Chile posterga al 2027 la Ley 21.719 de Protección de Datos

El gobierno chileno mueve la fecha y abre un nuevo año de incertidumbre

El Ejecutivo ingresó al Senado, con suma urgencia, un proyecto de un artículo único y dos disposiciones transitorias que posterga hasta el 1 de diciembre de 2027 la entrada en vigencia de la Ley 21.719, originalmente fijada para el 1 de diciembre de 2026. La iniciativa también amplía de tres a cinco los integrantes del Consejo Directivo de la futura Agencia de Protección de Datos Personales y establece su renovación parcial cada dos años.

La propuesta no toca el núcleo del nuevo régimen —derechos, obligaciones, multas y sanciones se mantienen— pero redefine el calendario y la estructura del organismo que debe aplicarlo. La discusión quedó radicada en las comisiones de Constitución y Hacienda del Senado.

Por qué se posterga: una agencia que nunca se instaló

El mensaje del Ejecutivo reconoce que la institucionalidad no está lista. La Ley 21.719 fue aprobada en 2024, pero el camino regulatorio se trabó en los plazos políticos:

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

En mayo pasado, el Senado rechazó la terna propuesta por el Presidente José Antonio Kast para integrar el Consejo Directivo de la agencia.
En junio, venció el plazo legal — seis meses antes de la entrada en vigencia — para designar a los consejeros, lo que dejó al país sin regulador operativo a pocas semanas del 1 de diciembre.

El biministro de Economía y Minería, Daniel Mas, dijo que la prórroga busca «resguardar el objetivo de la nueva legislación y, al mismo tiempo, asegurar que pueda aplicarse de manera efectiva», y que el período adicional permitirá a organismos del Estado, municipalidades, servicios públicos y privados «adecuar sus sistemas, procesos y estructuras internas» sin costos de una implementación apresurada. La negociación con parlamentarios ya había sido adelantada la semana previa por ADN Radio, que reportó que el Ejecutivo buscaba precisamente que la agencia arrancara a fines de 2026 y la ley corriera desde diciembre de 2027.

Qué cambia con el proyecto: Consejo de 5, dedicación exclusiva y nueva fecha

El texto del Ejecutivo introduce cuatro ajustes concretos:

Nueva entrada en vigencia: 1 de diciembre de 2027.
Consejo Directivo: pasa de 3 a 5 consejeros, con renovación parcial cada dos años.
Designación anticipada: la primera designación deberá hacerse a más tardar el 1 de diciembre de 2026, es decir, doce meses antes de la entrada en vigencia, para que el organismo esté instalado y operativo cuando la ley cobre efecto. Si a la publicación de esta reforma quedan menos de doce meses para esa fecha, la designación deberá concretarse dentro de los 10 días siguientes.
Dedicación exclusiva y remuneración mensual desde el nombramiento: los consejeros deberán participar desde ya en la instalación de la agencia, elaboración de normas, políticas internas y estatutos.

El mayor gasto fiscal del primer año se financiará con cargo al presupuesto del Ministerio de Economía y, de ser necesario, con la partida del Tesoro Público.

Las multas y el régimen sancionatorio que siguen vigentes

Aunque se mueve el calendario, el corazón de la ley no se toca. La normativa aplica a personas naturales, jurídicas y órganos del Estado que traten datos personales, y contempla:

Multas de hasta UTM 20 mil — alrededor de $1.400 millones — según el texto citado por DF.
Sanciones por reincidencia en infracciones graves y gravísimas, aplicables solo a grandes compañías.
La futura Agencia dictará normas e instrucciones y ejercerá la fiscalización y sanción.

El ministro secretario general de la Presidencia, José García Ruminot, pidió al Congreso avanzar con rapidez: «Esperamos que este proyecto genere un amplio consenso y avance con rapidez en el Congreso. Es una iniciativa necesaria para asegurar una implementación seria y responsable de la nueva ley».

Las críticas: lobby, señales al mundo y empresas que ya se prepararon

La postergación no cayó bien en todos los sectores. Felipe Harboe, socio de H&CO Abogados y exsenador, sostuvo que el retraso «no habla bien del país» y apuntó a «presiones de industrias que ven en la postergación la posibilidad de seguir usando de manera indiscriminada los datos de las personas». Propuso una fórmula intermedia: aplazar solo el capítulo de fiscalización y sanciones, manteniendo los plazos para el resto del cuerpo legal, para no debilitar el compromiso de Chile con la Unión Europea en materia de adecuación.

En el Senado, el senador Matías Walker (citado por ADN Radio) había calificado como «muy negativo» e «inaceptable» aplazar la aplicación por falta de acuerdo para nombrar al consejo.

La mirada del mercado asegurador es ambivalente. El director ejecutivo de la Asociación de Aseguradores de Chile, Marcelo Mosso, valoró el plazo extra y abrió una oportunidad: pidió revisar el tratamiento de datos con fines estadísticos y de tarificación, «sin una base legal expresa» en la nueva ley, lo que deja sin piso a procesos clave del sector.

Desde el lado de las empresas que ya cumplieron, el mensaje es otro. Stella Muñoz, socia de FerradaNehme y jefa del área de data privacy y ciberseguridad, recordó que las compañías obligadas debían prepararse desde 2024, cuando la ley fue sancionada. A su juicio, la prórroga «afecta los compromisos asumidos como país y perjudica a las empresas que ya realizaron la inversión para estar listas el 1 de diciembre de 2026».

¿Qué significa esto para tu startup?

El aplazamiento redefine el reloj regulatorio para cualquier empresa que trate datos de personas en Chile. Tres implicancias prácticas para founders:

No aflojar el compliance. Aunque la nueva fecha es diciembre de 2027, los grandes compradores y socios europeos pueden exigir niveles equivalentes a GDPR desde ya. Como apuntó Harboe, «las compañías que ya lo hicieron no contratarán servicios que las pongan en riesgo». Esperar a último momento te puede dejar fuera de deals.
Auditar ya, aunque la multa se demore. Ruby Soteras, socia de Deloitte Legal, advirtió que la fecha de entrada funcionaba como «acelerador» del cambio cultural; al moverse, «ese impulso se desvanece». Conviene fijar un deadline interno (idealmente antes de fin de 2026) para tener consentimiento, registro de tratamiento, base legal y DPA firmados con proveedores, independientemente del calendario legal.
Revisar cláusulas específicas por sector. Aseguradoras, fintech, healthtech y edtech usan datos sensibles y de tarificación. Si tu modelo depende de scoring, segmentación o análisis estadístico, la prórroga abre una ventana para confirmar que tu base legal está cubierta y no depende de un vacío transitorio.

Para los equipos más maduros, el año extra es oportunidad de certificar y documentar. Para los rezagados, es una señal de alerta: la próxima fecha es vinculante, y la multa — hasta UTM 20 mil — ya está escrita en el papel.