Confirmado: el Gobierno ingresa al Senado el proyecto que posterga en un año la entrada en vigencia de la Ley N° 21.719
El debate que veníamos anticipando en nuestra nota anterior ya tiene desenlace: el 1 de septiembre de 2026 el Ejecutivo ingresó al Senado, con suma urgencia, un proyecto de ley que mueve la entrada en vigencia de la Ley N° 21.719 sobre Protección de Datos Personales desde el 1 de diciembre de 2026 hacia el 1 de diciembre de 2027. Un año adicional que cambia el calendario de cumplimiento de todas las organizaciones que tratan datos personales en Chile.
1. La justificación del Gobierno
Según el mensaje presidencial, la postergación busca asegurar que existan "las condiciones institucionales, regulatorias y operativas necesarias" para que la ley opere correctamente desde su primer día de aplicación. En la misma línea, el biministro de Economía y Minería, Daniel Mas, fue enfático en señalar que el objetivo no es debilitar la protección de los datos personales, sino evitar que una normativa exigente entre en régimen sin la institucionalidad que la sostiene.
El plazo adicional apunta, en concreto, a que servicios públicos, municipios y empresas privadas puedan ajustar sus sistemas, procesos internos y estructuras de gobernanza a las nuevas exigencias, en lugar de enfrentarlas de manera improvisada.
2. Una Agencia con más integrantes y un proceso de nombramiento anticipado
El proyecto no se limita a mover la fecha: también introduce ajustes a la arquitectura institucional de la futura Agencia de Protección de Datos Personales (APDP), el organismo llamado a fiscalizar y sancionar el cumplimiento de la ley.
- Consejo directivo más amplio: pasa de tres a cinco integrantes, con un quórum mínimo de tres consejeros para sesionar.
- Designación anticipada: el primer consejo deberá quedar conformado, a más tardar, doce meses antes de que la ley entre en vigencia — es decir, con tiempo suficiente para dictar normativa técnica y criterios de interpretación antes de que empiece la fiscalización.
- Régimen transitorio de sanciones: durante el primer año de vigencia, la posibilidad de sustituir la multa por una simple amonestación escrita —hoy reservada a empresas de menor tamaño— se extendería a organizaciones de todos los tamaños.
3. Lo que no cambia: el tamaño de las multas
Conviene ser precisos en un punto que suele generar confusión: la prórroga no reduce el riesgo sancionatorio de la ley, solo lo aplaza. El régimen de multas de la Ley N° 21.719 sigue contemplando montos que van de las 5.000 UTM a las 20.000 UTM —aproximadamente entre 358 y 1.400 millones de pesos—, pudiendo triplicarse o llegar hasta el 4% de los ingresos anuales por ventas y servicios en casos de infracciones gravísimas o reincidencia.
4. Cómo lo está leyendo el sector privado
Los gremios más expuestos a tratamiento intensivo de datos han recibido la noticia con cautela favorable. Desde la banca, Luis Opazo, gerente general de la Asociación de Bancos e Instituciones Financieras (Abif), destacó la relevancia de contar con reglas claras y con las condiciones necesarias para que el nuevo marco funcione bien desde el inicio. Por su parte, Marcelo Mosso, director ejecutivo de la Asociación de Aseguradores de Chile, planteó que este tiempo adicional es también una oportunidad para revisar cómo la nueva ley trata el uso de datos con fines estadísticos y de tarificación de riesgo, un tratamiento que la normativa vigente reconoce expresamente pero que el nuevo texto no recoge de la misma forma.
Qué debería hacer tu empresa en este nuevo escenario
Desde nuestra experiencia asesorando a empresas en procesos de adecuación, el año adicional es una oportunidad valiosa solo si se usa de forma activa. Recomendamos priorizar:
- Mantener el cronograma de adecuación interno, sin relajar plazos internos solo porque se movió la fecha legal — la ley entrará en vigencia igual, y con una Agencia más consolidada y con más capacidad fiscalizadora.
- Revisar bases de licitud y flujos de datos, aprovechando el tiempo extra para hacer un inventario riguroso de qué datos se tratan, con qué fin y bajo qué fundamento legal.
- Auditar contratos con proveedores que procesan datos por cuenta de la empresa (nube, CRM, remuneraciones, marketing), incorporando las cláusulas de encargo de tratamiento que exige la nueva ley.
- Diseñar protocolos ARCOP y de gestión de incidentes antes de que exista presión regulatoria por hacerlo, de modo que la organización llegue a diciembre de 2027 operando el sistema, no recién construyéndolo.
Conclusión
El proyecto de ley todavía debe tramitarse en el Congreso, por lo que la fecha del 1 de diciembre de 2027 no está cerrada en definitiva. Pero el mensaje de fondo es claro: la ley va, la institucionalidad se está fortaleciendo antes de entrar en régimen, y las empresas que usen bien este tiempo adicional llegarán en una posición mucho más sólida que quienes lo traten como una simple pausa.
¿Necesitas adecuar tu empresa a la Ley de Protección de Datos?
Cuéntanos tu situación y te orientamos sobre los pasos a seguir, sin compromiso.