La Ley 21.719 tiene actualmente prevista su entrada en vigencia para el 1 de diciembre de 2026. Sin embargo, el Gobierno evalúa modificar este calendario debido a dificultades asociadas a la implementación de la nueva institucionalidad de protección de datos. ¿Qué significa este escenario para las empresas y qué aspectos deberían comenzar a revisar?
La implementación de la nueva Ley de Protección de Datos Personales en Chile ha entrado en una nueva etapa de discusión. A pocas semanas de que comience el último trimestre previo a su entrada en vigencia, el Gobierno confirmó que está evaluando una eventual postergación de la Ley 21.719.
La normativa, publicada en diciembre de 2024, establece un nuevo marco para el tratamiento y protección de los datos personales en Chile y crea la Agencia de Protección de Datos Personales, organismo que tendrá funciones de fiscalización y sanción.
Por ahora, la fecha de entrada en vigencia no ha sido modificada y continúa fijada para el 1 de diciembre de 2026.
¿Por qué se está evaluando postergar la Ley 21.719?
El Gobierno confirmó a comienzos de agosto que está analizando la posibilidad de aplazar la entrada en vigencia de la nueva Ley de Protección de Datos Personales.
Uno de los principales factores detrás de esta discusión es la implementación de la Agencia de Protección de Datos Personales, particularmente la conformación de su Consejo Directivo.
La Ley 21.719 establece que la Agencia será la autoridad encargada de velar por la protección de los derechos relacionados con los datos personales y de fiscalizar el cumplimiento de la normativa. Su dirección superior estará a cargo de un Consejo Directivo integrado por tres consejeros, cuya designación requiere la intervención del Presidente de la República y del Senado.
En agosto, el ministro de Economía, Daniel Mas, señaló que el Ejecutivo se encontraba trabajando con la Secretaría General de la Presidencia para definir si se aplazaba o no la aplicación de la normativa, mencionando entre las dificultades pendientes la conformación del Consejo.
Importante: la ley todavía no ha sido postergada
La discusión sobre una eventual postergación no significa que exista una nueva fecha de entrada en vigencia.
Actualmente, la versión vigente de la Ley 21.719 mantiene el 1 de diciembre de 2026 como fecha de entrada en vigencia. Por lo tanto, mientras no exista una modificación legal, ese continúa siendo el plazo que deben considerar las organizaciones.
¿Qué cambia con la Ley 21.719?
La nueva normativa representa una transformación relevante del régimen chileno de protección de datos personales.
La Ley 21.719 modifica sustancialmente la actual Ley 19.628 y establece nuevas reglas para el tratamiento de datos personales, nuevos derechos para sus titulares, obligaciones para quienes realizan tratamientos de datos y un régimen de infracciones y sanciones.
También crea una nueva autoridad especializada: la Agencia de Protección de Datos Personales.
Para las empresas, esto significa que la protección de datos deberá abordarse de manera más amplia que mediante una simple política de privacidad.
Entre los aspectos que deberán ser revisados se encuentran:
- La identificación de los datos personales que trata la organización.
- Las finalidades para las cuales se utilizan.
- Las bases de licitud de cada tratamiento.
- Los procedimientos para responder a las solicitudes de los titulares.
- Los contratos con proveedores que realizan tratamiento de datos.
- Las políticas y procedimientos internos.
- Las medidas de seguridad y resguardo de la información.
- La gestión de incidentes de seguridad.
- Las transferencias internacionales de datos.
La propia Administración Pública ha desarrollado una guía de implementación que contempla etapas como el levantamiento de información, la elaboración de políticas de tratamiento y la definición de protocolos y procedimientos.
Una arista especialmente relevante: las transferencias internacionales de datos
La eventual postergación también pone de relieve un desafío que puede ser especialmente relevante para empresas que operan internacionalmente.
La Ley 21.719 incorpora nuevas reglas para las transferencias internacionales de datos personales. Entre los mecanismos contemplados se encuentran las transferencias hacia jurisdicciones que proporcionen niveles adecuados de protección, las normas corporativas vinculantes, determinados mecanismos de certificación y las cláusulas contractuales tipo.
Este punto adquiere especial importancia para empresas que trabajan con:
- Clientes o proveedores extranjeros.
- Casas matrices o empresas relacionadas en otros países.
- Plataformas tecnológicas internacionales.
- Servicios de almacenamiento en la nube.
- Proveedores de software que procesan información fuera de Chile.
- Operaciones de comercio internacional que implican intercambio de información personal.
De hecho, una resolución del Ministerio de Economía publicada en 2025 ya advertía sobre una dificultad de implementación: considerando que tanto la entrada en vigencia de la ley como el inicio de funciones del Consejo Directivo estaban previstos para el 1 de diciembre de 2026, la futura Agencia podría no haber tenido tiempo suficiente para regular algunos mecanismos relacionados con las transferencias internacionales de datos.
Este antecedente permite entender que la discusión actual no se limita a una cuestión de calendario. También existe un desafío de coordinación entre la entrada en vigencia de las nuevas obligaciones y la puesta en marcha de la institucionalidad encargada de aplicarlas.
¿Qué deberían hacer las empresas frente a una eventual postergación?
Una eventual modificación de la fecha puede entregar más tiempo para adecuarse, pero no elimina la necesidad de revisar cómo la organización gestiona los datos personales.
Por ello, las empresas pueden comenzar desde ya con un diagnóstico que permita identificar sus principales brechas.
1. Mapear los datos personales
Identificar qué datos personales recopila la organización, dónde se almacenan, quién tiene acceso a ellos y para qué finalidades se utilizan.
2. Revisar contratos y proveedores
Determinar qué terceros tienen acceso a datos personales y revisar las obligaciones contractuales asociadas a su tratamiento.
3. Identificar transferencias internacionales
Determinar si existen flujos de datos personales hacia otros países y qué proveedores, plataformas o empresas relacionadas participan en ellos.
4. Revisar políticas y procedimientos
Analizar las actuales políticas de privacidad, procedimientos internos y mecanismos para atender solicitudes de los titulares de datos.
5. Elaborar un plan de adecuación
Una vez identificadas las brechas, establecer prioridades, responsables y plazos para avanzar hacia el cumplimiento de la nueva normativa.
¿Qué pasa ahora con la Ley de Protección de Datos?
Por el momento, la Ley 21.719 sigue teniendo como fecha de entrada en vigencia el 1 de diciembre de 2026.
Lo que existe es una evaluación del Gobierno respecto de una eventual postergación, asociada principalmente a los desafíos de implementación de la nueva institucionalidad y la conformación del Consejo Directivo de la Agencia de Protección de Datos Personales.
Por ello, las empresas deberían distinguir entre dos conceptos:
Postergar la fecha de entrada en vigencia no significa eliminar las obligaciones ni el cambio de estándar que contempla la nueva legislación.
Mientras no exista una modificación legal, las organizaciones deberían considerar el calendario actualmente vigente y avanzar en la identificación de sus brechas.
En conclusión
La eventual postergación de la Ley 21.719 de Protección de Datos Personales abre una discusión relevante sobre la capacidad institucional necesaria para implementar el nuevo régimen.
Para las empresas, sin embargo, el escenario también puede ser una oportunidad para ordenar anticipadamente sus procesos de tratamiento de datos, revisar contratos y proveedores, identificar transferencias internacionales y detectar brechas antes de que el nuevo régimen entre en plena aplicación.
La pregunta, por tanto, no es solamente cuándo comenzará a regir la nueva Ley de Protección de Datos, sino también qué tan preparada está cada organización para cumplir con el nuevo estándar de protección y tratamiento de datos personales.
