La ley que protege tus datos en Chile se corre a octubre de 2027

El aplazamiento de la Ley 21.719 dejó de ser una intención del Gobierno. Este miércoles 28 de octubre de 2026 la Sala del Senado aprobó, por 33 votos a favor y 6 en contra, el proyecto que corre la entrada en vigencia de la Ley de Protección de Datos Personales. Pero con un cambio relevante respecto de lo que había pedido el Ejecutivo: la nueva fecha no es el 1 de diciembre de 2027, sino el 15 de octubre de 2027.

La iniciativa pasó a segundo trámite constitucional en la Cámara de Diputados. Hasta que ese trámite termine y el texto se publique en el Diario Oficial, la fecha legalmente vigente sigue siendo el 1 de diciembre de 2026, y el Congreso tiene poco más de un mes para cerrar el proceso.

Qué aprobó el Senado

La Sala respaldó el texto despachado por las comisiones de Constitución y de Hacienda, esta última sin introducir modificaciones. El núcleo del acuerdo es la nueva fecha de entrada en vigencia: 15 de octubre de 2027, en lugar del 1 de diciembre de 2027 que proponía el mensaje presidencial. El recorte de seis semanas surgió de un acuerdo transversal con los senadores, que condicionaron su apoyo a acotar la extensión del plazo.

El subsecretario de Economía y Empresas de Menor Tamaño, Karlfranz Koehler, valoró la aprobación y señaló que la institucionalidad de datos requiere que la Agencia se constituya con anticipación a esa fecha para preparar el terreno.

El cambio que conviene mirar con atención: las amonestaciones

Aquí está la modificación menos comentada y la de mayor impacto práctico. El proyecto original del Ejecutivo proponía extender a empresas de todos los tamaños el beneficio de recibir solo una amonestación escrita, en lugar de multa, durante los primeros doce meses de vigencia. La Comisión de Constitución descartó esa ampliación.

El texto aprobado mantiene ese régimen especial acotado a las empresas de menor tamaño, tal como estaba en la ley publicada en 2024. En términos concretos: si la organización no califica como empresa de menor tamaño según la Ley 20.416, desde el primer día de vigencia queda expuesta al régimen sancionatorio completo, sin período de marcha blanca.

Qué se resolvió sobre la Agencia

El proyecto también aborda el problema que originó todo este retraso: la Agencia de Protección de Datos Personales sigue sin Consejo Directivo. El Consejo sube de tres a cinco integrantes, con períodos de seis años sin reelección y renovación parcial cada dos años.

El procedimiento de designación se endureció y se aceleró. El Presidente de la República debe presentar al Senado una propuesta conjunta de cinco nombres, y la Cámara Alta debe pronunciarse sobre ella como una unidad, con el voto favorable de dos tercios de los senadores en ejercicio. Si el Senado rechaza la propuesta, el Ejecutivo tiene quince días para presentar otra. Y la primera propuesta de nombramiento debe formularse dentro de los diez días siguientes a la publicación de esta ley.

El diseño apunta a evitar que se repita lo de mayo de 2026, cuando la Sala del Senado desechó la terna presentada por no alcanzarse el quórum de dos tercios, y el plazo legal para nombrar a los consejeros venció en junio sin reemplazo.

La cronología, en orden

13 de diciembre de 2024: se publica la Ley 21.719 en el Diario Oficial, con vigencia fijada a 24 meses. 19 de mayo de 2026: el Senado rechaza la propuesta de consejeros para la Agencia. 1 de junio de 2026: vence el plazo legal para la primera designación, sin Consejo nombrado. 1 de septiembre de 2026: el Ejecutivo ingresa el Boletín 18.623-07 con suma urgencia. 19 de octubre: la Comisión de Constitución aprueba la idea de legislar por unanimidad. 26 y 28 de octubre: la misma comisión aprueba en particular y fija el 15 de octubre de 2027. 28 de octubre: la Sala aprueba por 33 a 6 y despacha a la Cámara de Diputados.

Qué no cambia

Conviene insistir en esto porque genera confusión. El proyecto es de calendario e institucionalidad, no de fondo. Las obligaciones sustantivas de la Ley 21.719 quedan intactas: los principios de tratamiento, los derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo, los deberes de información y seguridad, la notificación de vulneraciones y el régimen de infracciones con multas que llegan a 20.000 UTM en los casos más graves.

Tampoco desaparece el marco actual. La Ley 19.628, vigente desde 1999, sigue rigiendo el tratamiento de datos personales en Chile mientras tanto. No existe un vacío regulatorio: existe un régimen débil que se prolonga.

Qué hacer con los once meses extra

Para los equipos de infraestructura, seguridad y gobernanza de datos, la lectura es la misma que en septiembre, solo que con el calendario despejado. El trabajo pendiente no se reduce porque la fecha se mueva.

El inventario real de datos personales sigue siendo el punto de partida, incluidas las fuentes que nunca aparecen en los diagramas: planillas compartidas, respaldos antiguos, ambientes de desarrollo poblados con datos productivos. Después vienen el registro de actividades de tratamiento con finalidad y base de licitud por cada flujo, los acuerdos de tratamiento firmados con cada proveedor que procese datos por cuenta de la organización, y los controles técnicos demostrables: cifrado en reposo y en tránsito, control de accesos, retención definida y logs con trazabilidad suficiente para reconstruir quién accedió a qué y cuándo.

Cierra la lista lo que más cuesta improvisar: procedimientos probados de respuesta a solicitudes de los titulares y de notificación de brechas, con tiempos auditables. Una precisión que sigue circulando mal, y que vale la pena revisar en las políticas internas: el plazo de 72 horas para notificar vulneraciones no aparece literalmente en el texto de la ley chilena, a diferencia del RGPD europeo. La norma exige informar por los medios más expeditos posibles y sin dilaciones indebidas. Apuntar a 72 horas o menos es buena práctica operativa, no la letra de la ley.

El riesgo real del aplazamiento no es jurídico, es presupuestario. Proyectos de cumplimiento congelados, migraciones a medio camino y equipos que llegan a octubre de 2027 con la misma deuda técnica que tenían en 2026, pero con una Agencia instalada, con reglamentos dictados y en modo fiscalización desde el primer día.

Fuente:
https://www.senado.cl/comunicaciones/noticias/proteccion-de-datos-personales-avanza-proyecto-que-busca-postergar-entrada
https://portallegislativo.senado.cl/detalle-proyectos-ley/19307
https://www.bcn.cl/leychile/navegar?idNorma=1209272

Nota: este artículo describe el estado de tramitación del Boletín N° 18.623-07 al 28 de octubre de 2026. Mientras el proyecto no se publique en el Diario Oficial, la fecha de entrada en vigencia legalmente exigible de la Ley N° 21.719 sigue siendo el 1 de diciembre de 2026.