La Ley N° 21.719, que regula el tratamiento de datos personales en Chile y crea la Agencia de Protección de Datos Personales, entra en vigencia el 1 de diciembre de 2026. Faltan 42 días.
El 1 de septiembre el Ejecutivo presentó un proyecto para postergarla hasta el 1 de diciembre de 2027. Ese proyecto lleva 49 días en la Comisión de Constitución del Senado sin informe, mientras el Gobierno le puso 5 mensajes de urgencia en 5 semanas.
La respuesta práctica, antes de todo lo demás: hoy la ley entra en vigencia el 1 de diciembre. Un proyecto en primer trámite no cambia una fecha legal, y a 42 días no es algo sobre lo que convenga apostar. Si tratás datos personales de gente en Chile, el calendario que manda sigue siendo el de diciembre de 2026.
Ley 21.719: de la publicación en diciembre de 2024 a la vigencia en 2026
Las fechas no salen de una interpretación: están en el Mensaje del propio Ejecutivo que acompaña al proyecto. Ahí consta que la ley se publicó el 13 de diciembre de 2024 y que su artículo primero transitorio fijó la vigencia "el día primero del mes vigésimo cuarto posterior a la publicación de la ley en el Diario Oficial, esto es, el 1 de diciembre de 2026".
Y ahí consta también algo que explica el apuro: el plazo para designar el Consejo Directivo de la Agencia ya se había corrido una vez. El artículo cuarto transitorio original pedía la designación dentro de los 60 días anteriores a la vigencia. El artículo 54 de la Ley N° 21.806 —la de reajuste de remuneraciones del sector público— lo llevó a seis meses antes, o sea al 1 de junio de 2026. Esa fecha pasó hace más de cuatro meses.
Qué pide el boletín 18.623-07, numeral por numeral
El numeral 4 es el que más conviene leer con atención, y es el más fácil de leer al revés. Lo que hace, textual, es "eliminar la referencia a empresas de menor tamaño y hacer aplicable lo dispuesto en ese artículo a todos los obligados por esta ley".
Para saber si eso conviene o no hay que saber qué dice el artículo sexto transitorio, y el Mensaje lo describe: hoy ese artículo limita a las empresas de menor tamaño la facultad de la Agencia de aplicar una amonestación por escrito durante los primeros 12 meses de vigencia de la ley. O sea que el régimen sancionatorio más blando del primer año hoy es un beneficio reservado a las empresas chicas.
Leído así, el numeral 4 no les saca nada a las empresas chicas: les extiende ese régimen a todas. El Mensaje lo justifica porque "las adecuaciones jurídicas, técnicas y organizacionales exigidas por la nueva regulación comprenden a todos los responsables de datos".
Dos límites que el propio Mensaje deja escritos y que conviene no perder de vista: la amonestación sigue siendo facultativa —la Agencia puede amonestar en lugar de sancionar, no está obligada a hacerlo— y se incorpora igual al Registro Nacional de Sanciones y Cumplimiento. No es un año de gracia: es una herramienta más blanda, disponible para cualquiera, que queda registrada.
Y hay un detalle de ingeniería legislativa que vale la pena notar. El proyecto pide que la designación del Consejo se haga a más tardar 12 meses antes de la vigencia. Si la vigencia pasa al 1 de diciembre de 2027, esos 12 meses antes caen el 1 de diciembre de 2026: exactamente la fecha en que la ley iba a entrar en vigencia. Y por si llega tarde, el proyecto trae un artículo transitorio propio: si al publicarse faltan menos de 12 meses, la designación se hace dentro de los 10 días siguientes.
5 mensajes de urgencia en 5 semanas y ningún informe de comisión
Esto sale del registro de tramitación del Senado, que sí se puede leer y es la fuente primaria del estado del proyecto.
El registro muestra el proyecto en primer trámite constitucional, en la subetapa de primer informe de la Comisión de Constitución, con estado "en tramitación". Y muestra cinco mensajes de urgencia de tipo "suma" en cinco semanas: dos el 1 de septiembre, uno el 8, uno el 22 y el vigente el 6 de octubre. Los tres últimos retiran la urgencia anterior y la vuelven a presentar en el mismo acto.
Las secciones de informes, oficios e indicaciones están vacías. A 49 días del ingreso, la comisión no emitió su primer informe.
La lectura honesta de eso no es que el proyecto esté muerto: la urgencia renovada muestra que el Ejecutivo lo quiere. Es que a 42 días de la fecha, el cambio no existe todavía como ley, y una empresa no puede planificar sobre un proyecto en primer trámite.
¿A quién afecta la Ley 21.719 de Chile?
A quien trate datos personales de personas en Chile, y eso incluye más empresas de las que suelen darse por aludidas:
Si tenés empresa en Chile, te toca directo, sin importar el tamaño. Según el Mensaje, la Ley 21.719 modifica tres cuerpos legales en sus artículos primero, segundo y tercero permanentes: la Ley N° 19.628 sobre protección de la vida privada —que es la norma con la que se venía trabajando, y donde la nueva ley introdujo un Título VI completo—, la Ley N° 20.285 sobre acceso a la información pública y la Ley N° 19.496 de protección de los derechos de los consumidores.
Si estás fuera de Chile pero tenés clientes, usuarios o empleados chilenos, conviene revisarlo con un abogado del país antes de descartarlo. Las leyes de datos personales modernas suelen alcanzar el tratamiento de datos de personas en el territorio, no solo a las empresas domiciliadas ahí, y este es el punto donde una PyME regional se lleva la sorpresa.
Si sos proveedor de servicios de IT o de software para empresas chilenas, vas a recibir preguntas de tus clientes sobre esto, y la forma de responderlas está en cómo contestar un cuestionario de seguridad de un cliente.
Lo que no cambia según el tamaño es la obligación de cumplir. La única distinción por tamaño que está en juego es la del artículo sexto transitorio —la amonestación por escrito del primer año, hoy reservada a las empresas de menor tamaño— y el numeral 4 del proyecto apunta a extenderla a todos, no a quitarla.
¿Quién puede ignorar el 1 de diciembre?
Nadie que trate datos personales de personas en Chile, y con 42 días no hay margen para esperar a ver qué pasa con el proyecto.
Quien ya cumple con un régimen más exigente —típicamente una empresa que se adecuó al reglamento europeo por tener clientes allá— tiene la mayor parte del trabajo hecho, aunque la adecuación formal a la ley chilena sea otra cosa y la tenga que revisar un abogado.
Lo que no sirve como razón para ignorarlo: que la Agencia todavía no esté funcionando. Una obligación legal no depende de que el organismo que la fiscaliza esté instalado, y la fecha de vigencia la fija la ley, no la agencia. Que el Consejo no esté designado cambia el riesgo práctico de una sanción en los primeros meses, no la existencia de la obligación.
¿Cómo sé si mi empresa trata datos personales en Chile?
Esta es la parte que no requiere abogado y conviene hacer esta semana, porque es el insumo de todo lo demás:
- Hacé la lista de dónde hay datos de personas. El CRM, la planilla de sueldos, el sistema de facturación, el formulario de contacto del sitio, la casilla de correo, el sistema de tickets, las cámaras si identifican personas. Es más larga de lo que parece.
- Marcá cuáles incluyen personas en Chile: clientes, usuarios, empleados, postulantes, proveedores unipersonales.
- Anotá quién más los toca. Cada proveedor que procesa esos datos por vos —el hosting, el servicio de correo, el de backup, el de facturación— es parte de la cadena. Y esa cadena es la que te complica cuando pasa algo: el caso de las fallas explotadas en un servidor de backup de proveedores es justamente el escenario donde los datos están en una máquina que no administrás.
- Guardá la lista con fecha. Es el documento que te van a pedir, y tenerlo fechado antes del 1 de diciembre vale más que cualquier declaración posterior.
Con esa lista en la mano, la conversación con un abogado chileno dura una fracción de lo que duraría sin ella, y las medidas técnicas que correspondan salen de ahí: control de acceso, copias con historia, autenticación de dos factores y registro de quién accede a qué.
¿Qué hago en los 42 días que quedan?
En este orden, y asumiendo que la ley entra en vigencia como está escrita:
- Armá el inventario de datos de los 4 pasos de arriba. Sin eso, nada de lo demás se puede dimensionar.
- Revisá los contratos con proveedores que tocan datos personales. Es el punto que más tiempo lleva y el que menos se puede apurar al final.
- Consultá a un abogado chileno con el inventario hecho. Esta nota es periodismo, no asesoría legal: las obligaciones concretas, las bases de licitud y los plazos de notificación los define la ley y los aplica un profesional.
- No reorganices el plan por el proyecto de postergación. Si se aprueba y se publica, ganás un año y el trabajo hecho no se pierde. Si no se aprueba, llegás a diciembre con el inventario listo. Las dos ramas premian lo mismo.
- Seguí el boletín 18.623-07 en el registro del Senado. Es público y se consulta en un minuto; es la única forma de saber si la fecha se movió de verdad.
El encuadre más amplio de qué pide hoy el mercado en materia de seguridad está en la guía de ciberseguridad para PyMEs de LATAM, y lo que exigen las aseguradoras —que suele anticipar lo que después pide la regulación— en la guía de ciberseguro. Los términos, en el glosario.
Una aclaración sobre las fuentes, porque esta nota se apoya en dos documentos y no en coberturas. Lo que sí pude leer: el Mensaje del Ejecutivo del boletín 18.623-07 —un PDF de 14 páginas, con autoría SEGPRES y fecha del 1 de septiembre de 2026—, de donde salen todas las fechas, los numerales y las citas; y el registro de tramitación del Senado, de donde sale el estado y el historial de urgencias. Lo que no pude leer: el texto de la Ley N° 21.719 en el sitio de la Biblioteca del Congreso Nacional, que desde este entorno devuelve una página de carga vacía. Por eso cito el contenido de la ley solo donde el propio Mensaje lo transcribe o lo describe, y lo digo cuando es así: el artículo sexto transitorio es justamente uno de esos casos —lo que afirmo sobre la amonestación del primer año sale de la descripción que hace el Mensaje, no del texto literal del artículo, que no pude leer. Tampoco pude confirmar si hoy existe un Consejo Directivo designado ni qué pasó con designaciones anteriores: el Mensaje no lo dice y no encontré un documento primario que lo establezca, así que no afirmo nada al respecto.
Preguntas frecuentes sobre la Ley 21.719 de Chile
¿La ley entra en vigencia el 1 de diciembre o se postergó?
Al 20 de octubre de 2026 entra en vigencia el 1 de diciembre de 2026. Existe un proyecto del Ejecutivo, el boletín 18.623-07, que la postergaría hasta el 1 de diciembre de 2027, pero está en primer trámite constitucional en el Senado, en la subetapa de primer informe de la Comisión de Constitución, y el registro muestra las secciones de informes e indicaciones vacías. Un proyecto no cambia una fecha legal: hace falta que se apruebe, se promulgue y se publique. A 42 días, planificar sobre eso es apostar.
Si la Agencia no está instalada, ¿igual tengo que cumplir?
Sí. La fecha de vigencia la fija la ley, no el organismo que la fiscaliza. Que el Consejo Directivo de la Agencia no esté designado puede cambiar qué tan probable es una sanción en los primeros meses, pero no suspende la obligación. Vale notar que el plazo para esa designación ya se corrió una vez: el artículo cuarto transitorio original pedía 60 días antes de la vigencia, y el artículo 54 de la Ley N° 21.806 lo llevó a seis meses antes, es decir al 1 de junio de 2026.
Mi empresa no está en Chile pero tengo clientes chilenos. ¿Me aplica?
Es exactamente la pregunta para llevarle a un abogado chileno, y no la voy a responder por vos porque depende del articulado y de cómo trates esos datos. Lo que sí corresponde decir es por qué no conviene descartarlo de entrada: las leyes modernas de datos personales suelen alcanzar el tratamiento de datos de personas que están en el territorio, no solo a las empresas domiciliadas ahí. Si tenés clientes, usuarios o empleados en Chile, la consulta se justifica.
¿El proyecto le da más tiempo a las empresas chicas?
Más tiempo para cumplir, no: la postergación que pide el proyecto corre para todos por igual, sin importar el tamaño. Pero hay un punto donde las empresas chicas dejan de ser el único caso favorecido, y es fácil leerlo al revés. Según el Mensaje, el artículo sexto transitorio hoy limita a las empresas de menor tamaño la facultad de la Agencia de aplicar una amonestación por escrito durante los primeros 12 meses de vigencia. El numeral 4 del proyecto elimina esa referencia al tamaño y hace aplicable ese artículo a todos los obligados. O sea que no les quita el beneficio a las chicas: se lo da también a las grandes. Dos detalles que el Mensaje mantiene: la amonestación es facultativa, y queda anotada en el Registro Nacional de Sanciones y Cumplimiento.
¿Qué puedo hacer en 42 días que sirva de verdad?
El inventario de datos personales, que no requiere abogado y es el insumo de todo lo demás: dónde hay datos de personas, cuáles son de personas en Chile, y qué proveedores los tocan. Guardalo con fecha. Sirve si la ley entra en diciembre y sigue sirviendo si se posterga un año, porque es la base de cualquier adecuación y de cualquier respuesta a un cliente que pregunte. Después de eso, la conversación con un abogado chileno es mucho más corta y más barata.