智利公布数据侵害预防模型条例：合规计划、DPO指定与三年期认证成为减轻处罚要件，配套新法12月1日生效

条例规定合规计划的最低要素：确认控制者及其法定代表人；指定数据保护官并明确其资源与权限；记录处理的个人数据类别与处理操作；建立识别可能引发违规活动的风险矩阵；建立预防、报告、投诉与惩戒的内部政策与程序。采用合规计划时，数据保护官的指定为强制要求，可由控制者员工担任或由外部提供服务，且须独立于管理层履职。

认证由数据保护局负责，须由利害关系人申请启动，证书有效期三年并可续期；取得认证后，模型将录入国家制裁与合规登记簿并对外公开。认证可因数据保护局撤销、控制者死亡、法人解散、生效判决或自愿停止活动而失效；若控制者未满足法定或条例要求，或因第19.628号法律第34条之二、之三、之四所列违规受罚，数据保护局可依职权或依请求启动撤销程序。

条例还要求把合规计划项下义务写入劳动与服务合同，包括适用于高管的合同，控制者并须告知员工与服务提供方合规计划的存在。第21.719号法律下的相关修订原定2026年12月1日生效，但智利政府已于2026年9月1日向参议院提交法案，提议推迟至2027年12月1日；另有报道称执法首年的过渡规则可能把"警告代替罚款"的选项扩展至所有受该法约束的主体，而非仅限中小企业。