El Gobierno pide un año más para la Ley 21.719: Qué cambia, qué no y por qué el plan de 90 días sigue en pie

Si diriges cumplimiento, legal o tecnología en una empresa chilena, ayer la agenda de datos personales cambió de tono. El Gobierno ingresó al Senado un proyecto de ley que posterga por un año la entrada en vigencia de la Ley 21.719, después de un invierno en que el Senado rechazó la terna de consejeros de la futura Agencia de Protección de Datos Personales y venció el plazo legal para constituir su Consejo Directivo. La Agencia debía operar desde el 1 de junio y hoy no existe.

La reacción más común en los directorios esta semana va a ser "ganamos un año". Mi lectura de la situación es directa: Todavía no. Un proyecto con suma urgencia es una intención con calendario, no una ley publicada, y mientras el Congreso lo tramita la fecha que rige sigue siendo el 1 de diciembre de 2026. Hoy, 2 de septiembre, faltan exactamente 90 días. Ese número es el mismo del plan que sigue más abajo, y la noticia cambia el tono con que conviene ejecutarlo, no su contenido.

Qué dice el proyecto que ingresó el 1 de septiembre

Según lo informado por Diario Financiero, La Tercera y trendTIC, el proyecto modifica la Ley 21.719 en seis puntos:

• Vigencia: Traslada la entrada en vigencia del 1 de diciembre de 2026 al 1 de diciembre de 2027.
• Consejo Directivo de la Agencia: Pasa de tres a cinco consejeros, con quórum de tres, mandatos de seis años sin reelección inmediata y renovación parcial cada dos años.
• Designación: El Presidente presenta una propuesta única y el Senado la aprueba por dos tercios, con silencio positivo si no se pronuncia dentro de plazo. La primera designación debe hacerse a más tardar doce meses antes de la vigencia, es decir, el 1 de diciembre de 2026. Si el proyecto se publica cuando falte menos de un año, la designación debe efectuarse dentro de diez días.
• Consejeros desde el nombramiento: Reciben remuneración, dedicación exclusiva e incompatibilidades desde que son designados, para que la Agencia se construya antes de fiscalizar.
• Amonestación en el primer año: La opción de reemplazar la multa por una amonestación durante el primer año de vigencia, hoy reservada a empresas de menor tamaño, se abre a cualquier responsable de datos.
• Financiamiento: El mayor gasto se cubre con el presupuesto del Ministerio de Economía y, si hace falta, con el Tesoro Público.

El ministro de la Segpres, José García Ruminot, pidió que el proyecto "genere un amplio consenso y avance con rapidez en el Congreso". El biministro de Economía, Daniel Mas, lo resumió así: "Nuestra responsabilidad es que entre en vigencia con una institucionalidad preparada, reglas claras y condiciones que permitan su adecuado cumplimiento". Desde la Asociación de Aseguradores, Marcelo Mosso agregó que "la postergación es una oportunidad para revisar esta materia", y la presidenta de la CMF, Catherine Tornel, ya había dicho a fines de agosto que hay definiciones "que se podrían mejorar" en cómo la ley impacta al mercado financiero.

Esa última idea merece atención. En enero, un grupo de parlamentarios ingresó una moción (boletín 18.060-07) que propone recortar las multas a un tope de 5.000 UTM y reescribir varios derechos. El proyecto del Gobierno no toca las sanciones, pero abre un año de tramitación en que ese debate puede reactivarse. Lo que hoy es una ley cerrada puede convertirse en una ley en discusión.

Qué no cambia mientras el proyecto se tramita

La fecha legal sigue siendo el 1 de diciembre de 2026. La suma urgencia obliga a cada cámara a despachar el proyecto en 15 días por trámite, pero el Congreso puede renovarla, modificar el texto o rechazarlo. Hasta que la modificación se publique en el Diario Oficial, cualquier plan que asuma diciembre de 2027 se apoya en una expectativa.

La ley 19.628 sigue vigente. Tratar datos personales ya es una actividad regulada en Chile. El deber de secreto, la finalidad, la calidad del dato y los derechos de acceso y cancelación existen hoy, y los tribunales los aplican.

Los otros relojes no se mueven. Los Operadores de Importancia Vital incorporados en julio por la Resolución 187 tienen plazo hasta el 22 de septiembre para cumplir las instrucciones de la ANCI bajo la Ley 21.663. La NCG 538 de la CMF rige para bancos desde el 1 de agosto. Si tu empresa está en alguno de esos perímetros, la gestión de incidentes y la seguridad de la información que te exigen son la base técnica de la 21.719, y esa parte no admite espera.

El mercado ya te está pidiendo evidencia. Clientes corporativos, aseguradoras y licitaciones incluyen desde hace meses preguntas sobre protección de datos en sus due diligence. Ese costo llega por contrato, con o sin Agencia, y no depende de la fecha que fije el Congreso.

La fiscalización, cuando llegue, revisa hacia atrás. El benchmark brasileño sigue siendo el más útil: La autoridad de datos de Brasil demoró casi tres años en cursar su primera multa por la LGPD, y cuando lo hizo sancionó conductas ocurridas desde la vigencia de la ley. La primera multa fue a una microempresa.

Si se aprueba: Lo que ganas y lo que conviene no perder

Supongamos que el Senado y la Cámara despachan el proyecto sin cambios de fondo durante septiembre u octubre. Tu empresa gana doce meses y tres cosas más.

La primera es un fiscalizador que existe antes de fiscalizar. Con cinco consejeros nombrados en diciembre de 2026 y un año de instalación, la Agencia llegaría al 1 de diciembre de 2027 con reglamentos, guías y criterios publicados. Hoy, las evaluaciones de impacto y varios deberes operan con el estándar internacional como única referencia; con la Agencia instalada, ese vacío se cierra y tus definiciones de 2026 se pueden ajustar a criterio oficial en 2027.

La segunda es un primer año de aterrizaje suave. Si la amonestación se abre a todos los responsables, el primer año de vigencia castiga con advertencia a quien demuestre diligencia. Esa diligencia se prueba con documentos fechados, y los documentos se producen en los 90 días que siguen, no en noviembre de 2027.

La tercera es tiempo para el Modelo de Prevención de Infracciones. Su reglamento (DS 662/2025) ya está vigente, la certificación dura tres años y diseñarlo toma meses. Una empresa que cierra el plan de 90 días en diciembre de 2026 llega a 2027 con el inventario, los procesos y el delegado listos para certificar, y entra a la vigencia con el atenuante más fuerte que contempla la ley.

Lo que conviene no perder es el impulso. La encuesta de PwC Chile y la Fundación Generación Empresarial (87 ejecutivos de riesgo, TI, legal y compliance) mostró en 2025 que el 59% de las organizaciones creía tener tiempo suficiente y solo el 13% se consideraba muy preparada. Un año más de plazo alimenta exactamente esa sensación. Los equipos que en septiembre de 2027 vuelvan a tener 90 días por delante van a ser los mismos que hoy decidieron esperar la ley corta.

¿Qué multas arriesga tu empresa?

El régimen sancionatorio de la ley publicada es el motivo por el cual el tema llegó a los directorios, y el proyecto del Gobierno lo deja intacto:

Con la UTM actual, el tope de las gravísimas ronda los 1.400 millones de pesos. Para empresas que no califican como de menor tamaño, la reincidencia en infracciones graves o gravísimas escala a hasta el triple de la multa o al 2% y 4% de los ingresos anuales, lo que sea mayor. Dos piezas completan el cuadro: El Registro Nacional de Sanciones y Cumplimiento, público, que hace visible cada multa para clientes, competencia y prensa; y el MPI, voluntario, que funciona como atenuante y como señal de diligencia. Adoptarlo exige designar un delegado de protección de datos.

¿Qué exige la ley en la práctica?

Reducida a lo operativo, la 21.719 te pide poder responder seis preguntas con evidencia:

1. ¿Con qué derecho tratas cada dato? Toda operación necesita una base de licitud: Consentimiento, contrato, obligación legal, interés vital, interés público o interés legítimo. El consentimiento deja de ser el único camino, pero la base elegida debe estar identificada y documentada por tratamiento.
2. ¿Puedes atender los derechos de las personas? Acceso, rectificación, supresión, oposición, portabilidad y bloqueo (los derechos ARCO-P), con un plazo de respuesta de 30 días. La portabilidad obliga a entregar los datos en un formato estructurado y reutilizable, y el bloqueo suspende el tratamiento mientras se resuelve una disputa. Atenderlos exige un canal de ingreso, un responsable con plazo controlado y procesos capaces de encontrar los datos de una persona en todos tus sistemas.
3. ¿Sabrías reaccionar a una brecha? La ley obliga a notificar a la Agencia las vulneraciones de seguridad con riesgo razonable para las personas "por los medios más expeditos posibles y sin dilaciones indebidas", y directamente a los afectados cuando se trate de datos sensibles, de menores de 14 años o de información financiera. La ley chilena no copió las 72 horas europeas: "Sin dilación indebida" no tiene colchón fijo, y una empresa que tarda semanas en descubrir sus propias brechas parte perdiendo.
4. ¿Quién responde adentro? El delegado de protección de datos no es obligatorio universal en el sector privado, pero designarlo, con acceso a la dirección, ordena todo lo demás y es requisito si adoptas el MPI.
5. ¿Evaluaste tus tratamientos riesgosos? Las evaluaciones de impacto (EIPD) aplican a perfilamiento sistemático, datos sensibles a gran escala y observación de zonas públicas. La orientación oficial detallada llegará con la Agencia; el estándar práctico hoy es el internacional.
6. ¿Controlas los datos que salen de Chile? Las transferencias internacionales requieren destino adecuado o garantías; las cláusulas contractuales modelo ya fueron aprobadas a fines de 2025, y tus contratos con proveedores cloud y de servicios son el lugar donde esto se juega.

El registro de actividades de tratamiento que sustenta todo esto lo tratamos en detalle en nuestro artículo sobre el RAT: La ley no lo consagra con ese nombre, pero la rendición de cuentas lo vuelve indispensable.

El plan de 90 días, releído con la noticia

El plan que sigue se diseñó para llegar al 1 de diciembre de 2026 cumpliendo. Con el proyecto en trámite, funciona en los dos escenarios: Si el Congreso no lo aprueba, llegas a tiempo; si lo aprueba, llegas un año antes con evidencia fechada y usas 2027 para certificar el MPI y ajustar criterios a los que publique la Agencia.

Días 1 a 30: Saber qué tienes y con qué derecho

El primer bloque es de diagnóstico y gobierno. Nada de lo que viene después funciona sin esto.

• Inventario de tratamientos: Qué datos personales tienes, de quiénes, dónde viven (sistemas, planillas, proveedores), quién accede y para qué. Incluye los tratamientos menos visibles: RR.HH., marketing, cámaras, postventa.
• Base de licitud por tratamiento: La pregunta "¿con qué derecho?" aplicada fila por fila al inventario. Aquí aparecen los hallazgos incómodos (bases de datos compradas, consentimientos que no existen) y es mejor encontrarlos tú que un denunciante.
• Gobierno: Designa al responsable del programa (el candidato natural a delegado), forma el comité con legal, TI y las áreas dueñas de datos, y lleva el tema al directorio con el mapa de multas y la noticia del proyecto sobre la mesa. El patrocinio ejecutivo en la semana 2 vale más que un presupuesto en la semana 10.
• Quick win del bloque: Actualiza tu política de privacidad y avisos de información al estándar de la nueva ley. Es visible, es exigible y muestra diligencia.

Días 31 a 60: Construir los procesos que la ley va a probar

El segundo bloque convierte el diagnóstico en músculo operativo.

• Canal y proceso ARCO-P: Un punto de entrada visible para solicitudes de derechos, un flujo interno con responsable y el reloj de 30 días corriendo desde el ingreso. Pruébalo con solicitudes simuladas.
• Procedimiento de brechas: Detección, evaluación de riesgo para las personas, decisión de notificar (Agencia y afectados según el caso) y plantillas listas. Conéctalo con tu plan de respuesta a incidentes: La brecha de datos casi siempre llega envuelta en un incidente de seguridad, y las empresas bajo la Ley 21.663 ya tienen relojes corriendo por ese lado.
• Contratos y transferencias: Revisa los contratos con encargados de tratamiento (cloud, nóminas, marketing, cobranza) e incorpora las cláusulas modelo en las transferencias internacionales. Tu exposición incluye lo que tus proveedores hacen con los datos que les pasas.
• Seguridad proporcional: Cifrado, control de accesos, registro de actividad y respaldo de los repositorios con datos personales críticos suben al primer lugar de la lista técnica.

Días 61 a 90: Blindar con evidencia y decidir el MPI

El tercer bloque separa "hicimos cosas" de "podemos demostrarlo".

• Evalúa el MPI ahora: Si tu empresa trata datos a escala relevante, el Modelo de Prevención de Infracciones es la mejor relación costo-beneficio del sistema. Según su reglamento exige delegado, protocolos de prevención y certificación con vigencia de tres años, revocable por incumplimiento. Diseñarlo toma semanas, y con un año extra de tramitación, certificarlo antes de la vigencia pasa de deseable a alcanzable.
• EIPD de los tratamientos de alto riesgo: Al menos las críticas (perfilamiento, datos sensibles, monitoreo), documentadas con metodología reconocida.
• Capacitación con registro: Las personas que tocan datos deben conocer las reglas nuevas, y la asistencia debe quedar registrada.
• Carpeta de evidencia: Inventario, bases de licitud, políticas, procesos ARCO-P y de brechas, contratos, EIPD, actas de directorio y capacitaciones, ordenados y fechados. Si la vigencia se mueve a 2027, esa carpeta con fecha de 2026 es la prueba de diligencia más sólida que vas a tener el día que la Agencia pregunte.

Una advertencia de calendario: Este plan asume dedicación real desde septiembre. Cada semana que el proyecto de ley se use como razón para esperar se descuenta del bloque tres, que es el que produce la evidencia.

Preguntas rápidas sobre la postergación

¿Ya se postergó la Ley 21.719?

No. El 1 de septiembre de 2026 el Gobierno ingresó al Senado un proyecto con suma urgencia para mover la vigencia al 1 de diciembre de 2027. Hasta que el Congreso lo apruebe y se publique en el Diario Oficial, la fecha vigente es el 1 de diciembre de 2026.

¿Conviene frenar el programa de cumplimiento hasta que se resuelva?

Los deberes de la ley 19.628 siguen vigentes, las obligaciones de la Ley 21.663 y de la CMF no cambian, y tus clientes y aseguradoras ya piden evidencia. Lo razonable es mantener el plan y usar el eventual año extra para certificar el MPI y ajustar criterios cuando la Agencia publique los suyos.

¿La ley aplica a las pymes?

Sí. Toda organización que trate datos personales está cubierta. Las empresas de menor tamaño quedan fuera del régimen agravado de reincidencia (el 2% y 4% de ingresos), no de las multas base.

¿Necesito un DPO obligatoriamente?

En el sector privado, no de forma universal: Es obligatorio si adoptas el Modelo de Prevención de Infracciones y recomendable en cualquier caso, porque ordena la gobernanza y opera como señal de diligencia.

¿Sirve lo que ya hice por la Ley 21.663?

Sirve y mucho: La gestión de incidentes, la seguridad de la información y la gobernanza que exige la Ley Marco de Ciberseguridad son la base técnica de los deberes de seguridad de la 21.719. Los programas bien diseñados comparten inventario, procesos y evidencia.

Autodiagnóstico: ¿Dónde estás parado hoy?

Seis preguntas, una por cada frente que la ley va a probar. Responde sí o no:

Cómo puede ayudarte Netprovider

Netprovider acompaña programas de cumplimiento de la Ley 21.719 integrados con la seguridad que la sustenta, para organizaciones en Chile y Perú:

• Consultoría GRC y Gobierno de Datos: Inventario de tratamientos, bases de licitud, procesos ARCO-P y de brechas, y diseño del MPI con su carpeta de evidencia.
• DPO as a Service: El delegado de protección de datos con experiencia práctica, sin la contratación ejecutiva completa, integrado con tu equipo legal.
• CyberSOC 24/7: La detección que hace posible notificar brechas "sin dilaciones indebidas". Lo que descubres tarde no se puede reportar a tiempo.

¿Quieres saber cómo queda tu programa con la noticia de esta semana? Conversemos: Un diagnóstico de brechas contra la 21.719 toma días y ordena el trimestre, con o sin postergación.

Fuentes

• Ley 21.719 - Biblioteca del Congreso Nacional
• Diario Financiero - Gobierno ingresa al Congreso proyecto que posterga por un año la Ley de Protección de Datos (1-sep-2026)
• La Tercera - Gobierno ingresa proyecto que posterga en un año la entrada en vigencia (1-sep-2026)
• trendTIC - Los cambios que plantea el Gobierno (1-sep-2026)
• BioBioChile - Gobierno estudia aplazar un año la nueva ley (27-ago-2026)
• Garrigues - Moción parlamentaria boletín 18.060-07 (ene-2026)
• Senado de Chile - Rechazo de la terna de consejeros de la Agencia (may-2026)
• DS 662/2025 - Reglamento del Modelo de Prevención de Infracciones (BCN)
• IAPP - ¿Estamos preparados para la entrada en vigor? (feb-2026)
• PwC Chile - Encuesta de Protección de Datos Personales
• ANPD Brasil - Primera multa por la LGPD