Ley de Protección de Datos: el Gobierno pide un año más y deja la fecha del 1 de diciembre en el aire
El 1 de septiembre de 2026 el Gobierno ingresó al Congreso, por el Senado y con urgencia calificada de "suma", un proyecto que modifica la Ley N° 21.719 —la que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales (APDP)— para correr su entrada en vigencia en doce meses, desde el 1 de diciembre de 2026 al 1 de diciembre de 2027.
El punto crítico para cualquier organización que trate datos personales en Chile: el proyecto todavía no es ley. En el registro oficial de la Biblioteca del Congreso Nacional, la Ley 21.719 sigue marcada con entrada en vigencia el 01-DIC-2026. Hasta que el Congreso despache la modificación y ésta se publique en el Diario Oficial, ese es el plazo que obliga.
Qué se está tramitando
El texto es corto —un artículo único y dos disposiciones transitorias— y ataca dos frentes a la vez.
Fecha. Fija el 1 de diciembre de 2027 como nueva entrada en vigencia del cuerpo legal completo, incluido el régimen sancionatorio.
Institucionalidad. Interviene el diseño de la APDP: sube de tres a cinco los integrantes de su Consejo Directivo, establece un quórum de tres miembros y dispone que el consejo se renueve parcialmente cada dos años. También exige dedicación exclusiva a los consejeros, con las incompatibilidades asociadas, para acotar conflictos de interés.
Calendario de nombramientos. La primera designación de consejeros deberá hacerse a más tardar doce meses antes de la entrada en vigencia de la ley. Con la nueva fecha, eso significa diciembre de este año. Como resguardo ante una tramitación larga, un transitorio establece que si al momento de publicarse la modificación quedan menos de doce meses para la vigencia, la designación deberá concretarse dentro de los diez días siguientes.
El segundo transitorio resuelve el financiamiento: el mayor gasto del primer año se cubre con el presupuesto del Ministerio de Economía y, de ser necesario, con cargo al Tesoro Público.
Por qué se llegó hasta acá
El problema no es el texto de la ley, es su implementación. La APDP es la autoridad llamada a fiscalizar, sancionar y ordenar medidas correctivas, y hasta hoy no tiene Consejo Directivo.
En mayo de 2026, la Sala del Senado desechó el oficio presidencial que proponía como consejeros a Joselyn Biermann, Roberto Godoy y Matías Larraguibel —por seis, cuatro y dos años respectivamente— al no alcanzarse el quórum de dos tercios exigido para la ratificación. La propuesta ya venía trabada: las comisiones unidas de Constitución y Economía la habían revisado en dos sesiones, con un doble empate previo sobre si las y los candidatos cumplían los requisitos legales.
En esa misma sesión se recordó el dato que hoy explica todo: el consejo debía estar constituido seis meses antes de la entrada en vigencia de la ley. Ese plazo venció en junio de 2026 sin nombramientos.
El biministro de Economía, Fomento y Turismo, y de Minería, Daniel Mas, había confirmado a comienzos de agosto que el Ejecutivo evaluaba el aplazamiento. Al ingresar el proyecto, argumentó que el objetivo es que la reforma parta con una institucionalidad preparada y reglas claras, y sostuvo que no se busca menos protección de datos personales sino que la legislación funcione correctamente desde el primer día.
La postura no es unánime en el Congreso. El senador Matías Walker (Demócratas) calificó como inaceptable postergar la ley por la incapacidad de acordar el consejo encargado de implementarla.
Qué no cambia
La discusión es de calendario e institucionalidad, no de fondo. Si el proyecto se aprueba, el contenido sustantivo de la Ley 21.719 se mantiene íntegro:
- Reforma completa de la Ley 19.628 (1999), que pasará a llamarse Ley sobre protección de los datos personales.
- Principios exigibles de licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia e información, y confidencialidad.
- Derechos del titular: acceso, rectificación, supresión, oposición, portabilidad y bloqueo, gratuitos e irrenunciables.
- Reglas reforzadas para datos sensibles y para menores de 16 años, cuyo tratamiento requiere consentimiento de sus representantes legales salvo autorización expresa de la ley.
- Obligación de informar a la Agencia ante vulneraciones de seguridad, por los medios más expeditos posibles y sin dilaciones indebidas.
- Régimen sancionatorio con multas que, en las infracciones más graves, llegan a 20.000 UTM.
Una precisión que conviene hacer, porque circula mucho material impreciso: el texto legal no fija un plazo numérico de 72 horas para notificar brechas, a diferencia del RGPD europeo. Habla de inmediatez sin dilaciones indebidas. Operativamente conviene apuntar a 72 horas o menos, pero es una buena práctica, no la letra de la ley.
Qué significa para los equipos técnicos
Para quien está a cargo de infraestructura, seguridad o gobernanza de datos, la lectura práctica es simple: no soltar el proyecto de cumplimiento.
Un año adicional —si se aprueba— no cambia el trabajo pendiente, que en la mayoría de las organizaciones sigue siendo el mismo:
- Inventario real de datos personales, incluidas las fuentes que nunca aparecen en los diagramas: planillas compartidas, respaldos antiguos, chats internos, ambientes de desarrollo con datos productivos.
- Registro de actividades de tratamiento, con finalidad y base de licitud por cada flujo.
- Acuerdos de tratamiento (DPA) firmados con cada proveedor que procese datos por cuenta de la organización.
- Controles técnicos demostrables: cifrado en reposo y en tránsito, control de accesos, retención definida y logs con trazabilidad suficiente para reconstruir quién accedió a qué y cuándo.
- Procedimientos probados de respuesta a solicitudes ARCO y de notificación de brechas, con tiempos auditables.
El riesgo del aplazamiento es de gestión, no de derecho: presupuestos que se congelan, migraciones que quedan a medio camino y equipos que llegan a diciembre de 2027 con la misma deuda técnica que tenían en 2026, pero con una agencia ya instalada y en modo fiscalización.
Qué mirar en las próximas semanas
- La tramitación del proyecto en el Senado, primer trámite constitucional, con suma urgencia.
- La designación del Consejo Directivo de la APDP, que el propio proyecto empuja a concretar en diciembre de este año.
- La dictación de los reglamentos pendientes, uno de los vacíos que el Ejecutivo declara querer cerrar con el año adicional.
Mientras esos tres hitos no se cumplan, la fecha vigente sigue siendo el 1 de diciembre de 2026.
Fuentes oficiales
- Biblioteca del Congreso Nacional, Ley Chile: Ley N° 21.719, texto y estado de vigencia — https://www.bcn.cl/leychile/navegar?idNorma=1209272
- Senado de la República de Chile: "Desestiman propuesta de consejeros para la Agencia de Protección de Datos Personales" (mayo 2026) — https://www.senado.cl/comunicaciones/noticias/desestiman-propuesta-de-consejeros-para-la-agencia-de-proteccion-de-datos
- Senado de la República de Chile: "Pendiente pronunciamiento sobre consejeros de la Agencia de Protección de Datos Personales" (mayo 2026) — https://www.senado.cl/comunicaciones/noticias/pendiente-pronunciamiento-sobre-consejeros-de-la-agencia-de-proteccion-de
- Secretaría de Gobierno Digital: Guía práctica para facilitar la implementación de la nueva Ley de Protección de Datos Personales en la Administración — https://wikiguias.digital.gob.cl/datos-personales/guia-practica-implementacion-nueva-ley-datos-personales
- Biblioteca del Congreso Nacional, Departamento de Estudios: Descripción y síntesis de la ley N° 21.719
- Sistema de tramitación del Senado, para seguir el boletín del proyecto — https://tramitacion.senado.cl
Comentarios
Publicar un comentario