Ley de Protección de Datos Personales: ¿se posterga su entrada en vigencia y qué significa para las empresas?
La entrada en vigencia de la nueva Ley de Protección de Datos Personales volvió a quedar en suspenso.
La Ley N.º 21.719, publicada en diciembre de 2024, establece un nuevo marco para el tratamiento de datos personales en Chile y contempla la creación de una Agencia de Protección de Datos Personales con facultades de regulación, fiscalización y sanción. Su entrada en vigencia está actualmente fijada para el 1 de diciembre de 2026. Sin embargo, el 1 de septiembre de 2026 el Gobierno ingresó al Senado un proyecto de ley —Boletín 18.623-07— que propone trasladar esa fecha al 1 de diciembre de 2027. La iniciativa se encuentra actualmente en tramitación y todavía no ha sido aprobada.
Esto genera una pregunta especialmente relevante para las organizaciones que ya están trabajando en su adecuación: ¿Hay que seguir preparándose para diciembre de 2026 o esperar a que se defina el nuevo plazo?
La respuesta, por ahora, es clara: la fecha vigente sigue siendo diciembre de 2026.
Un año adicional que todavía no está aprobado
El proyecto presentado por el Ejecutivo busca extender en un año la entrada en vigencia de la Ley 21.719. La propuesta responde, entre otros factores, a la necesidad de contar con las condiciones institucionales y regulatorias necesarias para implementar adecuadamente la normativa. Uno de los principales puntos pendientes es la puesta en marcha de la Agencia de Protección de Datos Personales y la definición de criterios, instrucciones y estándares que deberán orientar su aplicación.
Pero es importante distinguir entre una propuesta legislativa y una modificación efectiva de la ley. Mientras el Congreso no apruebe el proyecto y este no se convierta en ley, no existe una nueva fecha de entrada en vigencia. Por lo tanto, las organizaciones no deberían asumir que disponen automáticamente de un año adicional.
La discusión legislativa debería comenzar durante octubre. De hecho, parlamentarios de oposición ya han planteado que una postergación de doce meses sería excesiva y han abierto la posibilidad de reducirla a seis meses. Esto significa que el resultado final podría ser distinto de la propuesta original del Ejecutivo.
¿Qué cambiaría si se aprueba la postergación?
El cambio más visible sería la fecha de entrada en vigencia, la propuesta busca pasar del 1 de diciembre de 2026 al 1 de diciembre de 2027. Pero el proyecto también contempla modificaciones relacionadas con la institucionalidad encargada de aplicar la normativa. Entre ellas, plantea aumentar de tres a cinco los integrantes del Consejo Directivo de la Agencia de Protección de Datos Personales y establecer que su primer consejo sea designado con mayor anticipación respecto de la entrada en vigencia.
También propone ampliar a todos los responsables del tratamiento, y no solamente a las empresas de menor tamaño, la posibilidad de que durante el primer año de vigencia la Agencia opte por una amonestación escrita en lugar de una multa, dentro de las condiciones establecidas por la normativa. Esta posibilidad seguiría dependiendo de la decisión de la Agencia.
Pero hay algo fundamental que las empresas deben tener presente: El proyecto no elimina el nuevo estándar de protección de datos ni cambia la dirección general de las obligaciones que establece la Ley 21.719.
La discusión está principalmente relacionada con cuándo comenzarán a aplicarse plenamente estas exigencias y con las condiciones institucionales necesarias para implementarlas.
El verdadero desafío: llegar preparados
La eventual postergación puede interpretarse como una oportunidad, pero no debería convertirse en una razón para detener los procesos de adecuación. Una implementación de protección de datos no se resuelve modificando una política de privacidad una semana antes de la entrada en vigencia.
Las organizaciones necesitan conocer qué información recopilan, para qué la utilizan, dónde la almacenan, quién puede acceder a ella y con qué terceros la comparten. También deben revisar contratos, procedimientos internos, mecanismos de consentimiento, gestión de solicitudes de titulares, seguridad de la información y protocolos frente a incidentes.
En otras palabras, el cumplimiento requiere tiempo porque implica transformar procesos, responsabilidades y controles que muchas veces atraviesan distintas áreas de una organización.
Y gran parte de ese trabajo seguirá siendo útil independientemente de que la ley comience a regir en diciembre de 2026, en 2027 o después de una eventual modificación del calendario.
¿Qué deberían estar haciendo las empresas ahora?
La incertidumbre sobre la fecha no debería paralizar los proyectos de adecuación. Al contrario, puede ser una oportunidad para realizarlos con mayor profundidad.
1. Levantar un inventario de tratamientos
Antes de proteger los datos, hay que saber cuáles se tienen.
La organización debería identificar qué datos personales recopila, con qué finalidad, desde dónde los obtiene, dónde los almacena, quién los utiliza y con qué terceros los comparte.
Este levantamiento permite detectar tratamientos que pueden no estar suficientemente documentados o justificados.
2. Revisar proveedores y contratos
Los datos personales muchas veces salen de la infraestructura directa de la organización.
Servicios cloud, plataformas de recursos humanos, sistemas de marketing, proveedores tecnológicos, plataformas de atención al cliente y otros terceros pueden participar en su tratamiento.
Por eso, revisar contratos y responsabilidades con proveedores es una parte relevante del proceso de adecuación.
3. Preparar los mecanismos para responder a los titulares
La nueva normativa fortalece los derechos de las personas sobre sus datos personales.
Esto implica que las empresas deben estar preparadas para recibir, gestionar y responder solicitudes relacionadas con el acceso, rectificación, supresión, oposición y portabilidad, entre otros derechos contemplados por la normativa.
No basta con reconocer estos derechos en una política: deben existir procesos capaces de gestionarlos.
4. Revisar la seguridad de la información
La protección de datos personales está directamente relacionada con la ciberseguridad.
Controles de acceso, gestión de privilegios, protección de sistemas, monitoreo, respaldo, gestión de vulnerabilidades y respuesta ante incidentes forman parte de las medidas necesarias para reducir el riesgo de exposición.
Una organización puede tener una política de privacidad perfectamente redactada y, al mismo tiempo, mantener una infraestructura vulnerable.
5. Capacitar a los equipos
El cumplimiento tampoco depende exclusivamente de las áreas legales o de tecnología.
Un colaborador que envía información personal al destinatario equivocado, comparte credenciales o descarga una base de datos sin las medidas adecuadas también puede generar un incidente.
Por eso, la capacitación debe formar parte de la estrategia.
La postergación no elimina el riesgo
El contexto actual también deja una lección importante: la protección de datos no debería abordarse únicamente como una obligación regulatoria.
Los datos personales ya son un activo crítico para las organizaciones y un objetivo habitual para los ciberdelincuentes.
Una filtración puede generar interrupciones operativas, fraude, suplantación, pérdida de confianza, daños reputacionales y consecuencias legales, incluso más allá de las sanciones que pueda establecer una nueva regulación.
Por eso, esperar hasta conocer la fecha definitiva para comenzar a proteger la información puede ser una estrategia equivocada.
¿Qué significa entonces el proyecto para las empresas?
A día de hoy, significa principalmente incertidumbre sobre el calendario, no sobre la necesidad de prepararse.
El proyecto de ley que busca postergar la Ley 21.719 sigue en tramitación. La propuesta original plantea llevar su entrada en vigencia al 1 de diciembre de 2027, mientras que algunos parlamentarios han planteado reducir la extensión a seis meses. Hasta que exista una modificación legal publicada, la fecha que rige continúa siendo el 1 de diciembre de 2026.
Para las organizaciones que ya comenzaron su proceso de adecuación, esto no significa perder el trabajo realizado. Al contrario: un eventual plazo adicional permitiría revisar con mayor profundidad los procesos, cerrar brechas y fortalecer los controles antes de que la nueva regulación sea exigible.
Y para quienes todavía no han comenzado, la incertidumbre tampoco debería ser una excusa para esperar.
La pregunta no debería ser solamente cuándo entra en vigencia la ley, sino qué tan preparada está tu organización para proteger los datos que ya tiene hoy.
En Lockbits podemos ayudarte a evaluar y fortalecer la seguridad de la información de tu organización, identificando brechas y medidas prioritarias para enfrentar los nuevos desafíos de protección de datos.
¿Quieres preparar tu organización para la nueva Ley de Protección de Datos Personales? Contáctanos en lockbits.cl/contacto/