Cumplimiento Normativo Ley 21.719 📅 Septiembre 2026 | ⏱️ 8 min de lectura
El Gobierno ingresó al Senado un proyecto que traslada la entrada en vigencia de la Ley de Protección de Datos Personales del 1 de diciembre de 2026 al 1 de diciembre de 2027. La lectura inmediata en el mercado fue que hay un año más de plazo. Ese es el punto exacto donde conviene detenerse, porque el año adicional no funciona como parece.
⚠️ Advertencia importante antes de seguir
Se trata de un proyecto de ley en tramitación, no de una norma vigente. Mientras el Congreso no lo apruebe y se publique en el Diario Oficial, la fecha de entrada en vigencia de la Ley N.º 21.719 continúa siendo el 1 de diciembre de 2026. Toda decisión organizacional que asuma la prórroga como un hecho consumado está tomando un riesgo innecesario.
Los datos del proyecto
Identificación
Mensaje N.º 110-374
Boletín N.º 18.623-07
Ingreso al Senado
31 de agosto de 2026
Suma urgencia desde el 1 de septiembre
Estructura
Un artículo único y dos disposiciones transitorias
Lo que dice el proyecto
El 31 de agosto de 2026, el Ejecutivo ingresó al Senado un mensaje presidencial que modifica la Ley N.º 21.719. El 1 de septiembre le puso suma urgencia.
El proyecto tiene tres componentes.
La fecha de vigencia
La entrada en vigencia se traslada del 1 de diciembre de 2026 al 1 de diciembre de 2027, otorgando un año adicional de preparación.
La composición de la Agencia
El Consejo Directivo de la Agencia de Protección de Datos Personales pasa de tres a cinco integrantes, estableciendo un quórum de tres miembros para sesionar.
El calendario de instalación
Se adelanta la designación del primer Consejo Directivo, de modo que pueda iniciar oportunamente el proceso de instalación, avanzar en la regulación secundaria y establecer criterios y estándares que entreguen certeza antes del inicio de las nuevas facultades de fiscalización.
«Esta es una reforma muy relevante para Chile y nuestra responsabilidad es que entre en vigencia con una institucionalidad preparada, reglas claras y condiciones que permitan su adecuado cumplimiento. No queremos menos protección de los datos personales, queremos que esta nueva legislación funcione correctamente desde el primer día.»
Daniel Mas, biministro de Economía, Fomento y Turismo y Minería. Comunicado oficial del Ministerio de Economía, 1 de septiembre de 2026.
Por qué se llegó a esto
El motivo de la postergación no es técnico ni de complejidad regulatoria. Es institucional.
La Ley 21.719 creó la Agencia de Protección de Datos Personales como corporación autónoma de derecho público, dirigida por un Consejo Directivo cuya designación requiere propuesta del Presidente de la República y acuerdo de dos tercios del Senado.
Ese Consejo nunca se instaló. El Senado rechazó en mayo de 2026 la primera propuesta de tres consejeros, y en junio venció el plazo legal para designarlos.
Conviene notar que la ley ya había sido ajustada antes por este mismo problema. La Ley N.º 21.806, de reajuste del sector público 2026, amplió el plazo para la primera designación del Consejo Directivo de sesenta días a seis meses antes de la vigencia. El nuevo proyecto estima que ni siquiera ese plazo ampliado alcanza.
Dicho de forma directa: Chile diseñó un régimen de protección de datos que depende de una autoridad que no logró constituir, y la solución propuesta es correr la fecha del régimen hasta que la autoridad exista.
El error de lectura más costoso
La reacción predecible en el mercado es tratar el año adicional como tiempo libre. Esa lectura tiene un problema.
Si el proyecto se aprueba, la Agencia no se instala en diciembre de 2027. Se instala antes, y pasa 2027 dictando regulación secundaria, estableciendo criterios y observando el mercado.
El propio comunicado del Ministerio lo dice: se adelanta la designación del primer Consejo para que pueda avanzar en la regulación secundaria y establecer criterios y estándares que entreguen certeza antes del inicio de las nuevas facultades de fiscalización.
Esto convierte a 2027 en algo distinto de un año sin regulador. Es un año con regulador instalado, dictando las reglas específicas que después va a fiscalizar, pero sin potestad sancionatoria todavía.
Para una organización, esa distinción importa por una razón práctica. Los criterios que la Agencia dicte en 2027 son los criterios contra los cuales será evaluada en 2028. Una organización que use ese año para adecuarse a criterios conocidos llega a la fiscalización con certeza. Una que espere hasta que empiecen las sanciones llega adaptándose sobre la marcha a reglas que ya estaban publicadas.
El costo asimétrico de la postergación
La prórroga no distribuye sus efectos de forma pareja.
Beneficia a las organizaciones que no habían iniciado su proceso de adecuación. Recuperan doce meses que ya habían perdido.
Penaliza a las que sí invirtieron. Según reportó Diario Financiero, Stella Muñoz, socia de FerradaNehme y jefa de su área de data privacy y ciberseguridad, señaló que las compañías obligadas debían prepararse desde 2024, cuando la ley fue sancionada, y que la prórroga afecta los compromisos asumidos como país y perjudica a las empresas que ya realizaron la inversión para estar listas el 1 de diciembre de 2026.
En el Senado la resistencia fue explícita. Citado por ADN Radio, el senador Matías Walker calificó como muy negativo e inaceptable aplazar la aplicación por falta de acuerdo para nombrar al consejo.
Desde el sector asegurador la lectura fue distinta. También según Diario Financiero, Marcelo Mosso, director ejecutivo de la Asociación de Aseguradores de Chile, valoró el plazo extra y planteó revisar el tratamiento de datos con fines estadísticos y de tarificación, que a su juicio queda sin base legal expresa en la nueva ley.
Ese último punto es relevante más allá del sector: la prórroga abre una ventana para discutir ajustes sustantivos al contenido de la ley, no solo a su calendario.
Los tres escenarios y qué implica cada uno
Escenario 1
Aprobación antes de diciembre de 2026
Es el escenario más probable, considerando que el proyecto entró con suma urgencia. La fecha se corre a diciembre de 2027 y la Agencia se instala durante 2026 y 2027 para dictar criterios.
Escenario 2
Aprobación tardía
Si la tramitación se extiende y llega el 1 de diciembre de 2026 sin publicación en el Diario Oficial, la ley entra en vigencia ese día con todas sus obligaciones. Es el escenario donde una organización que suspendió su proceso queda expuesta.
Escenario 3
No aprobación
Poco probable dada la urgencia asignada, pero posible si el Congreso prioriza otras materias. Todo sigue como estaba y la ley rige desde diciembre de 2026.
La asimetría entre estos escenarios define la decisión correcta. Suspender el proceso de adecuación solo tiene sentido en dos de los tres escenarios. Continuarlo tiene sentido en los tres.
Lo que no cambia
El aplazamiento no deroga la ley ni modifica sus obligaciones. Cambia el momento desde el cual son exigibles.
Obligaciones que siguen siendo las mismas
- →El Registro de Actividades de Tratamiento sigue siendo el punto de partida de cualquier programa de cumplimiento.
- →Las bases de licitud siguen requiriendo documentación por cada tratamiento.
- →Los contratos con encargados siguen necesitando las cláusulas del artículo 15 bis.
- →Los canales para el ejercicio de derechos siguen requiriendo diseño e implementación.
- →Las medidas de seguridad del artículo 14 quinquies siguen siendo exigibles con la misma redacción.
- →El Decreto Supremo N.º 662 del Ministerio de Hacienda sigue definiendo el estándar de diligencia que las organizaciones podrán acreditar mediante un Modelo de Prevención de Infracciones.
Mientras el nuevo régimen no entre en vigencia, continúa aplicándose la versión actual de la Ley 19.628. Eso significa que las organizaciones no operan en un vacío regulatorio, sino bajo un marco que la propia autoridad ha reconocido como insuficiente.
Para entender las obligaciones concretas de la Ley 21.719, revisa nuestra guía práctica de cumplimiento. Para el régimen de multas, revisa multas y sanciones de la Ley 21.719. Y para entender qué anticipan Europa y California sobre el ciclo de fiscalización chileno, revisa nuestro análisis comparado del GDPR.
La postergación de la Ley 21.719 resuelve un problema de capacidad institucional del Estado, no un problema de preparación del sector privado. Para una organización, la pregunta relevante no es cuánto tiempo adicional obtuvo, sino qué hace con él. Si el proyecto se aprueba, 2027 será un año con la Agencia instalada, dictando los criterios específicos contra los cuales se fiscalizará después. Las organizaciones que lleguen a diciembre de 2027 con su programa operando llevarán doce meses de ventaja sobre las que empiecen ese día. Y las que suspendan hoy asumiendo que la prórroga es un hecho están apostando sobre un proyecto que aún no es ley.
Fuentes: Ministerio de Economía, Fomento y Turismo, comunicado oficial del 1 de septiembre de 2026 · Mensaje N.º 110-374, Boletín N.º 18.623-07, ingresado al Senado el 31 de agosto de 2026 · Ley N.º 21.719, publicada en el Diario Oficial el 13 de diciembre de 2024 · Ley N.º 21.806, reajuste del sector público 2026 · Decreto Supremo N.º 662 del Ministerio de Hacienda, junio de 2025 · Declaraciones de Matías Walker reportadas por ADN Radio; declaraciones de Stella Muñoz y Marcelo Mosso reportadas por Diario Financiero.
¿Vas a usar el año adicional o vas a esperar a que empiecen las sanciones?
En CSITI realizamos diagnósticos de cumplimiento de la Ley 21.719 que identifican qué falta en tu organización, en qué orden abordarlo y qué evidencia necesitas construir. El resultado es un plan priorizado que funciona en cualquiera de los tres escenarios de tramitación.
