En Chile, casi todas las empresas que se estaban preparando para la nueva ley de protección de datos tenían marcada la misma fecha en el calendario, el 1 de diciembre de 2026. Desde el 28 de octubre esa fecha está en duda. Ese día el Senado aprobó, en primer trámite constitucional, el proyecto que fija la entrada en vigencia de la ley para el 15 de octubre de 2027.
La noticia se puede leer de dos maneras. La primera es como un alivio, diez meses y medio más para hacer con calma lo que estaba atrasado. La segunda, más arriesgada, es como una señal de que el tema puede esperar. Las empresas que elijan la segunda van a llegar a octubre de 2027 en la misma situación en que hoy están, pero con menos tiempo y con una Agencia más preparada para fiscalizar.
Qué aprobó el Senado
El proyecto nació de un mensaje presidencial del 31 de agosto de 2026, que proponía postergar la entrada en vigencia hasta el 1 de diciembre de 2027. En la Comisión de Constitución del Senado la fecha se adelantó al 15 de octubre de 2027.
Además de la fecha, el proyecto modifica la Agencia de Protección de Datos Personales, que es el organismo que fiscalizará el cumplimiento de la ley y sancionará las infracciones. Su consejo directivo pasaría de tres a cinco consejeros, con mandatos de seis años, sin posibilidad de ser designados nuevamente, y se renovaría parcialmente cada dos años. Los primeros consejeros serían propuestos por el Presidente de la República en un solo acto, dos por seis años, dos por cuatro y uno por dos años, para que la renovación quede escalonada, y necesitarían la aprobación de dos tercios de los senadores en ejercicio. El plazo para proponerlos se ampliaría de seis a nueve meses antes de la entrada en vigencia, pero si al publicarse la ley faltan menos de doce meses para esa fecha, como ocurrirá con cualquier publicación posterior al 15 de octubre de 2026, el Presidente tendría diez días desde la publicación para hacer la propuesta.
El proyecto no modifica las obligaciones que la Ley 21.719 impone a las empresas ni su régimen de sanciones.
Tres escenarios posibles
Si la Cámara aprueba el proyecto sin cambios y la ley se publica antes del 1 de diciembre, la nueva fecha queda firme. La Ley 21.719 entraría en vigencia el 15 de octubre de 2027 y el Presidente tendría diez días desde la publicación para proponer al Senado los nombres de los consejeros de la Agencia.
Si la Cámara introduce cambios, el proyecto vuelve al Senado para un tercer trámite, y el tiempo disponible antes del 1 de diciembre se acorta. Mientras ese proceso no termine, la fecha legal sigue siendo la original.
Si el proyecto no alcanza a publicarse antes del 1 de diciembre, la Ley 21.719 entra en vigencia ese día, aunque la Agencia que debe fiscalizarla todavía no esté funcionando. Una ley de postergación publicada después de esa fecha tendría que suspender una norma que ya está vigente, lo que abre una discusión jurídica que nadie debería querer tener con su propio cumplimiento como objeto de prueba.
¿Cómo está su empresa frente a la Ley 21.719?
Responda el diagnóstico breve de nuestra página de protección de datos y le indicaremos dónde están sus principales brechas, cualquiera sea la fecha que finalmente quede en la ley.
Hacer el diagnósticoLo que no cambia
Mientras la Ley 21.719 no entre en vigencia, sigue rigiendo la Ley 19.628, sobre protección de la vida privada. Es una ley más débil y sin un fiscalizador especializado, pero sigue exigiendo, entre otras cosas, que el tratamiento de datos personales tenga una base legal o la autorización del titular, y sigue permitiendo que las personas reclamen ante los tribunales.
Tampoco cambia lo que ya está ocurriendo en el mercado. En nuestra experiencia, las empresas grandes están incorporando cláusulas de protección de datos en sus contratos con proveedores y pidiendo antecedentes de cumplimiento antes de contratar. Para un proveedor de software, un contador externo, una empresa de cobranza o un call center, la pregunta no va a esperar a octubre de 2027.
Hay normas complementarias que ya están publicadas, como el Decreto Supremo N° 662, de 2025, del Ministerio de Hacienda, que regula los modelos de prevención de infracciones y que se publicó en el Diario Oficial el 9 de septiembre de 2026. Su certificación todavía no opera porque la Agencia no está funcionando, pero nada impide implementar el modelo desde ya.
Cómo usar el tiempo
El trabajo que exige la Ley 21.719 es el mismo con cualquiera de las dos fechas. Primero hay que saber qué datos personales trata la empresa, de quién, para qué y con qué base legal. Luego conviene revisar los contratos con los proveedores que acceden a esos datos. Después hay que ordenar la seguridad de la información, habilitar un canal para que las personas ejerzan sus derechos y designar a alguien responsable de la privacidad dentro de la empresa. Por último, documentar todo, ya que cuando la Agencia fiscalice va a pedir registros antes que explicaciones.
Lo que cambia entre las dos fechas es la calidad del trabajo. Con plazo al 1 de diciembre, el trabajo se hace con apuro. Con plazo a octubre de 2027, se puede hacer con un orden razonable, presupuestado y sin interrumpir la operación.
Lo que aún no sabemos
¿Votará la Cámara antes del 1 de diciembre? ¿Mantendrá el 15 de octubre de 2027 o volverá a la fecha del mensaje presidencial? ¿Cuándo se nombrarán los consejeros de la Agencia y cuándo empezará realmente a fiscalizar? Ninguna de esas respuestas cambia lo que una empresa tiene que hacer, pero todas cambian el ritmo con que conviene hacerlo. Actualizaremos este análisis cuando el proyecto avance.
Diez meses y medio es suficiente tiempo para adecuarse bien. También es suficiente tiempo para olvidarse del tema hasta que sea tarde.
Servicio relacionado
Protección de Datos →