Guía · Encargados de tratamiento

Contrato con el encargado de tratamiento: qué debe decir

Guía de DPOCentral · publicada el 24 de octubre de 2026

En cortoTodo proveedor que trata datos por cuenta de la empresa necesita un contrato con objeto, duración, finalidad, datos, titulares y obligaciones. No puede subcontratar sin autorización escrita. Si se sale del encargo, responde como responsable.

Casi ninguna empresa trata sus datos sola: el software de remuneraciones, el correo en la nube, la empresa de cobranza, el contador externo o el call center los tratan por su cuenta. La ley los llama terceros mandatarios o encargados, y exige que la relación con cada uno quede en un contrato con un contenido mínimo. Esta guía explica qué debe decir ese contrato y qué riesgos cubre.

Quién es encargado

La ley define al tercero mandatario o encargado como «la persona natural o jurídica que trate datos personales, por cuenta del responsable de datos» (artículo 2°, letra x). La clave está en «por cuenta de»: el encargado trata los datos para la finalidad del responsable y siguiendo sus instrucciones, no para fines propios. Si los usa para lo suyo, deja de ser encargado.

Qué dice la ley

«El tratamiento de datos a través de un tercero mandatario o encargado se regirá por el contrato celebrado entre el responsable y el encargado, con arreglo a la legislación vigente. En el contrato se deberá establecer el objeto del encargo, la duración del mismo, la finalidad del tratamiento, el tipo de datos personales tratados, las categorías de titulares a quienes conciernen los datos, y los derechos y obligaciones de las partes.»Ley 19.628, artículo 15 bis

El contenido mínimo, cláusula por cláusula

Cláusula	Qué debe decir	Fuente
Objeto y finalidad	Qué servicio presta el encargado y para qué trata los datos. Nada fuera de eso.	Art. 15 bis
Duración	Mientras dure el servicio.	Art. 15 bis
Datos y titulares	Qué tipos de datos y de qué personas (trabajadores, clientes…).	Art. 15 bis
Instrucciones	El encargado trata los datos conforme a las instrucciones del responsable.	Art. 15 bis
Confidencialidad	Deber de secreto del encargado y de su personal.	Arts. 14 bis y 15 bis
Seguridad	Medidas técnicas y organizativas apropiadas al riesgo.	Arts. 14 quinquies y 15 bis
Subencargados	Prohibición de delegar sin autorización específica y por escrito; la lista de los autorizados.	Art. 15 bis
Vulneraciones	Aviso al responsable de toda vulneración, con un plazo concreto.	Art. 15 bis
Término	Al terminar, supresión o devolución de los datos.	Art. 15 bis
Transferencia internacional	Si los datos salen de Chile, a qué país y con qué garantías.	Arts. 27 y 28

Los subencargados

El encargado no puede pasar el trabajo a otro proveedor por su cuenta:

«El encargado no podrá delegar parte o la totalidad del encargo, salvo que conste una autorización específica y por escrito del responsable.»Ley 19.628, artículo 15 bis

En la práctica, el contrato debe listar los subencargados autorizados (por ejemplo, el proveedor de nube del encargado) y fijar cómo se autorizan los cambios. El encargado que delega sigue siendo solidariamente responsable y «no podrá eximirse de responsabilidad argumentando que ha delegado el tratamiento».

Qué pasa si el encargado se sale del contrato

Si el encargado trata los datos con un objeto distinto del convenido, o los cede o entrega sin autorización, la ley lo considera responsable de datos para todos los efectos legales: responde personalmente por sus infracciones y solidariamente con el responsable por los daños. El contrato es, por eso, una protección para ambas partes.

¿Llevas los contratos de encargo de varios clientes?

Organiza tu cartera de clientes, su registro de actividades, sus evaluaciones de impacto y sus brechas en un solo lugar.

Empieza con el plan Profesional Agenda una demo

Cuando el encargado está fuera de Chile

Muchos servicios en la nube procesan datos en el extranjero. Esa transferencia es lícita, entre otros casos, si el país tiene un nivel adecuado de protección o si está amparada por cláusulas contractuales con garantías adecuadas (artículo 27). La Agencia publicará la lista de países adecuados y cláusulas modelo; mientras tanto, el contrato debe incluir las garantías y la política de privacidad debe informar la transferencia (artículo 14 ter, letra h).

Errores frecuentes

Aceptar los términos estándar del proveedor sin revisarlos. Muchos no incluyen el contenido mínimo de la ley chilena.
No saber qué subencargados usa el proveedor. La autorización debe ser específica.
Contratos sin plazo de aviso de vulneraciones. El responsable no puede reportar a tiempo si se entera tarde.
Olvidar el término. Qué pasa con los datos cuando se acaba el servicio.

Cómo lo resuelve DPOCentral

DPOCentral lleva los encargados de cada actividad de tratamiento y detecta como brecha el que no tiene contrato, el que vence o el que no asegura la devolución de los datos. Así, el inventario de proveedores y sus contratos queda conectado con el registro.

Sigue leyendo: Vulneraciones de seguridad · Registro de actividades de tratamiento

Esta guía explica la Ley 19.628, con las modificaciones de la Ley 21.719, a partir de su texto oficial publicado por la Biblioteca del Congreso Nacional. Es material informativo y no reemplaza la asesoría de un abogado para un caso concreto.