Postergación de la Ley 21.719 a 2027, qué dice el Boletín 18.623-07

Actualización del 7 de noviembre de 2026. El 4 de noviembre la Comisión de Constitución, Legislación, Justicia y Reglamento de la Cámara de Diputados aprobó el proyecto en general por 7 votos a favor, ninguno en contra y ninguna abstención, y lo despachó a la Comisión de Hacienda. Según la nota de la Cámara del 5 de noviembre, la indicación para extender a todas las empresas la amonestación escrita del primer año no fue aprobada. El estado del trámite está en nuestro artículo sobre la aprobación del Senado. La fecha vigente sigue siendo el 1 de diciembre de 2026.

Actualización del 30 de octubre de 2026. El Senado aprobó este proyecto el 28 de octubre, con cambios, y lo despachó a la Cámara de Diputados. Lo que sigue describe el texto anterior a esa votación. Explicamos lo aprobado en un artículo propio, fechado el 2 de noviembre. La fecha vigente sigue siendo el 1 de diciembre de 2026.

El 1 de septiembre de 2026 ingresó al Senado un mensaje presidencial, fechado el 31 de agosto, que propone postergar la entrada en vigencia de la Ley 21.719 desde el 1 de diciembre de 2026 hasta el 1 de diciembre de 2027. Así consta en el registro de tramitación del Senado, donde el proyecto figura como Boletín 18.623-07 y recibió suma urgencia ese mismo día.

Conviene partir por lo que más importa y suele perderse en los titulares. El proyecto no está aprobado. Es un mensaje en primer trámite constitucional en el Senado, y puede modificarse, demorarse o rechazarse durante la discusión. Mientras no se apruebe y se publique como ley, la fecha que rige sigue siendo el 1 de diciembre de 2026.

Actualización del 26 de octubre de 2026. La Comisión de Constitución, Legislación, Justicia y Reglamento del Senado aprobó por unanimidad la idea de legislar, según informó el Senado el 20 de octubre. El 21 de octubre el Ejecutivo retiró la suma urgencia y la reemplazó por discusión inmediata (Mensaje 397-374). El proyecto sigue en primer trámite, en la etapa de primer informe de esa comisión, y la fecha vigente sigue siendo el 1 de diciembre de 2026. El detalle está más abajo, en la sección sobre cómo va la tramitación.

Qué contiene el proyecto

El mensaje consta de un artículo único con cuatro numerales de modificaciones y dos disposiciones transitorias propias. No deroga la Ley 21.719 ni reemplaza su contenido sustantivo. Ajusta dos cosas, el calendario y la institucionalidad de la Agencia.

La primera es la fecha. El numeral central reemplaza el 1 de diciembre de 2026 por el 1 de diciembre de 2027 como momento desde el cual comienzan a regir las modificaciones que la Ley 21.719 introduce a la Ley 19.628 sobre vida privada, a la Ley 20.285 sobre acceso a la información pública y a la Ley 19.496 sobre protección de los derechos de los consumidores.

La segunda es el tamaño del Consejo Directivo. La Agencia de Protección de Datos Personales fue creada por la propia Ley 21.719 como corporación autónoma de derecho público, técnica y descentralizada, dirigida por un Consejo Directivo de tres miembros. El proyecto lo amplía a cinco y sube el quórum interno de dos a tres integrantes, porque, según el mensaje, tres personas no alcanzan para las competencias que la ley le entrega a la Agencia.

Las otras dos piezas tocan los plazos de designación. Hoy la primera designación del Consejo debe hacerse a más tardar seis meses antes de la entrada en vigencia, y el proyecto lleva ese plazo a doce meses. La primera renovación, por su parte, se adapta a períodos de dos, cuatro y seis años, para que el Consejo no se renueve completo de una vez.

Por qué se pide el aplazamiento

Esta es la parte que explica todo lo demás, y vale la pena leerla con calma porque cambia cómo se interpreta la noticia.

La propia Ley 21.719 ordenaba que la Agencia de Protección de Datos Personales estuviera operativa a más tardar el 1 de junio de 2026. En septiembre de ese año todavía no estaba instalada. El Senado rechazó en mayo la primera propuesta de tres consejeros al no alcanzarse el quórum de dos tercios, y desde entonces el organismo que debe fiscalizar la ley sigue sin Consejo Directivo.

Sin Consejo no hay quien dicte las normas técnicas pendientes, ni quien resuelva consultas, ni quien certifique modelos de prevención de infracciones, ni quien administre el Registro Nacional de Sanciones.

El biministro de Economía, Daniel Mas, lo resumió al presentar el proyecto. No se busca menos protección de los datos personales, dijo, sino que la nueva legislación funcione correctamente desde el primer día.

Recordemos que esta no es la primera corrección al calendario. La Ley 21.806, de reajuste del sector público 2026, ya había ampliado el plazo para la primera designación del Consejo. Es un patrón que vale la pena reconocer, porque explica por qué conviene planificar sobre la fecha corta.

La postergación, por lo tanto, no es un juicio sobre la ley ni una señal de que las obligaciones se vayan a suavizar. Es el reconocimiento de que el Estado llegó tarde con su parte de la implementación, y la salida que eligió fue darse un año más a sí mismo y, de paso, a todos los obligados.

Qué no cambia

El aplazamiento no deroga la ley ni reduce ninguna de sus obligaciones permanentes. Cambia el momento desde el cual serán exigibles, nada más.

Si el proyecto se convierte en ley antes de diciembre de 2026, los nuevos derechos, deberes, infracciones y procedimientos sancionatorios no empezarían a regir ese año. Mientras tanto seguiría aplicándose la versión actual de la Ley 19.628, la de 1999, que llevaba dos décadas sin capacidad real de sanción.

Y el régimen que viene sigue siendo el mismo, con los derechos de acceso, rectificación, supresión, oposición, portabilidad y limitación del tratamiento, el registro de actividades de tratamiento, el delegado de protección de datos cuando corresponda y la notificación de vulneraciones de seguridad. Las multas, en las infracciones más graves, alcanzan las 20.000 UTM, y en reincidencia pueden llegar al 4% de los ingresos anuales por ventas y servicios.

Por qué no conviene esperar

La lectura fácil es que hay un año más y que el proyecto de cumplimiento puede esperar. Nos parece que hay tres razones para no leerlo así.

La primera es jurídica. El proyecto no está aprobado. Una empresa que detiene su adecuación hoy está apostando a un resultado legislativo que todavía no ocurrió, y si el proyecto se traba o se modifica, la fecha de diciembre de 2026 sigue en pie y quedan apenas cinco semanas.

La segunda es operativa. El trabajo real de adecuación no se hace en un mes. Levantar un inventario de datos, identificar la base de licitud de cada tratamiento, revisar los contratos con proveedores y firmar los acuerdos de tratamiento, ajustar formularios y políticas, designar un delegado y dejar en pie el registro de actividades es un proceso que en una empresa mediana toma varios meses. Un año adicional no lo vuelve trivial, solo lo vuelve holgado para quien empieza ahora.

La tercera es de posición negociadora. Cuando el plazo se acerque, todas las empresas van a pedirles las mismas cláusulas a los mismos proveedores al mismo tiempo, y quien las negocia antes llega en mejor posición que quien las negocia con la fecha encima.

Hay además un punto que se comenta poco. La ley no fiscaliza declaraciones de intención, fiscaliza evidencia. Un registro de actividades de tratamiento actualizado y con fechas es lo primero que un fiscalizador va a pedir, y no se improvisa el mes anterior, porque su valor está justamente en mostrar continuidad.

Lo que apareció en la discusión

Dos elementos entraron al debate después del ingreso del proyecto y conviene seguirlos.

El primero es la postergación parcial. Se ha planteado aplazar únicamente el capítulo de fiscalización y sanciones y dejar vigente el resto del régimen, para mantener el sentido de urgencia y permitir que las organizaciones construyan cultura de protección de datos sin la amenaza inmediata de la multa. Si prospera, el efecto práctico sería muy distinto al de una postergación completa.

El segundo es el régimen de amonestación del primer año. El proyecto, tal como entró, permitiría que durante los primeros doce meses de vigencia la primera infracción se cierre con amonestación escrita. Eso baja la presión sancionatoria inmediata, pero sube la importancia de otra cosa, porque la amonestación queda registrada, y ese registro es público para quien contrata con su empresa.

También se ha señalado la necesidad de una norma de coordinación que evite conflictos de competencia entre la Agencia de Datos, la ANCI, la CMF, el Sernac y los reguladores sectoriales. Es un problema real que ninguna versión del proyecto resuelve todavía.

Cómo va la tramitación

El proyecto entró con suma urgencia, que el Ejecutivo fue retirando y renovando en septiembre y octubre. El 20 de octubre el Senado informó que la Comisión de Constitución, Legislación, Justicia y Reglamento había aprobado la idea de legislar con el voto unánime de sus integrantes, y que el Ejecutivo se comprometía a ingresar urgencia para que la comisión pudiera discutirlo en particular. Al día siguiente lo hizo. El 21 de octubre se dio cuenta en sala del Mensaje 397-374, que retiró la suma urgencia e hizo presente la discusión inmediata.

Lo que eso significa es que el proyecto ahora puede moverse rápido. Lo que no significa es que esté aprobado. Sigue en primer trámite constitucional, en el Senado y en la etapa de primer informe de la comisión, y todavía le faltan la discusión en particular, la sala del Senado y el paso por la Cámara de Diputados. Mientras no se publique como ley, la fecha vigente es el 1 de diciembre de 2026. El estado actualizado se puede revisar en la tramitación del Boletín 18.623-07 en el sitio del Senado.

Un plan de adecuación se parece a un barco que zarpa con la marea que hay y no con la que anuncian. Si se construye para la fecha corta, funciona igual si la fecha se corre. Si se construye para la fecha larga y la fecha no se corre, se queda varado.

Para una organización que opera en varios países de la región, conviene mirar esto en contexto. México cambió su marco de datos personales en 2025 y su autoridad ya no es el INAI, y los cuatro países donde solemos trabajar tienen modelos de fiscalización distintos entre sí. Los calendarios no están alineados y conviene no suponer que lo estén.

En Normatic AI trabajamos con esa lógica. La evidencia se acumula desde el día en que se empieza, no desde el día en que la autoridad pregunta.

Este artículo describe el contenido de un proyecto de ley en tramitación y no constituye asesoría legal. Para decisiones concretas sobre su organización, consulte con un profesional.