La Ley de Protección de Datos Personales (Ley 21.719) podría comenzar a regir un año más tarde de lo previsto. El Gobierno de Chile ingresó al Congreso un proyecto que propone trasladar su entrada en vigencia del 1 de diciembre de 2026 al 1 de diciembre de 2027, con el objetivo de dar más tiempo a empresas, organismos públicos y a la futura Agencia de Protección de Datos Personales para adaptarse al nuevo marco regulatorio.
La propuesta fue registrada el 1 de septiembre de 2026 bajo el boletín 18.623-07 y comenzó su primer trámite constitucional en el Senado. Sin embargo, hay una precisión fundamental: la postergación todavía debe ser aprobada por el Congreso. Mientras eso no ocurra y la modificación sea publicada, la fecha legal de entrada en vigencia continúa siendo el 1 de diciembre de 2026.
El proyecto no modifica únicamente el calendario. También propone ampliar de tres a cinco los integrantes del Consejo Directivo de la futura Agencia de Protección de Datos Personales y flexibilizar, durante el primer año de aplicación, el régimen de amonestaciones previsto por la legislación.
Por qué el Gobierno quiere postergar la ley de protección de datos personales
La Ley N° 21.719 fue publicada en el Diario Oficial el 13 de diciembre de 2024 y representa uno de los principales cambios de las últimas décadas en materia de privacidad en Chile. La norma moderniza la Ley N° 19.628, fortalece los derechos de las personas sobre su información y crea una autoridad especializada encargada de fiscalizar el cumplimiento de las nuevas obligaciones.
Su entrada en vigencia estaba diferida hasta diciembre de 2026 para que tanto el sector público como el privado pudieran prepararse. Ahora, el Ejecutivo considera que ese período no sería suficiente para completar la instalación institucional y regulatoria requerida.
Según explicó el Ministerio de Economía, el año adicional permitiría instalar adecuadamente la Agencia de Protección de Datos Personales, desarrollar normas y criterios para aplicar la legislación y dar más tiempo a organismos públicos, municipalidades, servicios y compañías para adaptar sus procesos y sistemas.
El biministro de Economía, Fomento y Turismo y Minería, Daniel Mas, resumió el objetivo del Ejecutivo: “No queremos menos protección de los datos personales, queremos que esta nueva legislación funcione correctamente desde el primer día”.
La propuesta, por lo tanto, no apunta a reducir las exigencias previstas en la nueva normativa, sino a modificar el calendario para su implementación.
Una Agencia de Protección de Datos que todavía debe instalarse
La preparación de la nueva institucionalidad aparece como uno de los puntos centrales de la discusión.
La Ley 21.719 crea la Agencia de Protección de Datos Personales, organismo que tendrá atribuciones para fiscalizar el tratamiento de información, dictar instrucciones y aplicar sanciones ante incumplimientos.
El contexto institucional no es menor. Durante 2026, el Ejecutivo había propuesto a Joselyn Biermann, Roberto Godoy y Matías Larraguibel para integrar el primer Consejo Directivo de la Agencia. La propuesta fue analizada por comisiones del Senado y finalmente rechazada en mayo.
El nuevo proyecto propone modificar ese esquema aumentando de tres a cinco consejeros, con un quórum mínimo de tres miembros para el funcionamiento del Consejo. También busca adelantar la conformación inicial de la autoridad para que pueda trabajar en la regulación secundaria y establecer criterios antes de comenzar plenamente sus tareas de fiscalización.
La primera designación debería efectuarse, de acuerdo con la propuesta, a más tardar doce meses antes de la entrada en vigencia de la ley.
Qué cambia para las empresas con el proyecto
Para las compañías, uno de los aspectos más relevantes es precisamente ese año adicional de adaptación.
La nueva normativa incorpora obligaciones mucho más exigentes respecto de la forma en que las organizaciones administran información personal. También reconoce derechos como acceso, rectificación, supresión, oposición, portabilidad y bloqueo de datos.
Además, establece un régimen sancionatorio considerablemente más fuerte que el actual.
Las infracciones leves pueden ser castigadas con multas de hasta 5.000 UTM, las graves hasta 10.000 UTM y las gravísimas hasta 20.000 UTM. En determinadas situaciones de reincidencia para compañías que no sean empresas de menor tamaño, las sanciones pueden incluso vincularse con un porcentaje de los ingresos anuales.
Por eso, las organizaciones deberán revisar aspectos que van desde la base jurídica utilizada para procesar información hasta sus políticas de privacidad, contratos, mecanismos para responder solicitudes de titulares y medidas de seguridad utilizadas para proteger los datos.
Si la iniciativa del Ejecutivo prospera, esas obligaciones comenzarían a regir en diciembre de 2027 y no en diciembre de 2026.
El proyecto también cambia el régimen inicial de sanciones
Hay otro cambio que puede tener especial impacto para las empresas.
La Ley 21.719 contempla actualmente que, durante sus primeros doce meses de vigencia, la Agencia pueda utilizar una amonestación por escrito cuando corresponda sancionar a empresas calificadas como de menor tamaño.
El nuevo proyecto propone eliminar esa referencia específica, permitiendo que esa posibilidad pueda aplicarse a todos los responsables de datos, independientemente de su tamaño, durante el primer año de aplicación de la normativa.
Eso no significa que exista automáticamente un año sin multas. La utilización de la amonestación continuaría siendo una facultad de la Agencia y no elimina la obligación de cumplir con la normativa desde el momento en que entre en vigencia.
La fecha de diciembre de 2026 sigue vigente por ahora
Para empresas, áreas de tecnología, seguridad de la información, legales y responsables de compliance, hay una cuestión que resulta especialmente importante: el nuevo plazo todavía no está aprobado.
Al 8 de septiembre de 2026, el boletín 18.623-07 continúa en tramitación en el Congreso y se encuentra en su primer trámite constitucional. Por lo tanto, jurídicamente la Ley 21.719 mantiene todavía su entrada en vigencia prevista para el 1 de diciembre de 2026.
En términos prácticos, eso significa que las organizaciones no deberían interpretar el proyecto como una señal para detener sus procesos de adecuación.
Incluso si finalmente el Congreso aprueba la extensión hasta 2027, las principales exigencias de la nueva regulación seguirán siendo las mismas. El cambio ofrecería más tiempo para prepararse, pero no reduciría la necesidad de revisar cómo se recopilan, procesan, almacenan y protegen los datos personales.
Preguntas frecuentes
- ¿Cuándo entrará en vigencia la nueva Ley de Protección de Datos Personales de Chile? Actualmente, la Ley 21.719 establece como fecha de entrada en vigencia el 1 de diciembre de 2026. El Gobierno propone postergarla al 1 de diciembre de 2027, pero el cambio todavía debe ser aprobado por el Congreso.
- ¿Qué es el proyecto 18.623-07? Es una iniciativa presentada por el Ejecutivo para modificar la Ley 21.719. Además de retrasar un año su vigencia, propone aumentar de tres a cinco los integrantes del Consejo Directivo de la Agencia de Protección de Datos Personales y modificar algunas reglas transitorias.
- ¿Las empresas pueden dejar de prepararse para la Ley 21.719? No. Mientras el proyecto no sea aprobado y publicado, sigue vigente el calendario actual. Además, la iniciativa no elimina las principales obligaciones de protección de datos, sino que propone entregar más tiempo para su implementación.
