La fecha legal de la nueva ley de datos personales sigue siendo el 1 de diciembre de 2026. El Senado discute postergarla un año, pero mientras no se apruebe y publique, nada cambia. Si tu empresa tiene una planilla de clientes o una nómina de trabajadores, ya trata datos personales y está dentro de la ley. En este artículo te contamos qué cambia, cuánto cuesta no cumplir y qué hacer en las próximas semanas, haya o no postergación.
¿Se posterga o no?
Todavía no. La Ley 21.719 se publicó el 13 de diciembre de 2024 y su artículo primero transitorio fija la entrada en vigencia el 1 de diciembre de 2026.
El 1 de septiembre de 2026 el Gobierno ingresó al Senado, con suma urgencia, el proyecto que la movería al 1 de diciembre de 2027 (boletín 18.623-07). El motivo principal: la Agencia de Protección de Datos Personales aún no tiene consejo, porque en mayo el Senado rechazó la terna de consejeros.
El 19 de octubre la Comisión de Constitución del Senado aprobó la idea de legislar por unanimidad, 5 votos a 0. Pero el plazo sigue en discusión: algunos senadores piden seis meses en vez de doce, y el Ejecutivo propuso que la Agencia empiece a funcionar de inmediato aunque la ley se postergue.
Qué significa para ti: planificar contando con la postergación es apostar. Aunque salga, la adecuación de una empresa mediana toma meses, y tus clientes pueden exigírtela por contrato antes de que lo haga la Agencia.
Qué cambia para tu empresa
La Ley 21.719 reescribe casi por completo la Ley 19.628 de 1999 y pone a Chile en un estándar cercano al RGPD europeo. Estos son los cambios que más impactan en la operación:
| Tema | Qué exige la ley |
|---|---|
| A quién aplica | A toda persona natural o jurídica que trate datos personales, incluidos los órganos públicos. También a empresas extranjeras que ofrecen bienes o servicios a personas en Chile. |
| Bases de licitud | El consentimiento sigue siendo la regla, pero se suman otras bases: obligación legal, contrato, interés legítimo y otras (art. 13). Datos sensibles: consentimiento expreso, salvo excepciones. |
| Derechos de los titulares | Acceso, rectificación, supresión, oposición, portabilidad y bloqueo. Plazo de respuesta: 30 días corridos, prorrogables una vez. |
| Seguridad | Medidas técnicas y organizativas proporcionales al riesgo. Ante un incidente, la empresa debe acreditar que existían y funcionaban. |
| Vulneraciones (brechas) | Reporte a la Agencia sin dilaciones indebidas cuando hay riesgo razonable para los titulares. Si hay datos sensibles, de menores de 14 años u obligaciones económicas, también aviso a cada titular. |
| Evaluaciones de impacto | Obligatorias antes de tratamientos de alto riesgo: perfilamiento, tratamiento masivo, monitoreo de zonas públicas y ciertos datos sensibles. |
| Transferencias internacionales | Permitidas a países con nivel adecuado o con garantías, como cláusulas contractuales. Clave si usas nube en EE. UU. o Europa. |
| Delegado de protección de datos | Voluntario, pero es la pieza base del modelo de prevención de infracciones, que funciona como atenuante. |
Un punto que suele leerse mal: la ley no fija un plazo en horas para reportar brechas, a diferencia de las 72 horas del RGPD. Eso no es más margen. "Sin dilaciones indebidas" se juzga después, con el incidente sobre la mesa.
Cuánto cuesta no cumplir
La ley de 1999 multaba entre 1 y 50 UTM. La nueva sube el techo a 20.000 UTM, cerca de 1.400 millones de pesos.
| Infracción | Ejemplos | Sanción máxima |
|---|---|---|
| Gravísima | Tratamiento fraudulento; comunicar a sabiendas datos inexactos | Hasta 20.000 UTM |
| Grave | Tratar datos sin base legal; impedir el acceso o la rectificación; incumplir el deber de seguridad | Hasta 10.000 UTM |
| Leve | No responder solicitudes de titulares o hacerlo fuera de plazo | Amonestación o hasta 5.000 UTM |
Con reincidencia, la multa puede triplicarse. Para empresas que no son de menor tamaño, el tope puede llegar al 2 % (graves) o al 4 % (gravísimas) de los ingresos anuales. Durante el primer año de vigencia, la Agencia puede aplicar solo una amonestación escrita a las empresas de menor tamaño: es un margen para partir, no una exención.
Fíjate en algo: la infracción leve más fácil de probar es no responder a tiempo una solicitud. Y la grave más probable para un CISO es incumplir el deber de seguridad.
El ángulo del CISO: un incidente, dos leyes
Si tu empresa además está sujeta a la Ley 21.663 Marco de Ciberseguridad, un mismo incidente puede activar dos reportes: a la ANCI, con plazos en horas (alerta temprana en 3 horas), y a la Agencia de Protección de Datos, si hay datos personales comprometidos.
La recomendación es no tener dos procesos paralelos, sino un solo procedimiento de incidentes con dos salidas:
- Detectar y clasificar el incidente.
- Preguntar al inicio: ¿hay datos personales afectados? ¿hay riesgo razonable para los titulares?
- Correr el reloj de la ANCI y, en paralelo, preparar el reporte a la Agencia y el aviso a titulares cuando corresponda.
- Registrar cada decisión y cada comunicación, para poder demostrar después que no hubo dilaciones.
Lo mismo vale para el deber de seguridad: los controles de ISO 27001 o NIST CSF que ya gestionas son la mejor evidencia de que tus medidas existían y funcionaban.
Qué hacer antes de diciembre
Seis pasos, en orden. Sirven igual si la ley rige en 2026 o en 2027.
- Inventario de tratamientos. Qué datos tratas, para qué, con qué base legal y quién los recibe. Todo lo demás cuelga de aquí.
- Canal de derechos con reloj de 30 días. Un canal, un responsable y un registro de cada solicitud.
- Protocolo de vulneraciones. Criterio de riesgo, quién decide reportar, plantillas para la Agencia y los titulares. Si aplica la Ley 21.663, intégralo con el de la ANCI.
- Evaluaciones de impacto. Parte por perfilamiento y datos sensibles, los casos más comunes.
- Contratos con proveedores. Revisa las cláusulas de quienes tratan datos por ti, en especial la nube fuera de Chile.
- Un dueño del tema. Decide si nombras delegado y si adoptas el modelo de prevención. Aunque sean voluntarios, alguien tiene que liderar todo lo anterior.
En resumen
La postergación puede llegar o no, y nadie sabe todavía en qué versión. Lo que sí sabemos es que cada paso de la lista sirve igual en ambos escenarios. Las empresas que partan ahora llegarán a la fecha con evidencia; las que esperen, con una lista de pendientes.
En CISOFocus ayudamos a los CISO a gestionar riesgos, controles y evidencias en un solo lugar, con la normativa chilena en mente. Si quieres ver cómo ordenar tu programa antes de diciembre, escríbenos.
Ordena tu programa antes de diciembre
CISOFocus reúne riesgos, controles y evidencias en un solo lugar, con la normativa chilena en mente.
Este artículo es informativo y no constituye asesoría legal. Plazos y obligaciones vigentes al 22 de octubre de 2026; valida tu caso con un abogado.
Fuentes
- Ley 21.719, Biblioteca del Congreso Nacional
- Tramitación del boletín 18.623-07, Portal Legislativo del Senado
- Comisión de Constitución aprueba en general la postergación, TrendTIC (19 oct 2026)
- Comisión de Constitución aprueba en general la postergación, Jara del Favero
- Oposición cuestiona plazo de un año, Desenfoque
- Ley 21.719 de Chile: resumen, vigencia y multas, GlobalSuite Solutions
- Proyecto para postergar la entrada en vigor, Garrigues