Contrato con encargado de tratamiento en Chile: cláusulas obligatorias y modelo

Si tu empresa usa un CRM en la nube, terceriza las remuneraciones o le entrega la base de clientes a una agencia, esos proveedores están tratando datos personales por cuenta tuya. Desde el 1 de diciembre de 2026, fecha en que entra en vigencia la Ley 21.719, esa relación tiene que regirse por un contrato con un contenido mínimo que define la propia ley. No es una formalidad: es la pieza que determina quién responde cuando algo sale mal.

¿Qué debe decir un contrato con un encargado de tratamiento en Chile?

El artículo 15 bis de la Ley 21.719 exige que el tratamiento realizado por un encargado se rija por un contrato, y que ese contrato establezca al menos seis elementos. Encargado es quien trata datos personales por encargo de otra empresa, sin decidir por su cuenta para qué se usan. La ley no impone una solemnidad escrita para el contrato, pero sin constancia escrita no hay forma de acreditar su contenido ante la Agencia ni ante un titular. Estos son, uno por uno, esos seis elementos:

1. El objeto del encargo: qué operaciones concretas hará el proveedor con los datos.
2. La duración del encargo.
3. La finalidad del tratamiento: para qué se usan esos datos.
4. El tipo de datos personales tratados.
5. Las categorías de titulares: de qué grupos de personas son esos datos (clientes, trabajadores, postulantes, proveedores).
6. Los derechos y obligaciones de las partes.

Además de ese contenido mínimo, el mismo artículo 15 bis impone al encargado otras obligaciones que conviene bajar al papel: cumplir el deber de secreto o confidencialidad del artículo 14 bis y las medidas de seguridad del artículo 14 quinquies; reportarte a ti, como responsable, toda vulneración a las medidas de seguridad; y suprimir o devolver los datos que obran en su poder, según corresponda, una vez cumplida la prestación del servicio. El artículo agrega también que la diferenciación de estándares de cumplimiento del artículo 14 septies se aplica al encargado, es decir, el nivel exigible se gradúa según el tipo de dato, el tamaño de la entidad, la actividad y el volumen tratado. Ese matiz tiene un límite práctico: esos estándares diferenciados los fija la Agencia por instrucción general y, a la fecha de publicación de este artículo, esa instrucción no existe. Puedes revisar el texto oficial completo en la [ficha de la Ley 21.719 en BCN](https://www.bcn.cl/leychile/navegar?idNorma=1209272).

¿Qué es un encargado y en qué se diferencia del responsable?

El responsable es quien decide para qué y cómo se tratan los datos; el encargado los trata por instrucción suya y dentro del objeto encargado. La propia definición legal lo dice: el artículo 2 letra n) describe al responsable como quien decide sobre los fines y medios del tratamiento, con independencia de que este se realice "directamente por ella o a través de un tercero mandatario o encargado". De ahí sale la regla práctica: el encargado no elige finalidades nuevas ni cede los datos por su cuenta. Si lo hace, el artículo 15 bis le cambia el rol, con las consecuencias que revisamos más abajo.

La distinción importa porque cambia quién responde ante la Agencia de Protección de Datos Personales. Mientras el proveedor actúa dentro del encargo, la relación con el titular la sostienes tú. Un detalle de vocabulario que conviene tener a mano al leer la ley: el texto legal no habla solo de "encargado", sino de "tercero mandatario o encargado". Así se titula el propio artículo 15 bis y así aparece en la definición de responsable del artículo 2 letra n); el artículo 1° bis, sobre ámbito territorial, usa la variante abreviada "mandatario". Son la misma figura. Ese mismo artículo 1° bis aclara algo útil si trabajas con proveedores fuera del país: la ley chilena alcanza al mandatario que trata datos a nombre de un responsable establecido en Chile, cualquiera sea su ubicación.

¿Qué proveedores de tu PyME son encargados de tratamiento?

La Ley 21.719 no trae una lista de proveedores. El rol se determina caso a caso preguntando quién decide la finalidad del tratamiento. Esta tabla aplica ese criterio a proveedores que puedes tener contratados hoy; úsala como ejemplo de razonamiento, no como clasificación cerrada.

Antes de redactar contratos conviene tener el mapa completo de qué datos tratas y con quién los compartes. Ese trabajo previo es el mismo que necesitas para documentar tus tratamientos aunque la ley chilena no exija un registro formal.

El contenido mínimo del artículo 15 bis, cláusula por cláusula

1. Objeto del encargoDescribe las operaciones concretas: almacenar, respaldar, enviar campañas, procesar liquidaciones, depurar la base. Escribir "prestación de servicios informáticos" no cumple, porque no permite saber después si el proveedor se salió del encargo.
2. DuraciónFija desde cuándo y hasta cuándo el proveedor puede tratar los datos. El artículo 15 bis agrega que, cumplida la prestación del servicio, los datos que obran en poder del encargado deben ser suprimidos o devueltos al responsable, según corresponda. Eso ya es obligación legal, no buena práctica opcional. Lo que la ley no fija es el plazo ni el procedimiento, así que conviene pactar en la misma cláusula cuál de las dos vías se aplica, en qué plazo y cómo se acredita que se hizo.
3. Finalidad del tratamientoPara qué se usan los datos, con el mismo nivel de concreción que el objeto. Es la cláusula que activa el efecto más duro del artículo 15 bis, el cambio de rol del encargado que se explica más abajo, así que una finalidad vaga vuelve muy difícil demostrar que hubo desvío. Conviene sumar la prohibición expresa de usar los datos para fines propios del proveedor, como enriquecer su base comercial o alimentar servicios que le ofrece a otros clientes.
4. Tipo de datos personales tratadosEnumera las categorías reales: nombre, RUT, correo, teléfono, dirección, historial de compras. Presta atención especial a los datos sensibles, porque en Chile la situación socioeconómica es dato sensible según el artículo 2 letra g. Si segmentas clientes por nivel socioeconómico, tu proveedor está tratando datos sensibles.
5. Categorías de titularesDe qué personas son esos datos: clientes, trabajadores, postulantes, contactos comerciales, menores de edad. No es lo mismo un encargo sobre una base de clientes que uno que incluye datos de trabajadores. Si hay datos de niños y niñas menores de 14 años, déjalo escrito: la ley les da un régimen propio en el artículo 16 quáter.
6. Derechos y obligaciones de las partesAquí se concentra el resto de las obligaciones legales del encargado: el deber de secreto del artículo 14 bis, las medidas de seguridad del artículo 14 quinquies, la obligación de reportarte las vulneraciones a esas medidas, la supresión o devolución de los datos al término del servicio. A eso conviene sumar por contrato —la ley no se lo exige al encargado— la colaboración para que puedas responder a los titulares dentro de los 30 días corridos que fija el artículo 11, plazo que corre contra ti como responsable.

¿Puede mi proveedor subcontratar a otro?

Solo con tu autorización específica y por escrito. El artículo 15 bis lo dice sin matices, y agrega algo que conviene mostrarle al proveedor: si delega, sigue siendo solidariamente responsable. Esto importa en servicios en la nube, donde el proveedor directo puede apoyarse en otros para infraestructura, correo transaccional o soporte.

¿Qué pasa si el encargado usa los datos para otra finalidad?

Cambia de rol. Según el artículo 15 bis, si el encargado trata los datos con un objeto distinto al del encargo o los cede sin autorización, se le considera responsable para todos los efectos legales, debiendo responder personalmente por las infracciones en que incurra y solidariamente con el responsable de datos por los daños ocasionados. Lee esa última parte con calma, porque se presta a confusión: la solidaridad no traslada el riesgo al proveedor, lo suma. El titular afectado puede dirigirse por el total del daño contra tu empresa, aunque el desvío haya sido del encargado.

Entonces, ¿para qué sirve la cláusula de finalidad? Para acreditar que el uso indebido quedó fuera de lo instruido y poder repetir contra el proveedor lo que hayas tenido que pagar. Es una herramienta de prueba y de recuperación, no un blindaje frente al titular.

Hay una segunda razón para no confiarse. El artículo 14 quinquies pone en el responsable la carga de acreditar la existencia y el funcionamiento de sus medidas de seguridad cuando hay controversia. El contrato ayuda a probar que instruiste correctamente; no reemplaza haber verificado con quién trabajas. Como referencia de escala, las infracciones gravísimas tienen un tope de 20.000 UTM, aproximadamente $1.433 millones con la UTM de agosto de 2026 ($71.649), un valor que se reajusta todos los meses. Ese es el techo del sistema, no el escenario típico de una PyME.

Durante los primeros doce meses luego de la entrada en vigencia de esta ley, en los casos en que proceda alguna sanción para empresas calificadas como de menor tamaño (…) la Agencia podrá aplicar como sanción una amonestación por escrito.

Artículo sexto transitorio, Ley 21.719

Conviene leer esa norma con precisión: es una facultad de la Agencia, no un derecho de la empresa, la amonestación igual se inscribe en el Registro Nacional de Sanciones y Cumplimiento del artículo 39, y no suspende ninguna obligación. No es un año de gracia.

¿Y si el proveedor está fuera de Chile?

Entonces tienes dos temas, no uno. El contrato del artículo 15 bis sigue siendo necesario, y además la operación es una transferencia internacional de datos regulada por los artículos 27 a 29. Esos artículos la permiten cuando el destinatario está en un país con nivel adecuado determinado por la Agencia, cuando existen cláusulas contractuales, normas corporativas vinculantes u otros instrumentos con garantías adecuadas, o cuando ambas partes adoptan un modelo de cumplimiento o certificación con garantías adecuadas. Fuera de esos casos, el artículo 27 admite transferencias específicas y no habituales en supuestos tasados, como el consentimiento expreso del titular para esa transferencia determinada o la necesidad para celebrar o ejecutar un contrato con él.

Hay un punto que a agosto de 2026 no se resuelve con ningún documento estándar: no existe todavía lista oficial de países con nivel adecuado ni cláusulas modelo aprobadas, porque esas decisiones dependen de la Agencia y la Agencia no está constituida. El 20 de mayo de 2026 el Senado desestimó la propuesta de consejeros al no alcanzarse el quórum de dos tercios, y a la fecha de publicación de este artículo no hay registro de una nueva designación del Consejo Directivo. Mientras eso no cambie, quien transfiera al exterior desde el 1 de diciembre de 2026 deberá apoyarse en sus propias garantías contractuales o en las excepciones del artículo 27.

¿Existen cláusulas modelo oficiales en Chile?

El artículo 15 bis dispone que la Agencia pondrá a disposición del público modelos tipo de contratos en su página web. A la fecha de publicación de este artículo esos modelos no existen, por la misma razón anterior: la Agencia aún no se constituye tras el rechazo de la propuesta de consejeros del 20 de mayo de 2026. Existe además discusión pública sobre postergar la entrada en vigencia (el 6 de agosto de 2026 el biministro de Economía, Daniel Mas, declaró que el Gobierno lo evalúa, según reportes de prensa), pero no hay ninguna ley publicada que cambie la fecha. La vigencia sigue siendo el 1 de diciembre de 2026.

Modelo de cláusulas: qué incorporar a tus contratos con proveedores

1. Cláusula de objeto: descripción de las operaciones de tratamiento encargadas, con verbos concretos.
2. Cláusula de duración y término: vigencia del encargo y, conforme al artículo 15 bis, supresión o devolución de los datos una vez cumplida la prestación, precisando cuál de las dos vías se aplica, en qué plazo y cómo se acredita.
3. Cláusula de finalidad: usos autorizados y prohibición expresa de tratar los datos con un objeto distinto.
4. Cláusula de datos y titulares: categorías de datos tratados, indicando si hay datos sensibles, y categorías de titulares involucradas.
5. Cláusula de confidencialidad: deber de secreto del artículo 14 bis, extensivo al personal del proveedor y vigente después de terminado el contrato.
6. Cláusula de seguridad: medidas del artículo 14 quinquies y derecho a solicitar evidencia de su funcionamiento.
7. Cláusula de subcontratación: prohibición general, lista de subencargados autorizados por escrito y procedimiento de aviso previo.
8. Cláusula de vulneraciones: obligación del encargado de informarte de inmediato (la ley le exige reportarte, pero no le fija plazo, así que el plazo lo pones tú en el contrato) y de entregarte los antecedentes que necesitas para el registro interno del artículo 14 sexies.
9. Cláusula de derechos de los titulares: colaboración del proveedor para que respondas dentro de los 30 días corridos del artículo 11.
10. Cláusula de transferencias internacionales: ubicación de los servidores, países involucrados y garantías aplicadas conforme a los artículos 27 a 29.
11. Cláusula de responsabilidad: reparto interno del riesgo y derecho a repetir contra el encargado cuando el daño provenga de un tratamiento fuera del encargo.

Aquí hay dos trabajos distintos, y los dos hacen falta. El primero es el diagnóstico: saber qué proveedores tienes, qué datos les entregas, dónde están alojados y con qué base de licitud los tratas, el mismo insumo que necesitas para poner al día tu política de privacidad según el artículo 14 ter. Es un ejercicio de inventario y trazabilidad, y sirve más allá de los contratos: es lo que te permite responder a un titular dentro de los 30 días corridos del artículo 11 sin salir a preguntarle proveedor por proveedor dónde están sus datos.

El segundo trabajo es jurídico. Definir el objeto con la precisión suficiente para que después se pueda probar un desvío, calibrar la cláusula de finalidad, repartir el riesgo con una contraparte que va a negociar y decidir hasta dónde ceder cuando el proveedor no acepta tus términos son decisiones de criterio profesional, propias del abogado que redacta y negocia el contrato. Ninguna plantilla las reemplaza, y conviene tomarlas antes de firmar, no después de un incidente.

Cinco errores frecuentes al firmar con proveedores

1. Dar por cumplido el artículo 15 bis con los términos y condiciones estándar del proveedor. Están redactados para el negocio del proveedor y pueden responder a otra legislación, así que hay que leerlos y comprobar punto por punto si contienen lo que la ley chilena obliga a dejar por escrito.
2. Describir el objeto del encargo de forma genérica. Sin operaciones concretas, después no puedes demostrar que el proveedor se salió del encargo, que es justamente lo que cambia quién responde.
3. Autorizar la subcontratación de manera abierta o solo de palabra. La ley exige autorización específica y por escrito; sin ella, el proveedor que delega igual queda solidariamente responsable, pero tú quedas sin evidencia de cómo se gestionó la cadena.
4. Tratar al proveedor extranjero como uno más. Si los datos salen de Chile, además del contrato necesitas una vía válida de transferencia internacional de los artículos 27 a 29.
5. Firmar y archivar. El contrato no acredita por sí solo que tus medidas de seguridad existen y funcionan; el artículo 14 quinquies pone esa carga en el responsable ante una controversia. Y tampoco cierra el ciclo: al terminar el servicio hay que exigir y documentar la supresión o devolución de los datos.

Los contratos con encargados son una pieza dentro de un trabajo más amplio. Si todavía no tienes claro por dónde partir, revisa el orden completo para implementar la Ley 21.719 paso a paso, y si ya avanzaste y quieres saber qué te falta, una auditoría de protección de datos te muestra las brechas concretas antes del 1 de diciembre de 2026. Si prefieres partir por el diagnóstico ya documentado, la auditoría en línea de Check21 ($49.990 CLP, pago único) entrega informe de brechas, plan de acción priorizado, matrices de tratamiento y kit documental.