir y gestionar los riesgos."

"La pregunta ya no es si la fiscalización llegará, sino si las empresas estarán preparadas cuando lo haga", concluye Fernando Lagos.