Respuesta directa: Sí. El Artículo 50, inciso quinto, de la Ley 21.719 habilita a las sociedades pertenecientes a un mismo grupo empresarial, empresas relacionadas o sujetas a un mismo controlador a designar un único Delegado de Protección de Datos (DPO). La autorización es expresa, pero opera bajo tres requisitos copulativos cuyo incumplimiento expone a cada entidad a sanciones individuales de hasta 20.000 UTM.
Base normativa
El Artículo 50, inciso quinto, dispone:
«Las sociedades o entidades que pertenezcan a un mismo grupo empresarial, empresas relacionadas o sujetas a un mismo controlador en los términos previstos en la Ley de Mercado de Valores, podrán designar un único delegado de protección de datos, siempre que todas ellas operen bajo los mismos estándares y políticas en materia de tratamiento de datos personales, y el delegado sea accesible para todas las entidades y establecimientos.»
Los tres requisitos operan copulativamente. La ausencia de cualquiera invalida la designación compartida y deja a cada empresa en situación de incumplimiento del deber general de designación (Art. 50, incisos primero a tercero) cuando éste les sea exigible.
Los tres requisitos copulativos
1. Vínculo societario calificado
La remisión a la Ley 18.045 de Mercado de Valores activa los Arts. 96 a 100: grupo empresarial (Art. 96, actuación económica conjunta por propiedad, administración o responsabilidad crediticia), empresas relacionadas (Art. 100, matrices, filiales, coligadas, accionistas o directores con influencia significativa) y controlador (Art. 97, mayoría de votos o capacidad de elegir a la mayoría del directorio).
Punto crítico: la mera coincidencia de socios minoritarios no configura grupo empresarial. Acuerdos comerciales, joint ventures sin propiedad común y relaciones franquiciante-franquiciado quedan excluidos.
2. Estándares y políticas uniformes
La exigencia se proyecta en cinco frentes documentables: política de tratamiento común o armonizada; procedimientos uniformes de respuesta a derechos del titular; protocolo común de notificación de vulneraciones (Art. 14 sexies); medidas técnicas y organizativas equivalentes (Art. 14 quinquies); criterios uniformes para Evaluaciones de Impacto en Protección de Datos (Art. 15 ter).
La APDP verificará coherencia material en fiscalización, no solo formal. Compartir el mismo PDF de política es insuficiente si los procedimientos operativos divergen.
Conexión sistémica relevante: la misma uniformidad de estándares habilita el uso de normas corporativas vinculantes para transferencias internacionales intragrupo (Art. 28). Quien proyecta DPO compartido debería simultáneamente proyectar la implementación de BCRs, porque ambos institutos comparten el presupuesto fáctico.
3. Accesibilidad efectiva
Triple: para todas las entidades del grupo, para todos los establecimientos, y para los titulares de datos de cada empresa (inciso séptimo del Art. 50). La accesibilidad no se presume con la designación; requiere canales operativos: correo publicado, horario hábil razonable, idioma del titular y ausencia de barreras geográficas o jerárquicas.
Lo que la designación compartida NO altera
Este es el aspecto más sub-analizado en la práctica:
La responsabilidad permanece individual por cada responsable de datos. La Ley 21.719 no reconoce responsabilidad de grupo. Cada empresa con RUT propio responde por sus tratamientos, sus brechas y sus infracciones.
Cada empresa debe designar formalmente al DPO. El inciso segundo exige designación por la máxima autoridad directiva o administrativa de cada responsable. La designación en la matriz no se extiende automáticamente a las filiales.
Los requisitos individuales del Art. 50 se aplican a cada designación: autonomía respecto de la administración (inciso tercero), idoneidad y conocimientos específicos (inciso sexto), ausencia de conflictos de interés (inciso cuarto), recursos materiales suficientes según tamaño y capacidad económica de cada responsable (inciso noveno) y deber de secreto (inciso octavo, con remisión a los Arts. 246 a 247 bis del Código Penal).
Casos típicos
Sí califica: holding con matriz controladora y filiales bajo política corporativa común; grupo familiar con sociedades bajo mismo controlador y manual interno único; filial chilena de matriz extranjera con políticas alineadas y DPO globalmente accesible (sujeto a verificación de idioma y horario local).
No califica: empresas con socios minoritarios comunes sin control configurado; joint ventures o partes de acuerdos comerciales sin propiedad cruzada; empresas del mismo grupo con estándares de tratamiento materialmente dispares (precisa armonización previa); relaciones franquiciante-franquiciado.
Riesgos prácticos relevantes
Suficiencia material: un solo DPO para un grupo de cierta escala puede vulnerar el deber de «medios y facultades suficientes». El parámetro es empírico: tiempo vs. volumen de tratamientos, solicitudes y obligaciones.
Conflictos de interés intra-grupo: transferencias intragrupo, disputas sobre titularidad de bases o cesiones entre filiales pueden poner al DPO en posición incompatible con su autonomía.
Trazabilidad de la designación: cada entidad debe poder exhibir, ante fiscalización, su acto formal de designación. La ausencia es defecto material sancionable de forma autónoma.
Segregación funcional de información: el DPO compartido debe operar con segregación lógica por entidad en los sistemas de gestión (RAT, registro de consentimientos, brechas) que utilice.
Resumen ejecutivo
| Situación | ¿DPO compartido procedente? |
|---|---|
| Grupo empresarial con políticas armonizadas | Si |
| Holding con controlador común y manual único | Si |
| Filial chilena de matriz extranjera (con accesibilidad local | Sí, sujeto a verificación |
| Socios minoritarios comunes sin control | No |
| Acuerdo comercial o joint venture sin propiedad cruzada | No |
| Mismo grupo con estándares materialmente dispares | No, requiere armonización previa |
Preguntas frecuentes
¿Qué norma habilita el DPO compartido en Chile?
El Artículo 50, inciso quinto, de la Ley 21.719, con remisión a la Ley 18.045 de Mercado de Valores para definir grupo empresarial, empresas relacionadas y controlador.
¿La designación compartida exime a cada empresa de formalizar el nombramiento?
No. El inciso segundo del Art. 50 exige designación por la máxima autoridad de cada responsable. En un grupo, esto requiere actos formales separados por cada entidad-responsable.
¿La responsabilidad se consolida al compartir DPO?
No. La Ley 21.719 mantiene la responsabilidad individual por cada RUT. La APDP sanciona a la entidad infractora, no al grupo.
¿Existe un número máximo de empresas que puede atender un DPO compartido?
La ley no fija un número. Exige medios y facultades suficientes (inciso noveno). Es un test de razonabilidad sobre volumen, no un umbral cuantitativo.
¿El DPO compartido puede ser externo al grupo?
Sí. La ley no exige carácter interno. Puede ser interno, externo o tercerizado, siempre que cumpla los requisitos de idoneidad, autonomía y ausencia de conflictos de interés.
¿La designación compartida habilita transferencias intragrupo bajo BCRs?
Habilita el presupuesto fáctico, no automáticamente el mecanismo. El Art. 28 exige aprobación previa de la APDP para las normas corporativas vinculantes. La unificación de estándares es condición común de ambos institutos.
¿Cuándo entra en vigencia la Ley 21.719?
El 1 de diciembre de 2026, conforme al Artículo Primero Transitorio. La designación de DPO debe estar formalizada al inicio de operaciones bajo la nueva normativa.
Diagnóstico de cumplimiento para su grupo empresarial
CumplíAI ofrece un diagnóstico gratuito de 5 minutos que evalúa la procedencia jurídica de designar un DPO compartido en su grupo, identifica brechas en armonización de políticas y prepara el roadmap previo al 1 de diciembre de 2026.
HABLEMOS
Cuéntanos tu desafío
¿Necesitas software a medida, soluciones con IA o consultoría en transformación digital?Un especialista te responde en menos de 24 horas.
hola@twgroup.cl
Teléfono
+56 9 7539 3038
Dirección
Edificio Reitz ll, Limache 3421, of. 703. Viña del Mar.
