# Terceros, cesiones, transferencias, sanciones y prevención

## Cesión de datos — artículo 15

No confundas `cesión` con `encargo`.

En una cesión, otro responsable recibe datos para tratarlos como responsable dentro de las finalidades y bases permitidas. Revisa:

- base que permite la cesión: consentimiento cuando corresponda, contrato, interés legítimo bajo sus condiciones o ley;
- si el consentimiento original contemplaba la cesión;
- constancia escrita o medio electrónico idóneo;
- identificación de las partes;
- datos cedidos;
- finalidades previstas;
- obligaciones posteriores de cada responsable.

Una vez perfeccionada la cesión, el cesionario adquiere calidad de responsable respecto de su tratamiento; el cedente conserva su responsabilidad por los tratamientos que continúe realizando.

## Tercero mandatario o encargado — artículo 15 bis

El encargado trata por cuenta del responsable y conforme al encargo e instrucciones. No puede usar los datos para un objeto distinto ni cederlos/entregarlos fuera de la autorización expresa y específica necesaria para el encargo.

### Contrato mínimo a verificar

El contrato debe establecer, al menos:

- objeto del encargo;
- duración;
- finalidad del tratamiento;
- tipo de datos personales;
- categorías de titulares;
- derechos y obligaciones de las partes.

Además, audita operativamente:

- instrucciones documentadas;
- confidencialidad;
- medidas de seguridad;
- acceso de personal/subcontratistas;
- ubicación del tratamiento;
- soporte a derechos del titular;
- notificación de incidentes al responsable;
- devolución o supresión al término;
- evidencia de cumplimiento.

### Subencargados

El encargado no puede delegar parte o todo el encargo sin autorización **específica y por escrito** del responsable. Si delega válidamente, continúa siendo solidariamente responsable sobre ese encargo en los términos legales.

Si un encargado trata para un objeto distinto del convenido o cede/entrega sin autorización en los términos legales, puede pasar a ser considerado responsable para esos efectos y asumir las responsabilidades correspondientes.

**Guardrail contractual:** la ley prevé que la Agencia disponga modelos tipo. Antes de declarar que un contrato “cumple el modelo oficial”, verifica que ese modelo exista y esté vigente.

## Transferencias internacionales — artículos 27 y 28

No bloquees toda transferencia internacional ni la autorices sólo porque el proveedor es conocido. Identifica mecanismo y evidencia.

La ley contempla, entre otros caminos:

1. receptor sujeto a un país con nivel adecuado de protección determinado conforme al art. 28;
2. cláusulas contractuales, normas corporativas vinculantes u otros instrumentos jurídicos con garantías adecuadas;
3. modelos de cumplimiento o certificación con garantías adecuadas;
4. en ausencia de adecuación/garantías, supuestos específicos y no habituales previstos por la ley, como consentimiento expreso para una transferencia específica y determinada, contrato en ciertos casos u otras hipótesis legales.

### Matriz mínima de transferencia

| Flujo | País/organización | Exportador | Receptor/rol | Datos | Finalidad | Mecanismo art. 27 | Garantías | Evidencia | Riesgo |
|---|---|---|---|---|---|---|---|---|---|

La Agencia determina países adecuados y puede definir instrumentos/listas. Si no has verificado la versión vigente, no inventes una whitelist.

## Infracciones y sanciones — artículos 34 bis, 34 ter, 34 quáter y 35

La clasificación es **leve / grave / gravísima**. No asignes una categoría por intuición: mapea el hecho a la conducta tipificada.

Topes generales del artículo 35:

- leve: amonestación escrita o multa de hasta **5.000 UTM**;
- grave: multa de hasta **10.000 UTM**;
- gravísima: multa de hasta **20.000 UTM**.

La Agencia determina la sanción dentro del procedimiento y considerando criterios legales. Por eso una auditoría debe informar `exposición potencial`, no afirmar una multa exacta.

### Reincidencia

La ley contempla agravamiento por reincidencia. En los supuestos legales, la Agencia puede aplicar hasta tres veces el monto asignado a la infracción. Para empresas que no califican como de menor tamaño y que reinciden en infracciones graves o gravísimas, la multa puede alcanzar el monto más gravoso entre la regla aplicable y hasta **2%** o **4%** de los ingresos anuales por ventas, servicios y otras actividades del giro del último año calendario, respectivamente.

La definición legal de reincidencia exige revisar sanciones firmes/ejecutoriadas previas y el periodo establecido por la ley; no la deduzcas de un simple historial de incidentes.

### Atenuantes y agravantes — artículo 36

Al evaluar exposición, registra hechos verificables como:

- reparación y acuerdos reparatorios;
- colaboración con la investigación;
- ausencia de sanciones previas;
- autodenuncia y medidas de cese/mitigación;
- diligencia de dirección y supervisión acreditable;
- reincidencia;
- carácter continuado;
- riesgo generado para derechos y libertades.

No diseñes controles sólo para reducir multas: prioriza evitar el daño y demostrar responsabilidad.

## Responsabilidad civil — artículo 47

El responsable puede responder por daño patrimonial y extrapatrimonial cuando infringe principios, derechos u obligaciones y causa perjuicio. En análisis de incidentes graves, separa:

- exposición administrativa;
- obligación de remediación;
- potencial responsabilidad civil;
- posibles responsabilidades sectoriales o penales fuera de esta skill.

## Prevención de infracciones — artículos 48 a 52

Todos los responsables deben adoptar acciones destinadas a prevenir infracciones. Distinto de eso, el artículo 49 permite **voluntariamente** adoptar un modelo de prevención de infracciones consistente en un programa de cumplimiento.

### Modelo voluntario — contenido base

El programa incluye, entre otros elementos legales:

- designación de delegado de protección de datos personales;
- medios y facultades del delegado;
- identificación de información, ámbito territorial, categorías/tipos de datos o bases y titulares;
- identificación de actividades/procesos que generan o aumentan riesgo de infracción;
- protocolos, reglas y procedimientos de prevención y cumplimiento;
- mecanismos de denuncia, respuesta y actualización según corresponda al texto/reglamento aplicable.

**DPO / delegado:** no conviertas este componente del modelo voluntario en una obligación universal para todo responsable. Primero determina si se adoptó el modelo o si otra norma aplicable exige una función equivalente.

El delegado debe contar con autonomía para materias de la ley; la normativa contempla reglas de idoneidad, ausencia de conflictos, recursos, confidencialidad y funciones de asesoría/supervisión. Para micro, pequeñas y medianas empresas, la ley permite que el dueño o máximas autoridades asuman personalmente estas tareas bajo las condiciones legales.

### Certificación

La Agencia certifica y supervisa los modelos conforme a la ley y su reglamento; el certificado tiene efectos dentro del régimen legal, incluyendo su consideración en la diligencia de dirección/supervisión. No prometas certificación antes de revisar requisitos, reglamento y procedimientos vigentes.

## Patrón de compliance engineering recomendado

Inspirado en prácticas GRC, pero **no creado por la ley**, organiza cada dominio como:

`POLÍTICA → IMPLEMENTACIÓN → CONTROL TÉCNICO → EVIDENCIA → PRUEBA → HALLAZGO → REMEDIACIÓN`

Para cada control usa:

| Control | Fuente legal | Tipo | Owner | Frecuencia | Evidencia | Prueba | Resultado | Riesgo residual |
|---|---|---|---|---|---|---|---|---|

Una política sin evidencia no es “verde”. Un control técnico sin finalidad/base de licitud tampoco demuestra cumplimiento jurídico.