[{"data":1,"prerenderedAt":570},["ShallowReactive",2],{"blog-/blog/cmf-multa-cartolas-expuestas-seguridad-datos":3,"related-/blog/cmf-multa-cartolas-expuestas-seguridad-datos":218},{"_path":4,"_dir":5,"_draft":6,"_partial":6,"_locale":7,"title":8,"description":9,"category":10,"readTime":11,"date":12,"author":13,"tags":14,"image":20,"body":21,"_type":212,"_id":213,"_source":214,"_file":215,"_stem":216,"_extension":217},"/blog/cmf-multa-cartolas-expuestas-seguridad-datos","blog",false,"","Cartolas de clientes publicadas en internet y el deber de seguridad","La CMF multó a una administradora de fondos por 46 cartolas expuestas en internet. Qué control faltó y qué anticipa del deber de seguridad de la Ley 21.719.","Protección de Datos",6,"2026-10-21","Equipo Neitcom",[15,10,16,17,18,19],"Ley 21.719","CMF","Seguridad de la Información","Brechas de Seguridad","Compliance","/images/blog/cmf-multa-cartolas-expuestas-seguridad-datos.jpg",{"type":22,"children":23,"toc":204},"root",[24,45,50,55,62,67,72,77,83,88,93,98,103,112,118,123,133,171,177,182,187,191],{"type":25,"tag":26,"props":27,"children":28},"element","blockquote",{},[29,40],{"type":25,"tag":30,"props":31,"children":32},"p",{},[33],{"type":25,"tag":34,"props":35,"children":36},"em",{},[37],{"type":38,"value":39},"text","\"Por tanto, las cosas que dijisteis en tinieblas, á la luz serán oídas; y lo que hablasteis al oído en las cámaras, será pregonado en los terrados.\"",{"type":25,"tag":30,"props":41,"children":42},{},[43],{"type":38,"value":44},"Evangelio según San Lucas 12, 3",{"type":25,"tag":30,"props":46,"children":47},{},[48],{"type":38,"value":49},"El 15 de octubre de 2026 la Comisión para el Mercado Financiero dio a conocer una multa de UF 200 a una administradora general de fondos, porque 46 cartolas de sus aportantes quedaron publicadas en internet durante casi un año y medio. No hubo atacante ni rescate. Hubo un archivo que alguien subió al lugar equivocado y que nadie volvió a mirar.",{"type":25,"tag":30,"props":51,"children":52},{},[53],{"type":38,"value":54},"Pareciera un caso menor, y por el monto quizás lo sea. Sin embargo, arroja luces sobre una pregunta que la nueva ley de datos le hará a toda institución que custodia información ajena. ¿Qué control habría impedido esa publicación, y cuál la habría detectado antes de que la encontrara un cliente? Partamos por lo que dice la resolución, porque antes de opinar sobre el control que faltó conviene saber con precisión qué ocurrió.",{"type":25,"tag":56,"props":57,"children":59},"h2",{"id":58},"lo-que-sancionó-la-cmf",[60],{"type":38,"value":61},"Lo que sancionó la CMF",{"type":25,"tag":30,"props":63,"children":64},{},[65],{"type":38,"value":66},"La multa se aplicó por Resolución Exenta N° 10.995. Según el comunicado de la CMF, la administradora infringió las Normas de Carácter General N° 507 y N° 368, la Circular N° 1.869, la Ley Única de Fondos y su Reglamento, al no haber generado mecanismos de control que evitaran que se publicaran en internet 46 cartolas de aportantes. La misma resolución sanciona una segunda infracción, la comercialización de cuotas de un fondo extranjero no inscrito ante la Comisión, en contra del artículo 183 de la Ley de Mercado de Valores y de la Norma de Carácter General N° 352, que aquí dejamos de lado.",{"type":25,"tag":30,"props":68,"children":69},{},[70],{"type":38,"value":71},"La resolución reconstruye los hechos con un detalle que vale más que el monto. Entre el 21 y el 29 de noviembre de 2023, durante la carga de las cartolas de movimientos de octubre de ese año, el equipo a cargo usó por error un repositorio expuesto a internet en lugar de un entorno restringido, y quedaron publicadas 46 cartolas pertenecientes a 44 aportantes. Permanecieron así al menos hasta el 7 de mayo de 2025. Es interesante notar cómo terminó la exposición, porque no la cerró ningún control interno sino el reclamo de un cliente que había encontrado su propia cartola en internet, y ese mismo día la administradora retiró los documentos. Después, revisando los registros de su herramienta de analítica web, estableció que 29 de las 46 cartolas habían sido accedidas, sin poder determinar por quién.",{"type":25,"tag":30,"props":73,"children":74},{},[75],{"type":38,"value":76},"La CMF consideró que los incumplimientos se originaron en defectos operacionales que fueron corregidos, con un impacto acotado, y negó la rebaja de hasta un 80% que contempla el artículo 58 del Decreto Ley N° 3.538, porque la administradora no la pidió por el procedimiento establecido y porque ya había sido sancionada en julio de 2023.",{"type":25,"tag":56,"props":78,"children":80},{"id":79},"el-control-que-faltó-y-el-que-habría-detectado",[81],{"type":38,"value":82},"El control que faltó y el que habría detectado",{"type":25,"tag":30,"props":84,"children":85},{},[86],{"type":38,"value":87},"Hay un razonamiento de la resolución que conviene retener. La defensa alegó que la Norma de Carácter General N° 507, vigente desde el 1 de febrero de 2025, no regía cuando se cargaron los archivos en 2023. La CMF respondió que la infracción no se verificó solo al momento de la carga sino durante todo el tiempo en que las cartolas permanecieron publicadas, y ese tiempo alcanzó la vigencia de la norma nueva. Una falla de seguridad, mirada así, se parece a una ventana que alguien dejó encendida en plena noche (se ve desde cualquier calle, y sigue viéndose mientras nadie se acerque a apagarla).",{"type":25,"tag":30,"props":89,"children":90},{},[91],{"type":38,"value":92},"La carga tomó unos días. La exposición, casi un año y medio.",{"type":25,"tag":30,"props":94,"children":95},{},[96],{"type":38,"value":97},"De ahí se desprenden los dos controles que el diagrama de este artículo separa. El primero es preventivo y vive en el proceso de publicación, pues un documento con datos de un cliente no debería poder llegar a un repositorio público sin pasar por una verificación de destino, una segunda persona que apruebe o una regla técnica que impida que ese tipo de archivo salga del entorno restringido. La resolución deja constancia de que, a la fecha de los hechos, la administradora no contaba con procedimientos ni mecanismos para controlar el riesgo de publicar en web de libre acceso información de sus clientes, y que solo después del incidente adoptó instrumentos con ese objetivo.",{"type":25,"tag":30,"props":99,"children":100},{},[101],{"type":38,"value":102},"El segundo control es de detección, y es el que más se olvida. La administradora tenía un registro de accesos a su sitio, puesto que de ahí obtuvo después el número de cartolas consultadas, pero nadie lo miraba buscando documentos de clientes. Una revisión periódica de qué hay publicado en los servidores públicos, o una alerta cuando se accede a un archivo que nunca debió ser público, habría acortado un año y medio a días. Quien se enteró primero fue un cliente. En cualquier programa de cumplimiento, eso quiere decir que el control de detección no existía.",{"type":25,"tag":30,"props":104,"children":105},{},[106],{"type":25,"tag":107,"props":108,"children":111},"img",{"alt":109,"src":110},"El camino de un archivo de cliente desde que se genera hasta que queda en un servidor público, con el control que habría impedido la publicación y el que la habría detectado","/images/diagramas/cmf-multa-cartolas-expuestas-seguridad-datos.svg",[],{"type":25,"tag":56,"props":113,"children":115},{"id":114},"lo-que-anticipa-la-ley-21719",[116],{"type":38,"value":117},"Lo que anticipa la Ley 21.719",{"type":25,"tag":30,"props":119,"children":120},{},[121],{"type":38,"value":122},"Volvamos ahora a la pregunta del comienzo, porque la ley de datos la hará con todas sus letras. La Ley 21.719 entra en vigencia el 1 de diciembre de 2026, fecha que sigue mandando mientras no se apruebe el proyecto que propone postergarla un año. El artículo 14 quinquies que esa ley incorpora al régimen de datos personales obliga al responsable a adoptar medidas técnicas y organizativas apropiadas al riesgo, entre ellas un proceso de verificación, evaluación y valoración regulares de su eficacia, y agrega que ante un incidente de seguridad corresponderá al responsable acreditar la existencia y el funcionamiento de esas medidas. El artículo 14 sexies obliga a reportar a la Agencia las vulneraciones que ocasionen la comunicación o el acceso no autorizado a datos personales, cuando exista un riesgo razonable para los titulares, y cuando se trata de datos relativos a obligaciones de carácter económico, financiero o bancario exige además comunicarlo a cada titular afectado.",{"type":25,"tag":124,"props":125,"children":127},"alert",{"type":126},"warning",[128],{"type":25,"tag":30,"props":129,"children":130},{},[131],{"type":38,"value":132},"Una cartola de movimientos de un fondo es, con toda probabilidad, un dato relativo a obligaciones de carácter financiero. Bajo la Ley 21.719, un incidente como este exigirá reportar a la Agencia y comunicar a cada titular afectado, en lenguaje claro, qué datos quedaron expuestos y qué medidas se adoptaron.",{"type":25,"tag":30,"props":134,"children":135},{},[136,138,145,147,153,155,161,163,169],{"type":38,"value":137},"No pretendemos anticipar cómo sancionará la Agencia, cuyas facultades todavía no rigen. Sí nos parece claro que la ley pondrá la carga de la prueba del lado del responsable, y que demostrar un control de detección exige que ese control exista antes del incidente y deje registro de su funcionamiento. En ",{"type":25,"tag":139,"props":140,"children":142},"a",{"href":141},"/blog/ley-21719-oficial-cumplimiento-datos/",[143],{"type":38,"value":144},"el oficial de cumplimiento como tratante de datos",{"type":38,"value":146}," mostramos que las carpetas de debida diligencia son ellas mismas tratamiento de datos, y en ",{"type":25,"tag":139,"props":148,"children":150},{"href":149},"/blog/llegar-a-diciembre-ley-datos/",[151],{"type":38,"value":152},"llegar a diciembre",{"type":38,"value":154}," propusimos una hoja de ruta que incluye la respuesta ante brechas. Detrás de cada una de esas 46 cartolas hay una ",{"type":25,"tag":139,"props":156,"children":158},{"href":157},"/blog/persona-detras-del-dato/",[159],{"type":38,"value":160},"persona",{"type":38,"value":162}," que nunca autorizó que su saldo fuera público, y la CMF, que ya venía ",{"type":25,"tag":139,"props":164,"children":166},{"href":165},"/blog/cmf-alineacion-circular-62/",[167],{"type":38,"value":168},"alineando su normativa con la Circular 62",{"type":38,"value":170}," de la UAF, acaba de mostrar que no espera a la Agencia para exigir custodia.",{"type":25,"tag":56,"props":172,"children":174},{"id":173},"pregonado-en-los-terrados",[175],{"type":38,"value":176},"Pregonado en los terrados",{"type":25,"tag":30,"props":178,"children":179},{},[180],{"type":38,"value":181},"El Evangelio de Lucas advierte que lo que se dijo al oído en las cámaras será pregonado en los terrados, y la frase describe con inquietante exactitud lo que le ocurre a un dato confiado a una institución cuando falla la custodia. El cliente entregó su información en la reserva de una relación financiera, y la encontró publicada en el techo más alto de la ciudad, que hoy es un buscador. ¿Quién se habría dado cuenta si ese cliente no reclamaba? Esa es la pregunta que este caso deja abierta, y que conviene hacerse antes de que la haga la Agencia.",{"type":25,"tag":30,"props":183,"children":184},{},[185],{"type":38,"value":186},"Cerrar la puerta es la mitad del trabajo. La otra mitad es volver cada día a comprobar que sigue cerrada.",{"type":25,"tag":188,"props":189,"children":190},"hr",{},[],{"type":25,"tag":30,"props":192,"children":193},{},[194,196,202],{"type":38,"value":195},"Neitcom consulta PEP y listas de sanciones y deja documentada cada revisión para la auditoría, con los datos de sus clientes en un sistema on-premise que la propia institución controla. ",{"type":25,"tag":139,"props":197,"children":199},{"href":198},"/contacto/",[200],{"type":38,"value":201},"Conversemos",{"type":38,"value":203}," sobre cómo encaja la documentación de su programa de cumplimiento con el deber de seguridad de la Ley 21.719.",{"title":7,"searchDepth":205,"depth":206,"links":207},2,3,[208,209,210,211],{"id":58,"depth":205,"text":61},{"id":79,"depth":205,"text":82},{"id":114,"depth":205,"text":117},{"id":173,"depth":205,"text":176},"markdown","content:blog:cmf-multa-cartolas-expuestas-seguridad-datos.md","content","blog/cmf-multa-cartolas-expuestas-seguridad-datos.md","blog/cmf-multa-cartolas-expuestas-seguridad-datos","md",[219,366],{"_path":220,"_dir":5,"_draft":6,"_partial":6,"_locale":7,"title":221,"description":222,"category":10,"readTime":223,"date":224,"author":13,"tags":225,"image":228,"body":229,"_type":212,"_id":363,"_source":214,"_file":364,"_stem":365,"_extension":217},"/blog/agencia-datos-sin-consejo-directivo","La ley llega en diciembre aunque su Agencia no tenga consejeros","El Consejo Directivo de la Agencia sigue sin nombrarse mientras corre el plazo de la Ley 21.719. Por qué eso no suspende ninguna obligación de su empresa.",5,"2026-08-26",[15,226,227,10,19],"Ley 21.806","Agencia de Protección de Datos","/images/blog/agencia-datos-sin-consejo-directivo.jpg",{"type":22,"children":230,"toc":358},[231,247,263,268,273,279,284,289,294,300,305,310,315,323,329,334,339,342],{"type":25,"tag":26,"props":232,"children":233},{},[234,242],{"type":25,"tag":30,"props":235,"children":236},{},[237],{"type":25,"tag":34,"props":238,"children":239},{},[240],{"type":38,"value":241},"\"La ley no duerme cuando el juez descansa.\"",{"type":25,"tag":30,"props":243,"children":244},{},[245],{"type":38,"value":246},"Aforismo jurídico clásico",{"type":25,"tag":124,"props":248,"children":249},{"type":126},[250],{"type":25,"tag":30,"props":251,"children":252},{},[253,255,261],{"type":38,"value":254},"Actualización del 10 de septiembre de 2026. El 31 de agosto el Ejecutivo ingresó al Senado un proyecto de ley que propone postergar la entrada en vigencia de la Ley 21.719 hasta el 1 de diciembre de 2027 y aumentar de tres a cinco los consejeros de la Agencia. El proyecto está en tramitación, de modo que la fecha vigente sigue siendo el 1 de diciembre de 2026 mientras no se apruebe. El análisis de este artículo se mantiene, con la salvedad del plazo. Los detalles, en ",{"type":25,"tag":139,"props":256,"children":258},{"href":257},"/blog/postergacion-ley-21719-diciembre-2027/",[259],{"type":38,"value":260},"Un año más para la Ley 21.719",{"type":38,"value":262},".",{"type":25,"tag":30,"props":264,"children":265},{},[266],{"type":38,"value":267},"Faltan noventa y siete días para que la Ley N°21.719 entre en plena vigencia y ocurre algo que a muchos les parece una contradicción difícil de digerir. La Agencia de Protección de Datos Personales, ese organismo que la ley crea para fiscalizar y sancionar a quienes traten mal la información de las personas, todavía no tiene Consejo Directivo. La Ley N°21.806 modificó las disposiciones transitorias precisamente para asegurar su instalación seis meses antes de la entrada en vigencia, estableciendo incluso un mecanismo por el cual, si el Senado no se pronuncia sobre la nómina propuesta por el Presidente, esta se entiende aceptada sin más trámite. Sin embargo, el nombramiento no ha ocurrido, dos listas de candidatos resultaron fallidas y a la fecha no hay novedades sobre una nueva terna.",{"type":25,"tag":30,"props":269,"children":270},{},[271],{"type":38,"value":272},"La pregunta que muchas gerencias se están haciendo por estos días, algunas en voz alta y otras en el silencio cómodo de la esperanza, es si esto significa que hay más tiempo. Vale la pena responderla con claridad, porque la respuesta define lo que una organización haga o deje de hacer en los próximos tres meses.",{"type":25,"tag":56,"props":274,"children":276},{"id":275},"una-cosa-es-la-obligación-y-otra-el-fiscalizador",[277],{"type":38,"value":278},"Una cosa es la obligación y otra el fiscalizador",{"type":25,"tag":30,"props":280,"children":281},{},[282],{"type":38,"value":283},"Conviene separar dos planos que la conversación pública suele confundir. La obligación jurídica nace de la ley y comienza a regir el día que la ley dispone, sin depender de que exista alguien mirando. El fiscalizador es el mecanismo institucional para verificar y sancionar el incumplimiento, y su ausencia no deroga nada, del mismo modo que una calle sin carabineros no autoriza a pasarse el semáforo en rojo ni borra la infracción cometida.",{"type":25,"tag":30,"props":285,"children":286},{},[287],{"type":38,"value":288},"Desde el primero de diciembre de este año toda actividad de tratamiento de datos personales en Chile, del sector público y del privado, quedará sujeta a la nueva normativa, salvo las excepciones que la propia norma contempla. Eso incluye la exigencia de contar con una base de licitud para cada tratamiento, de mantener el registro de actividades, de responder a los titulares que ejerzan sus derechos y de notificar las brechas de seguridad. Nada de eso está condicionado a la instalación del Consejo Directivo.",{"type":25,"tag":30,"props":290,"children":291},{},[292],{"type":38,"value":293},"Hay además una consideración práctica que las organizaciones prudentes ya están haciendo. Una Agencia que se instala tarde no llega con menos energía sino con más, porque debe justificar su existencia ante un país que la esperó. Y llegará a un panorama donde las empresas se dividirán en dos grupos fácilmente distinguibles, las que usaron estos meses para ordenarse y las que los usaron para esperar noticias del Senado.",{"type":25,"tag":56,"props":295,"children":297},{"id":296},"quiénes-tienen-más-que-perder-con-la-espera",[298],{"type":38,"value":299},"Quiénes tienen más que perder con la espera",{"type":25,"tag":30,"props":301,"children":302},{},[303],{"type":38,"value":304},"La demora ha generado preocupación en la industria nacional y también en empresas internacionales que evalúan ingresar al mercado chileno y siguen de cerca la regulación en curso. Pero hay dos grupos donde la incertidumbre pesa más que en el resto.",{"type":25,"tag":30,"props":306,"children":307},{},[308],{"type":38,"value":309},"El primero son las industrias que no cuentan con un regulador sectorial propio y que, en consecuencia, no tienen lineamientos claros sobre cómo abordar los desafíos de la norma. Un banco puede mirar a la CMF y una isapre a su superintendencia, pero una empresa de servicios, una constructora o una cadena de retail sin supervisor especializado se queda sin ese intérprete intermedio que traduce la ley general a instrucciones concretas. Para ellas, la ausencia de la Agencia significa navegar sin carta.",{"type":25,"tag":30,"props":311,"children":312},{},[313],{"type":38,"value":314},"El segundo grupo son las pequeñas y medianas empresas, que enfrentan esta normativa en un entorno donde ya hay mucha regulación que las afecta, y donde esta en particular implica ajustes en procesos internos que no siempre tienen a quién delegar. Para ellas la ley contempla una ventana inicial de amonestaciones en lugar de multas, pero esa ventana premia a quien está avanzando y no a quien recién empieza a mirar el problema el día que llega la carta.",{"type":25,"tag":124,"props":316,"children":317},{"type":126},[318],{"type":25,"tag":30,"props":319,"children":320},{},[321],{"type":38,"value":322},"Un matiz que conviene tener presente. La ausencia de Consejo Directivo no impide que un titular reclame por sus datos ni que la ausencia de cumplimiento genere efectos en otros planos, desde exigencias contractuales de clientes corporativos hasta condiciones de contratación con el Estado o con contrapartes extranjeras que auditan a sus proveedores.",{"type":25,"tag":56,"props":324,"children":326},{"id":325},"lo-que-sí-depende-de-usted",[327],{"type":38,"value":328},"Lo que sí depende de usted",{"type":25,"tag":30,"props":330,"children":331},{},[332],{"type":38,"value":333},"Si algo enseña este episodio es que el cumplimiento maduro no se organiza en función de cuándo aparecerá el fiscalizador sino de cuándo comienza la obligación, que son dos fechas distintas y solo una de ellas está fijada con certeza. Las organizaciones que quieran llegar tranquilas a diciembre tienen por delante un trabajo que no requiere consejeros designados para comenzar. Levantar el inventario de datos que la empresa trata, asignarle a cada uno su base de licitud, revisar los contratos con proveedores que acceden a esa información, definir cómo se responderá a un titular que ejerza sus derechos y ensayar el procedimiento para el día en que ocurra una brecha. Ninguna de esas tareas espera una resolución del Senado.",{"type":25,"tag":30,"props":335,"children":336},{},[337],{"type":38,"value":338},"El aforismo con que abrimos estas líneas dice que la ley no duerme cuando el juez descansa, y expresa una intuición antigua sobre la naturaleza de las normas. Existen porque protegen algo, no porque alguien las vigile, y esa es exactamente la diferencia entre una organización que cumple y una que solamente evita ser sorprendida. En noventa y siete días sabremos quién entendió la diferencia.",{"type":25,"tag":188,"props":340,"children":341},{},[],{"type":25,"tag":30,"props":343,"children":344},{},[345,347,351,353,357],{"type":38,"value":346},"En Neitcom construimos tecnología para que el cumplimiento sea trazable y demostrable, que es lo que cualquier fiscalizador viene a buscar el día que llega. ",{"type":25,"tag":139,"props":348,"children":349},{"href":198},[350],{"type":38,"value":201},{"type":38,"value":352}," sobre cómo su gestión de datos y su debida diligencia pueden caminar juntas hacia diciembre, o revise nuestro artículo sobre ",{"type":25,"tag":139,"props":354,"children":355},{"href":141},[356],{"type":38,"value":144},{"type":38,"value":262},{"title":7,"searchDepth":205,"depth":206,"links":359},[360,361,362],{"id":275,"depth":205,"text":278},{"id":296,"depth":205,"text":299},{"id":325,"depth":205,"text":328},"content:blog:agencia-datos-sin-consejo-directivo.md","blog/agencia-datos-sin-consejo-directivo.md","blog/agencia-datos-sin-consejo-directivo",{"_path":367,"_dir":5,"_draft":6,"_partial":6,"_locale":7,"title":368,"description":369,"category":10,"readTime":11,"date":370,"author":13,"tags":371,"image":375,"body":376,"_type":212,"_id":567,"_source":214,"_file":568,"_stem":569,"_extension":217},"/blog/decreto-662-modelo-prevencion-infracciones","Decreto 662, dos modelos de prevención que conviene trenzar","El reglamento de los modelos de prevención de infracciones de la Ley de Datos se parece al MPD de la Ley 20.393. Qué integrar y qué mantener separado.","2026-09-28",[372,15,10,373,374,19],"Decreto 662","MPD","Ley 20.393","/images/blog/decreto-662-modelo-prevencion-infracciones.jpg",{"type":22,"children":377,"toc":561},[378,394,407,412,418,423,428,440,455,461,474,479,487,493,498,503,523,536,542,547,550],{"type":25,"tag":26,"props":379,"children":380},{},[381,389],{"type":25,"tag":30,"props":382,"children":383},{},[384],{"type":25,"tag":34,"props":385,"children":386},{},[387],{"type":38,"value":388},"\"Y cordón de tres dobleces no se rompe pronto.\"",{"type":25,"tag":30,"props":390,"children":391},{},[392],{"type":38,"value":393},"Eclesiastés 4, 12",{"type":25,"tag":30,"props":395,"children":396},{},[397,399,405],{"type":38,"value":398},"Quien haya implementado alguna vez un modelo de prevención de delitos bajo la Ley 20.393 va a tener una sensación de déjà vu al leer el reglamento que se publicó este mes. El ",{"type":25,"tag":400,"props":401,"children":402},"strong",{},[403],{"type":38,"value":404},"Decreto N° 662 de 2025",{"type":38,"value":406},", del Ministerio de Hacienda, fue firmado en junio del año pasado, tomado de razón por la Contraloría el 28 de agosto de 2026, casi catorce meses después, y publicado en el Diario Oficial el 9 de septiembre. Regula cómo se implementan, certifican e inscriben los modelos de prevención de infracciones que la Ley 21.719 incorporó a la Ley 19.628 en su artículo 49, y lo hace con un vocabulario que cualquier encargado de cumplimiento reconoce de inmediato.",{"type":25,"tag":30,"props":408,"children":409},{},[410],{"type":38,"value":411},"El parecido invita a una pregunta práctica que el reglamento no responde y que cada empresa va a tener que contestar por su cuenta. Si ya existe un modelo de prevención de delitos funcionando, con su encargado, su matriz y su canal, ¿conviene montar el modelo de datos sobre esa misma estructura o llevarlo como un programa aparte? Nuestra respuesta es que ninguna de las dos opciones puras es buena, y que lo sensato está en distinguir con cuidado qué piezas son realmente comunes y cuáles solo se parecen.",{"type":25,"tag":56,"props":413,"children":415},{"id":414},"lo-que-exige-el-reglamento",[416],{"type":38,"value":417},"Lo que exige el reglamento",{"type":25,"tag":30,"props":419,"children":420},{},[421],{"type":38,"value":422},"Los veinte artículos del decreto piden identificar al responsable de datos y a su representante legal, designar un delegado de protección de datos, caracterizar los datos y los tratamientos, construir una matriz de riesgos sobre las infracciones de los artículos 34 bis, 34 ter y 34 quáter de la Ley 19.628, y contar con protocolos, mecanismos de reporte, sanciones internas y un canal de denuncia que asegure la reserva de identidad de quien denuncia. Todo eso debe quedar incorporado en los contratos de trabajo o de servicios, incluidos los de los máximos ejecutivos, o en el reglamento interno.",{"type":25,"tag":30,"props":424,"children":425},{},[426],{"type":38,"value":427},"El delegado lo nombra la máxima autoridad de la empresa, actúa con autonomía, puede ser interno o externo, y entre sus funciones están capacitar a los equipos y preparar un plan anual de trabajo. Su designación es obligatoria dentro de la adopción y certificación de un programa de cumplimiento. En las micro, pequeñas y medianas empresas el dueño o sus máximas autoridades pueden asumir personalmente la función.",{"type":25,"tag":30,"props":429,"children":430},{},[431,433,438],{"type":38,"value":432},"La certificación es voluntaria y la otorga la Agencia de Protección de Datos Personales. Los certificados duran ",{"type":25,"tag":400,"props":434,"children":435},{},[436],{"type":38,"value":437},"tres años",{"type":38,"value":439}," y pueden renovarse, y una vez otorgado el modelo se inscribe en el Registro Nacional de Sanciones y Cumplimiento, de acceso público. Un programa certificado puede operar como atenuante de las sanciones, aunque no libera a la empresa de su deber general de prevenir infracciones.",{"type":25,"tag":124,"props":441,"children":443},{"type":442},"info",[444],{"type":25,"tag":30,"props":445,"children":446},{},[447,449,454],{"type":38,"value":448},"El decreto no tiene una fecha de vigencia propia que conviene anotar aparte. Los modelos que regula operan dentro de la Ley 21.719, cuya entrada en vigencia está fijada para el 1 de diciembre de 2026. El 1 de septiembre el Gobierno ingresó al Senado, con suma urgencia, un proyecto que propone postergarla hasta el 1 de diciembre de 2027, según informaron ese mismo día el Diario Financiero y después el estudio Carey. Mientras ese proyecto no se apruebe, la fecha que manda es la de diciembre, y el detalle de la prórroga lo revisamos en ",{"type":25,"tag":139,"props":450,"children":451},{"href":257},[452],{"type":38,"value":453},"un año más para la Ley 21.719",{"type":38,"value":262},{"type":25,"tag":56,"props":456,"children":458},{"id":457},"las-piezas-que-ya-tiene-construidas",[459],{"type":38,"value":460},"Las piezas que ya tiene construidas",{"type":25,"tag":30,"props":462,"children":463},{},[464,466,472],{"type":38,"value":465},"Una organización que tomó en serio su ",{"type":25,"tag":139,"props":467,"children":469},{"href":468},"/blog/modelo-prevencion-delitos/",[470],{"type":38,"value":471},"modelo de prevención de delitos",{"type":38,"value":473}," tiene hecha buena parte del trabajo de infraestructura, y sería un despilfarro levantarla dos veces. La metodología para construir una matriz de riesgos, con su forma de puntuar probabilidad e impacto y su ciclo de revisión, sirve igual para los delitos del catálogo penal que para las infracciones de la ley de datos. El canal de denuncia, si ya protege la identidad del denunciante, puede recibir también las denuncias sobre tratamiento de datos, siempre que se enruten hacia quien corresponde. Las cláusulas contractuales se pueden redactar en un mismo anexo, el programa de capacitación puede tener un tronco común y el reporte periódico al directorio puede presentar ambos modelos en una misma sesión.",{"type":25,"tag":30,"props":475,"children":476},{},[477],{"type":38,"value":478},"Hay además una ventaja que no aparece en ninguna norma, porque dos modelos llevados por equipos que no se hablan terminan pidiéndole a las mismas áreas de negocio dos levantamientos, dos entrevistas y dos planillas, y la segunda se contesta siempre con desgano.",{"type":25,"tag":30,"props":480,"children":481},{},[482],{"type":25,"tag":107,"props":483,"children":486},{"alt":484,"src":485},"Los dos modelos lado a lado, con los elementos que comparten al centro y los propios de cada uno a los costados","/images/diagramas/decreto-662-modelo-prevencion-infracciones.svg",[],{"type":25,"tag":56,"props":488,"children":490},{"id":489},"lo-que-no-conviene-fundir",[491],{"type":38,"value":492},"Lo que no conviene fundir",{"type":25,"tag":30,"props":494,"children":495},{},[496],{"type":38,"value":497},"La tentación, una vez vista la coincidencia, es declarar que el modelo de datos es un capítulo del modelo de prevención de delitos y encargárselo a la misma persona. Ahí conviene frenar, por tres razones que no son de forma.",{"type":25,"tag":30,"props":499,"children":500},{},[501],{"type":38,"value":502},"El contenido de la matriz, para empezar, es distinto aunque su método sea el mismo. Los riesgos de la ley de datos están en los tratamientos, en las bases de licitud, en las transferencias internacionales y en las decisiones automatizadas, y quien evalúa esos riesgos necesita entender cómo fluye un dato por los sistemas de la empresa, que es un saber distinto del que se requiere para evaluar el riesgo de cohecho en una licitación pública. Una matriz única que mezcle ambos catálogos tiende a quedar superficial en los dos.",{"type":25,"tag":30,"props":504,"children":505},{},[506,508,514,516,522],{"type":38,"value":507},"Los roles, por otra parte, responden a lógicas diferentes. El delegado de protección de datos es además el punto de contacto con la Agencia y con los titulares que ejercen sus derechos, una función hacia afuera que el ",{"type":25,"tag":139,"props":509,"children":511},{"href":510},"/blog/encargado-prevencion-delitos/",[512],{"type":38,"value":513},"encargado de prevención de delitos",{"type":38,"value":515}," no tiene. Que una misma persona pueda cumplir ambos papeles en una empresa pequeña es razonable, y el propio reglamento lo facilita al permitir que el dueño asuma la función, pero en una organización mediana o grande la acumulación suele producir un cargo que no alcanza a hacer bien ninguna de las dos cosas. Lo desarrollamos con más detalle en ",{"type":25,"tag":139,"props":517,"children":519},{"href":518},"/blog/oficial-cumplimiento-delegado-datos/",[520],{"type":38,"value":521},"el oficial de cumplimiento y el delegado de datos",{"type":38,"value":262},{"type":25,"tag":30,"props":524,"children":525},{},[526,528,534],{"type":38,"value":527},"Queda, por último, la consecuencia jurídica, que también es distinta y que cambia la manera en que cada modelo se pone a prueba. Un modelo de datos certificado atenúa una sanción administrativa, lo certifica la Agencia y queda en un registro público que cualquiera puede consultar. El modelo de prevención de delitos se juega en sede penal y tiene su propio régimen de ",{"type":25,"tag":139,"props":529,"children":531},{"href":530},"/blog/certificacion-mpd-requisitos/",[532],{"type":38,"value":533},"certificación",{"type":38,"value":535},". Dos modelos con evaluadores, plazos y consecuencias distintas necesitan evidencias ordenadas por separado, aunque compartan la infraestructura que las produce.",{"type":25,"tag":56,"props":537,"children":539},{"id":538},"trenzar-sin-fundir",[540],{"type":38,"value":541},"Trenzar sin fundir",{"type":25,"tag":30,"props":543,"children":544},{},[545],{"type":38,"value":546},"La fuerza del cordón de tres dobleces que menciona el Eclesiastés viene de que cada hebra conserva su forma y las tres se apoyan al torcerse juntas, y en ningún caso de haberse fundido en una sola. Esa imagen describe bien lo que conviene hacer con estos dos modelos, que es compartir la matriz como método, el canal como tubería, la capacitación como tronco y el directorio como destinatario, y mantener separados el contenido de los riesgos, la responsabilidad de cada rol y la evidencia que cada uno tendrá que mostrar ante quien lo evalúe. La empresa que lo haga así llegará a diciembre con un programa que se sostiene, y la que funda las hebras descubrirá, el día que tire de una, que se deshilacha todo el cordón.",{"type":25,"tag":188,"props":548,"children":549},{},[],{"type":25,"tag":30,"props":551,"children":552},{},[553,555,559],{"type":38,"value":554},"Neitcom gestiona matrices de riesgo, canales de denuncia y evidencias de control para programas de cumplimiento que conviven bajo más de una ley. ",{"type":25,"tag":139,"props":556,"children":557},{"href":198},[558],{"type":38,"value":201},{"type":38,"value":560}," sobre cómo ordenar el suyo antes de que el modelo de datos tenga que mostrarse.",{"title":7,"searchDepth":205,"depth":206,"links":562},[563,564,565,566],{"id":414,"depth":205,"text":417},{"id":457,"depth":205,"text":460},{"id":489,"depth":205,"text":492},{"id":538,"depth":205,"text":541},"content:blog:decreto-662-modelo-prevencion-infracciones.md","blog/decreto-662-modelo-prevencion-infracciones.md","blog/decreto-662-modelo-prevencion-infracciones",1793091758069]