APRUEBA REGLAMENTO QUE REGULA LOS REQUISITOS, MODALIDADES Y PROCEDIMIENTOS PARA LA IMPLEMENTACIÓN, CERTIFICACIÓN, REGISTRO Y SUPERVISIÓN DE LOS MODELOS DE PREVENCIÓN DE INFRACCIONES A QUE SE REFIERE EL ARTÍCULO 49 QUE INCORPORA LA LEY N° 21.719 A LA LEY N° 19.628
Núm. 662.- Santiago, 13 de junio de 2025.
Visto:
Lo dispuesto en los artículos 19 Nº 4, 32 Nº 6 y 35 del decreto supremo Nº 100, de 2005, del Ministerio Secretaría General de la Presidencia, que fija el texto refundido, coordinado y sistematizado de la Constitución Política de la República de Chile; en el decreto con fuerza de ley Nº 1/19.653, de 2000, del Ministerio Secretaría General de la Presidencia, que fija el texto refundido, coordinado y sistematizado de la Ley Nº 18.575, orgánica constitucional de bases generales de la Administración del Estado; en la Ley Nº 19.628, sobre protección de la vida privada; en la Ley Nº 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales; y en la resolución Nº 36, de 2024, de la Contraloría General de la República, que fija normas sobre exención del trámite de toma de razón.
Considerando:
1. Que, de acuerdo con lo dispuesto en los artículos 24 y 32 N° 6 de la Constitución Política, corresponde al Presidente de la República el gobierno y la administración del Estado y ejercer la potestad reglamentaria en todas aquellas materias que no sean propias del dominio legal, sin perjuicio de la facultad de dictar los demás reglamentos, decretos e instrucciones que crea convenientes para la ejecución de las leyes.
2. Que, de conformidad con lo dispuesto en el artículo 19 N° 4 de la Constitución Política de la República, la Carta Fundamental asegura a todas las personas la protección de sus datos personales, y dispone que el tratamiento y protección de dichos datos se efectuará en la forma y condiciones que determine la ley.
3. Que, con fecha 13 de diciembre de 2024, se publicó en el Diario Oficial la Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales, la que entrará en vigencia el día 1° de diciembre de 2026, de acuerdo con lo dispuesto en su artículo primero transitorio.
4. Que, el recién citado cuerpo legal modifica la Ley N° 19.628, sobre Protección de la Vida Privada, de manera de elevar el actual estándar de protección de los datos personales y regular el derecho a su protección establecido en la garantía constitucional del artículo 19 N° 4 de la Constitución Política.
5. Que, con la finalidad de promover el cumplimiento de sus disposiciones, la ley N° 21.719 incorporó a la ley N° 19.628 los artículos 49 a 53, nuevos, los que establecen un sistema de prevención de infracciones denominado "Modelo de prevención de infracciones", consistente en un programa de cumplimiento. Dicho modelo puede ser adoptado voluntariamente por cualquier responsable de datos, sea una persona natural o jurídica, pública o privada, con la finalidad de implementar medidas organizativas y de funcionamiento tendientes a resguardar el cumplimiento de la ley y la protección de los derechos de los titulares de datos personales.
6. Que el nuevo texto de la ley N° 19.628 establece los elementos mínimos que debe contener el programa de cumplimiento; los requisitos que debe cumplir y las atribuciones que detentará el delegado de protección de datos, cuya designación es obligatoria en el marco del modelo de prevención de infracciones; las potestades que corresponden a la Agencia de Protección de Datos para la certificación, registro y supervisión del modelo de prevención de infracciones, y el efecto que la adopción de tal modelo puede tener como atenuante de las sanciones que imponga la Agencia en el ejercicio de sus potestades de fiscalización y sanción.
7. Que, finalmente, el inciso final del artículo 51 que la ley N° 21.719 incorpora a la ley N° 19.628, dispone que un reglamento expedido a través del Ministerio de Hacienda y suscrito por el Ministro Secretario General de la Presidencia y por el Ministro de Economía, Fomento y Turismo establecerá los requisitos, modalidades y procedimientos para la implementación, certificación, registro y supervisión de los modelos de prevención de infracciones, el que, de conformidad con lo dispuesto en su artículo segundo transitorio debe dictarse dentro de los seis meses siguientes a la publicación de dicha ley en el Diario Oficial.
Decreto:
Apruébase el reglamento que regula los requisitos, modalidades y procedimientos para la implementación, certificación, registro y supervisión de los modelos de prevención de infracciones a que se refiere el artículo 49 que incorpora la ley N° 21.719 a la ley N° 19.628, y cuyo contenido es el siguiente:
Título I
Disposiciones generales
Artículo 1.- Objeto y ámbito de aplicación. El objeto del presente reglamento es establecer los requisitos, modalidades y procedimientos para la implementación, certificación, registro y supervisión de los modelos de prevención de infracciones.
Los responsables de datos, sean personas naturales o jurídicas, públicas o privadas, podrán adoptar e implementar, voluntariamente, un modelo de prevención de infracciones consistente en la adopción de un programa de cumplimiento, de conformidad con lo dispuesto en la ley N° 19.628 (en adelante: "la ley") y en este reglamento.
La adopción e implementación de un programa de cumplimiento no obstará al deber de todos los responsables de datos de adoptar acciones destinadas a prevenir la comisión de las infracciones establecidas en la ley N° 19.628 y, en general, a dar cumplimiento a sus disposiciones.
Artículo 2.- Reglas de aplicación supletoria. Al presente reglamento se aplicarán las definiciones establecidas en el artículo 2° de la ley N° 19.628. Asimismo, salvo disposición legal en contrario, a los actos y procedimientos en que intervenga la Agencia de Protección de Datos se aplicará lo dispuesto en la ley N° 19.880.
Título II
De los programas de cumplimiento
Párrafo 1
Elementos y publicidad de los programas de cumplimiento
Artículo 3.- Requisitos del programa de cumplimiento. Los programas de cumplimiento corresponden a un modelo de prevención de infracciones, los cuales se componen de un conjunto de instrumentos que puede adoptar cualquier responsable de datos, sea persona natural o jurídica. Los programas de cumplimiento deberán contener, a lo menos, los siguientes elementos:
a) La individualización del responsable de datos y de su representante legal, si correspondiere.
b) La designación de un delegado de protección de datos personales, de conformidad con lo dispuesto en el artículo 8 del presente reglamento.
c) La definición de medios y facultades del delegado de protección de datos, de conformidad con lo dispuesto en el Párrafo II del presente título.
d) La caracterización de los datos personales que el responsable trata, las categorías de datos personales y de bases de datos que administra, y la caracterización de las operaciones de tratamiento que realiza. La caracterización de actividades de tratamiento deberá contener, a lo menos, la siguiente información:
i. El tipo de datos personales que el responsable trata, indicando si incluye datos personales sensibles o datos que se encuentren dentro de las categorías especiales de datos que establece la ley.
ii. El ámbito territorial en que el responsable realiza el tratamiento de datos personales, de conformidad con lo establecido en el artículo 1° bis de la ley N° 19.628.
iii. Las categorías, clases o tipos de bases de datos que administra.
iv. La caracterización de las categorías de titulares de los datos personales que la entidad trata.
v. Los fines de las operaciones de tratamiento que realiza.
vi. La fuente de la cual provienen los datos personales y, en su caso, si proceden de fuentes de acceso público.
vii. La base de licitud del tratamiento, y el interés legítimo cuando el tratamiento se base en lo dispuesto en el literal d) del artículo 13 de la ley N° 19.628.
viii. Las categorías de terceros a quienes se prevé comunicar o ceder los datos personales, incluidos los destinatarios en terceros países u organizaciones internacionales.
ix. La existencia de operaciones de transferencia internacional de datos, la identificación de dicho tercer país u organización internacional, y los medios a través de los que se da cumplimiento a lo dispuesto en el artículo 27 de la ley N° 19.628.
x. Los plazos o condiciones previstos para la supresión de las diferentes categorías de datos.
xi. La existencia de decisiones automatizadas, incluida la elaboración de perfiles. Si el responsable realizare estas operaciones, deberá incluir información significativa sobre la lógica aplicada, así como las consecuencias previstas de dicho tratamiento para el titular.
Esta caracterización podrá realizarse a través de un registro de actividades de tratamiento.
e) La identificación de las actividades de tratamiento de datos o procesos de la entidad, sean habituales o esporádicos, en cuyo contexto se genere o incremente el riesgo de comisión de las infracciones señaladas en los artículos 34 bis, 34 ter y 34 quáter de la ley N° 19.628. A partir de las actividades o procesos de tratamiento identificadas, el responsable deberá determinar aquellas que presentan un mayor riesgo de incurrir en infracciones, incorporándolas en la respectiva matriz de riesgos. Dicha matriz deberá desarrollarse considerando la graduación de las sanciones previstas en la ley.
f) Protocolos, reglas y procedimientos específicos que permitan a las personas que intervengan en las actividades de tratamiento o procesos de la entidad, programar y ejecutar sus tareas o labores de una manera que prevenga la comisión de las referidas infracciones.
Dichos protocolos, reglas y procedimientos específicos deberán establecerse teniendo especialmente en cuenta las operaciones de tratamiento que el responsable realice, la cantidad y el tipo de datos personales que trate y los riesgos asociados a sus operaciones de tratamiento, y el tamaño y capacidad económica de la entidad.
g) Los mecanismos de reporte interno sobre el cumplimiento o la comisión de infracciones a las normas aplicables a la protección de datos personales. Dichos mecanismos deberán prever vías expeditas y de acceso permanente para los miembros de la organización del responsable. Los mecanismos de reporte interno podrán integrarse a canales existentes en la organización respecto de la denuncia a infracciones relativas a otras materias, siempre que éstos cumplan con lo establecido en la ley N° 19.628 y en este reglamento.
Asimismo, el programa deberá contemplar los mecanismos de reporte a la autoridad de protección de datos o a los titulares de datos, en su caso, para dar cumplimiento al deber establecido en el artículo 14 sexies de la ley N° 19.628, de cualquier otra infracción que deba ser comunicada a la Agencia, y los mecanismos que contemple el responsable para realizar la autodenuncia a la que se refiere el artículo 36 N° 4 de la misma ley. La Agencia podrá, mediante Instrucción General, establecer el mecanismo mediante el que los responsables deban realizar estas comunicaciones, lo que debe entenderse, para los órganos públicos, sin perjuicio de lo dispuesto en el artículo 47 del decreto supremo N° 181, de 9 de julio de 2002, del entonces Ministerio de Economía, Fomento y Reconstrucción, que aprueba reglamento de la Ley N° 19.799 sobre documentos electrónicos, firma electrónica y la certificación de dicha firma.
h) Las sanciones administrativas internas y los procedimientos sancionatorios aplicables por la vulneración a lo dispuesto en las normas aplicables al tratamiento de datos personales o a lo dispuesto en el programa de cumplimiento.
En el caso de los organismos públicos, el programa deberá indicar las sanciones que la ley declara aplicables a los funcionarios o dependientes de dicho organismo.
i) Los mecanismos de denuncia interna de la comisión de infracciones a las reglas aplicables al tratamiento de datos personales, ante el delegado. Dichos mecanismos deberán asegurar la posibilidad de que el denunciante solicite y se asegure la reserva de su identidad. El denunciante no podrá ser objeto de ninguna medida desfavorable en su contra a causa de su denuncia.
j) Cualquier otra disposición necesaria o útil para el cumplimiento de las normas aplicables a la protección de los datos personales que trate el responsable, en consideración a las operaciones de tratamiento de datos que realiza.
Artículo 4.- Regulación interna. La regulación interna a que dé lugar la implementación del programa, en su caso, deberá ser incorporada expresamente como una obligación en los contratos de trabajo o de prestación de servicios de todos los trabajadores, empleados y prestadores de servicios de las entidades que actúen como responsables de datos o los terceros que efectúen el tratamiento, incluidos los máximos cargos ejecutivos de ellas. En los casos que corresponda, dicha regulación interna deberá ser incorporada como una obligación en el reglamento interno del que tratan los artículos 153 y siguientes del Código del Trabajo. En este último caso, el responsable deberá dar cumplimiento a las medidas de publicidad establecidas en el artículo 156 del mismo Código.
Artículo 5.- Difusión del programa de cumplimiento. El responsable deberá difundir la existencia del programa de cumplimiento entre los trabajadores, empleados y prestadores de servicios de la entidad. La misma obligación se aplicará respecto de las modificaciones o actualizaciones del programa.
El responsable solo podrá publicitar e informar que su programa de cumplimiento está certificado mediante la referencia directa, pura y simple al Registro Nacional de Sanciones y Cumplimiento que administrará la Agencia de Protección de Datos Personales.
Párrafo II
El Delegado de Protección de Datos
Artículo 6.- El delegado de protección de datos. El responsable de datos podrá designar un delegado de protección de datos personales, designación que será obligatoria en el marco de la adopción y certificación de un programa de cumplimiento. En este caso, el delegado deberá ejercer las atribuciones que establece el artículo 50 de la ley y el presente reglamento, respecto de todas las operaciones de tratamiento de datos que realice el responsable que lo designe, de conformidad con lo señalado en los artículos siguientes.
Artículo 7.- Calidad del delegado. El delegado de protección de datos podrá tener la calidad de dependiente del responsable del tratamiento, o desempeñar sus funciones en el marco de un contrato de prestación de servicios con una persona natural o jurídica. En el caso en que sea una persona jurídica la que preste el servicio, el contrato deberá individualizar a la persona natural que actuará como delegado. Una misma persona natural podrá actuar como delegado de protección de datos de más de un responsable, siempre que cumpla con los requisitos que establece la ley N° 19.628 y este reglamento.
Los órganos públicos que establezcan un encargado de prevención o delegado de protección de datos personales deberán designar para ello a un funcionario de la dotación vigente del respectivo organismo.
Artículo 8.- Designación del delegado. El delegado de protección de datos deberá ser designado por la máxima autoridad directiva o administrativa del responsable de datos. Se considerará como la máxima autoridad directiva o administrativa al directorio, un socio administrador o a la máxima autoridad de la entidad pública o privada, según corresponda.
El delegado de protección de datos deberá contar con autonomía respecto de la administración, en las materias relacionadas con esta ley. El delegado rendirá cuenta directamente ante la autoridad que lo designó según lo dispuesto en el inciso primero.
En las micro, pequeñas y medianas empresas, el dueño o sus máximas autoridades podrán asumir personalmente las tareas de delegado de protección de datos.
Las sociedades o entidades que pertenezcan a un mismo grupo empresarial, empresas relacionadas o sujetas a un mismo controlador en los términos previstos en la Ley de Mercado de Valores, podrán designar un único delegado de protección de datos, siempre que todas ellas operen bajo los mismos estándares y políticas en materia de tratamiento de datos personales, y el delegado sea accesible para todas las entidades y establecimientos en condiciones similares.
Artículo 9.- Medios para el cumplimiento de su función. El responsable del tratamiento de datos deberá disponer los medios y facultades suficientes para el desempeño de las funciones del delegado, lo que incluye la provisión de los recursos materiales necesarios para realizar adecuadamente sus labores en consideración al tamaño y capacidad económica de la entidad, las operaciones de tratamiento que el responsable realice, la cantidad y el tipo de datos personales que trate, los riesgos asociados a sus operaciones de tratamiento y las funciones que le corresponda desempeñar de conformidad con lo dispuesto en la ley N° 19.628 y en este reglamento.
El delegado de protección de datos podrá desempeñar otras funciones y cometidos, procurando mantener la independencia en su función, con las que le corresponden en su calidad de delegado, ya sea debido a la materia a la que se refieren, por estar directamente vinculadas a actividades de tratamiento de datos, a la posible supervisión que deba realizar sobre esas actividades o al tiempo que le permiten destinar a sus funciones de delegado.
Asimismo, el responsable garantizará que dichas funciones y cometidos no den lugar a conflicto de intereses con aquellas que deba realizar en su labor de delegado y que no afecten la independencia en su función, sea que el delegado tenga la calidad de dependiente del responsable del tratamiento, o desempeñe sus funciones en el marco de un contrato de prestación de servicios. El delegado no podrá realizar actividades que estén sujetas a su supervisión o sobre las cuales deba pronunciarse o asesorar en su función de delegado, sin perjuicio de lo dispuesto en el inciso tercero del artículo 50 de la ley N° 19.628 respecto de las micro, pequeñas y medianas empresas.
Artículo 10.- Requisitos del delegado de protección de datos. El delegado de protección de datos deberá ser designado considerando sus conocimientos especializados en la regulación aplicable a la protección de datos personales, su experiencia en la materia, y sus habilidades profesionales para desempeñar las labores que la ley y el presente reglamento contemplan.
El delegado deberá contar siempre con conocimientos actualizados respecto de las normas aplicables, las decisiones y normas dictadas por la Agencia, y la jurisprudencia relevante en la materia.
El responsable que lo designe deberá ser capaz de demostrar la idoneidad del delegado para el ejercicio de sus funciones y el cumplimiento de los requisitos que la ley N° 19.628 y este reglamento establecen, en el marco del procedimiento de certificación del modelo de prevención de infracciones.
Artículo 11.- Comunicación con el delegado. El responsable deberá publicar, en su sitio web o en cualquier otro medio de información equivalente, los datos de contacto del delegado con el fin de permitir que los titulares de datos puedan ponerse en contacto con aquel en lo relativo al tratamiento que el responsable realice de sus datos personales y al ejercicio de los derechos de los titulares que establece la ley N° 19.628. Lo anterior deberá realizarse, para los órganos públicos, sin perjuicio de lo dispuesto en el artículo 47 del decreto supremo N° 181, de 9 de julio de 2002, del entonces Ministerio de Economía, Fomento y Reconstrucción, que aprueba reglamento de la ley N° 19.799 sobre documentos electrónicos, firma electrónica y la certificación de dicha firma.
Los datos de contacto deberán permitir una comunicación expedita y directa entre los titulares y el delegado.
Además, el responsable deberá siempre informar a la Agencia, sus dependientes, otros miembros de su organización, y a los terceros encargados del tratamiento, cuando corresponda, el nombre y los datos de contacto del delegado.
Artículo 12.- Deber de secreto, reserva o confidencialidad. El delegado de protección de datos estará obligado a mantener estricto secreto, reserva o confidencialidad de los datos personales que conociere en ejercicio de su cargo, así como de cualquier otra información que estuviere sujeta a secreto, reserva o confidencialidad, y de la que hubiere tomado conocimiento en ejercicio de sus labores o con ocasión de ellas.
Artículo 13.- Funciones del delegado. Al delegado le corresponderán, a lo menos, las siguientes funciones:
a) Informar y asesorar al responsable de datos, a los terceros encargados o mandatarios y a los dependientes del responsable, respecto de las disposiciones legales y reglamentarias relativas al derecho a la protección de los datos personales y a la regulación de su tratamiento. Asimismo, deberá informar y asesorar respecto de las instrucciones y normas generales y obligatorias, y de las decisiones emitidas por la Agencia en ejercicio de las atribuciones que la ley le otorga, especialmente, de las establecidas en los literales a) y b) del artículo 30 bis de la ley N° 19.628, y respecto de cualquier otra norma o acto aplicable al tratamiento de datos que realice el responsable.
b) Asesorar en la revisión y modificación del programa, y en la elaboración del nuevo programa de cumplimiento que adopte el responsable, en su caso. El responsable deberá asegurar que el delegado participe de manera oportuna en todas las etapas de elaboración, revisión o modificación. Asimismo, el responsable deberá proveer al delegado la información que este necesite respecto de las operaciones de tratamiento que realice el responsable.
c) El delegado deberá participar y promover la difusión, conocimiento, comprensión y cumplimiento de la política de protección de datos que dicte el responsable y del programa de cumplimiento al interior de la organización, y deberá supervisar que la información se encuentre permanentemente disponible para los miembros de dicha organización, para los terceros mandatarios, y para los titulares de datos, según corresponda.
d) Supervisar el cumplimiento de la ley N° 19.628 y de cualquier otra norma aplicable al tratamiento de datos personales que realice el responsable, incluyendo el cumplimiento de las instrucciones y normas generales y obligatorias, y las interpretaciones administrativas que la Agencia realice en el ejercicio de sus funciones, así como cualquier otra autoridad con competencia en la regulación o supervisión del tratamiento de datos que realiza el responsable, dentro del ámbito de sus competencias.
e) En ejercicio de estas funciones, el delegado deberá comunicar directamente, a la autoridad ante la que rinde cuenta, cualquier infracción a las normas aplicables al tratamiento de datos de la que tome conocimiento, de modo que aquella adopte las medidas organizativas, funcionales o disciplinarias que sean necesarias para impedir, prevenir y sancionar, si corresponde, dicha infracción.
f) Preocuparse de la formación y capacitación permanente en materia de protección de datos personales de todas las personas que, en la organización, participan en las operaciones de tratamiento de datos. Para el cumplimiento de esta función, el delegado podrá recomendar la periodicidad con que deban realizarse tales acciones, y las materias específicas que deben comprender.
g) Asesorar al responsable en la identificación de los riesgos asociados a las actividades de tratamiento que realice y en la identificación de las medidas que deba adoptar para resguardar los derechos de los titulares de datos personales, especialmente, en el marco del cumplimiento de lo dispuesto en los literales d) y e) del artículo 3° del presente reglamento.
h) Asesorar al responsable en el cumplimiento del deber de realizar la evaluación de impacto en protección de datos personales que establece el artículo 15 ter de la ley N° 19.628.
i) Desarrollar un plan anual de trabajo para el cumplimiento de sus funciones y rendir cuenta de sus resultados, a lo menos, anualmente, ante la autoridad que lo designó. Asimismo, el delegado deberá difundir tanto el plan anual como sus resultados al interior de la organización.
j) Absolver directamente las consultas y solicitudes de los titulares de datos dentro del marco de atribuciones que la ley le otorga.
Para el ejercicio de esta función, el delegado deberá supervisar que su información y medio de contacto se encuentren permanentemente actualizados y disponibles al público. Asimismo, el delegado deberá procurar dar respuesta oportuna a las consultas y solicitudes que realicen los titulares.
k) Cooperar y actuar como punto de contacto con la Agencia de Protección de Datos Personales. El delegado deberá, especialmente, colaborar con el responsable ante el ejercicio de la atribución que el literal c) del artículo 30 bis de la ley N° 19.628 entrega a la Agencia, disponiendo de manera íntegra y oportuna la información que la Agencia le requiera.
El responsable deberá individualizar al delegado ante la Agencia señalando, a lo menos, su nombre completo y un medio de contacto directo y expedito. Será deber del responsable comunicar a la Agencia cualquier cambio respecto de la designación del delegado o de su medio de contacto.
Párrafo III
De la aprobación, certificación, registro, implementación y supervisión de los programas de cumplimiento
Artículo 14.- Atribuciones de la Agencia de Protección de Datos. En cumplimiento de las atribuciones que le otorga la ley N° 19.628, la Agencia podrá certificar, registrar y supervisar los modelos de prevención de infracciones, así como revocar la certificación y aplicar las sanciones que la ley contempla.
La Agencia certificará los modelos de prevención de infracciones que cumplan con los requisitos establecidos en la ley y en el presente reglamento.
Artículo 15.- Certificación. La Agencia certificará que el modelo de prevención de infracciones reúna los requisitos y elementos establecidos en la ley y en el presente reglamento.
El procedimiento de certificación se iniciará a solicitud del interesado, y a su tramitación se aplicarán las reglas de la ley N° 19.880 y las demás normas que al efecto dicte la Agencia mediante instrucción general. Para el estudio de la solicitud y de los antecedentes en que el responsable funde su petición, la Agencia podrá contratar servicios de terceros, de conformidad con las reglas generales establecidas en la ley N° 19.886.
En su acto terminal, la Agencia resolverá sobre la solicitud de certificación y, en caso de concederla, dispondrá que el modelo sea incorporado al registro al que se refiere el inciso siguiente.
Los certificados expedidos por la Agencia tendrán una vigencia de tres años, y podrán renovarse, a petición del interesado, de conformidad con el procedimiento indicado en el inciso segundo del presente artículo.
Artículo 16.- Causales de término de vigencia de las certificaciones. Las certificaciones quedarán sin efecto en los siguientes casos:
a) Por revocación dispuesta por la Agencia.
b) Por fallecimiento del responsable de datos, en el caso de tratarse de una persona natural.
c) Por disolución de la persona jurídica.
d) Por resolución judicial ejecutoriada.
e) Por cese voluntario de la actividad del responsable de datos, que haya sido objeto del modelo certificado. El responsable deberá dar aviso a la Agencia del cese de su actividad dentro de los treinta días siguientes a que aquel se produzca.
El término de vigencia de un certificado por alguna de las causales señaladas precedentemente será inoponible a terceros mientras no sea eliminado del registro. La Agencia deberá ordenar dicha eliminación junto con la resolución que revoque la certificación, o dentro del plazo de cinco días hábiles desde que tome conocimiento o disponga de la concurrencia de cualquiera de las causales a las que se refiere este artículo.
Al presentar una nueva solicitud de certificación, el responsable respecto del que se ha dictado la revocación a la que se refiere el literal a) del inciso primero, deberá acreditar fehacientemente que ha subsanado las infracciones que dieron lugar a dicha revocación.
Artículo 17.- Registro. La Agencia incorporará en el Registro Nacional de Sanciones y Cumplimiento a las entidades que posean una certificación vigente, individualizando al responsable que adoptó el modelo y a su representante legal, cuando corresponda. En el caso de los servicios centralizados, el representante corresponderá al jefe de servicio. Asimismo, indicará la fecha en que se incorporó la certificación al registro y su plazo de vencimiento.
El registro permitirá el acceso público a los certificados emitidos por la Agencia.
A petición del responsable o su representante legal, la Agencia deberá emitir una constancia de la certificación del modelo y de su registro, con indicación de los datos que señala el inciso primero.
Artículo 18.- Implementación. La implementación del modelo de cumplimiento de infracciones se realizará por cada responsable y podrá iniciarse con anterioridad a la fecha en que la Agencia incorpore a la entidad en el Registro Nacional de Sanciones y Cumplimiento, con plena sujeción a lo dispuesto en la ley N° 19.628, el presente reglamento y demás normas administrativas aplicables.
Artículo 19.- Supervisión. La Agencia podrá supervisar el cumplimiento de los modelos de prevención que haya certificado y de las reglas legales y reglamentarias que le son aplicables.
Sin perjuicio de las demás funciones que la ley le otorga, la Agencia podrá requerir toda aquella información que fuere necesaria para el ejercicio de la función de supervisión. El delegado deberá poner dicha información a disposición de la Agencia de manera íntegra y oportuna, dentro del ámbito de sus funciones. Los responsables podrán exceptuarse de entregar la información solicitada cuando esté amparada por una obligación de secreto o confidencialidad, debiendo señalar qué norma establece tal obligación, y acreditando la concurrencia de la causal.
El incumplimiento en la entrega de la información requerida, así como la entrega de información falsa, incompleta o manifiestamente errónea, será sancionado en conformidad con lo dispuesto en la ley N° 19.628.
Artículo 20.- Revocación de la certificación. La Agencia podrá revocar la certificación del modelo de cumplimiento, de manera fundada, si el responsable infringe o deja de dar cumplimiento a cualquiera de los requisitos establecidos en la ley o en este reglamento para certificar el modelo. También podrá revocar la certificación si el responsable, con infracción a lo dispuesto en el artículo 48 de la ley, es sancionado por la comisión de alguna de las infracciones establecidas en los artículos 34 bis, 34 ter o 34 quáter de la ley N° 19.628.
La Agencia podrá iniciar un procedimiento de revocación de oficio o a petición de interesado, de conformidad con la ley N° 19.880 y las demás normas que al efecto dicte la Agencia.
El responsable, cuya certificación haya sido revocada por la Agencia, podrá volver a solicitarla, dando cumplimiento a todos los requisitos que la ley y este reglamento establecen, y acreditando fehacientemente, además, que la causal que dio origen a la revocación ha sido subsanada. Para esto, deberá aportar todos los antecedentes ante la Agencia que acrediten cuáles son las medidas organizativas y de funcionamiento que ha adoptado para prevenir la comisión de la misma infracción en el futuro.
En la resolución que se pronuncie sobre la nueva solicitud de certificación la Agencia deberá referirse especialmente a estas medidas.
Anótese, tómese razón y publíquese.- GABRIEL BORIC FONT, Presidente de la República.- Mario Marcel Cullell, Ministro de Hacienda.- Macarena Lobos Palacios, Ministra Secretaria General de la Presidencia.- Nicolás Grau Veloso, Ministro de Economía, Fomento y Turismo.
Lo que transcribo a usted para su conocimiento.- Saluda Atte. a usted, Sebastián Vallebona Espinosa, Subsecretario de Hacienda.