El 1 de septiembre de 2026 el Gobierno ingresó al Senado un proyecto de ley que posterga un año la entrada en vigencia de la Ley 21.719: del 1 de diciembre de 2026 al 1 de diciembre de 2027. Es el Mensaje N° 110-374, firmado el 31 de agosto, y entró con suma urgencia. Lo primero que hay que decir, porque ya circula como si fuera un hecho: es un proyecto, no una ley. Mientras el Congreso no lo apruebe y se publique en el Diario Oficial, la fecha vigente sigue siendo el 1 de diciembre de 2026.
Este artículo explica qué propone exactamente el proyecto, por qué el Gobierno lo presentó, qué cambia para una empresa chilena si se aprueba, qué no cambia de ninguna manera, y qué conviene hacer con el tiempo extra en vez de guardarlo en un cajón. Es orientación práctica basada en el texto del mensaje presidencial y en lo que vemos implementando cumplimiento en empresas; no es asesoría legal para tu caso.
Estado al 2 de septiembre de 2026: proyecto ingresado al Senado, Boletín 18623-07, con suma urgencia. Sin votación todavía. Este texto se actualiza a medida que avance la tramitación.
1 dic 2026
Fecha vigente hoy, mientras el proyecto no se apruebe
1 dic 2027
Fecha propuesta por el Gobierno (Mensaje 110-374)
3 → 5
Consejeros de la Agencia si se aprueba el proyecto
Qué dice exactamente el proyecto
El proyecto tiene un artículo único y dos disposiciones transitorias. Modifica la Ley 21.719 en cinco puntos.
- Nueva fecha de vigencia: 1 de diciembre de 2027. Reemplaza la fecha actual, que es el 1 de diciembre de 2026. Es el cambio central y el único que la mayoría va a leer.
- Consejo Directivo de la Agencia de cinco miembros, no tres. Mantiene períodos de seis años sin reelección, renovación parcial cada dos años, y sube el quórum de dos a tres consejeros. El mensaje argumenta que tres personas no alcanzan para las competencias que la ley le entrega a la Agencia de Protección de Datos Personales.
- Designación anticipada del primer Consejo. Deberá nombrarse a más tardar doce meses antes de la vigencia, no seis como hoy. El Presidente propone los cinco nombres en un solo acto, el Senado los vota como paquete con dos tercios de los senadores en ejercicio, y si no se pronuncia en plazo, la propuesta se entiende aceptada. Los consejeros reciben remuneración y quedan con dedicación exclusiva desde el nombramiento.
- Amonestación del primer año para todas las empresas. Hoy el artículo sexto transitorio permite que, durante los primeros doce meses, la Agencia aplique amonestación escrita en vez de multa solo a las empresas de menor tamaño. El proyecto elimina esa restricción: la amonestación podría aplicarse a cualquier obligado. Sigue siendo facultativa y sigue quedando inscrita en el Registro Nacional de Sanciones y Cumplimiento.
- Período de adecuación explícito. El mensaje declara que el año adicional es para que organismos públicos, municipalidades, servicios y entidades privadas adecuen sistemas, procesos y estructuras, y para que la Agencia dicte regulación secundaria y criterios antes de fiscalizar.
Lo que el proyecto no toca: las obligaciones de fondo de la ley, los derechos de las personas, el régimen de multas y la definición de dato sensible. Todo eso queda igual, solo se corre la fecha en que la Agencia puede exigirlo.
Por qué el Gobierno propone postergar
La razón de fondo es institucional. La propia Ley 21.719 ordenaba que la Agencia de Protección de Datos Personales estuviera operativa a más tardar el 1 de junio de 2026, y a septiembre de 2026 todavía no está instalada. Sin Agencia no hay quien dicte los reglamentos pendientes, resuelva consultas ni fiscalice, y los gremios de grandes empresas llevaban meses advirtiendo la falta de certeza jurídica que eso genera.
El biministro de Economía, Daniel Mas, lo resumió así al presentar el proyecto: “No queremos menos protección de los datos personales, queremos que esta nueva legislación funcione correctamente desde el primer día”. El mensaje presidencial agrega el contexto económico y la amplitud de sectores alcanzados por la norma como razones para una implementación gradual.
Conviene leer eso con calma. La postergación no es un juicio sobre la ley ni una señal de que se va a suavizar. Es el reconocimiento de que el Estado llegó tarde con su parte, y la solución que eligió fue darse un año más a sí mismo y, de paso, a todos los obligados.
Qué cambia para tu empresa si se aprueba
| Punto | Ley vigente hoy | Si el proyecto se aprueba |
|---|---|---|
| Fecha desde la que la Agencia puede fiscalizar y sancionar | 1 de diciembre de 2026 | 1 de diciembre de 2027 |
| Primer año de vigencia | Amonestación en vez de multa solo para pymes (Ley 20.416), a criterio de la Agencia | Amonestación posible para cualquier empresa, a criterio de la Agencia |
| Obligaciones: registro de tratamientos, derechos ARCOP, brechas en 72 horas, evaluaciones de impacto, decisiones automatizadas | Exigibles desde diciembre de 2026 | Las mismas, exigibles desde diciembre de 2027 |
| Multas | Hasta 5.000, 10.000 y 20.000 UTM según gravedad, y hasta el 4% de los ingresos anuales en casos calificados | Sin cambios |
| Agencia de Protección de Datos | Consejo de 3, designado 6 meses antes | Consejo de 5, designado 12 meses antes, es decir, a más tardar en diciembre de 2026 |
El segundo punto es el que más cambia la conversación comercial. Hasta ahora, una empresa mediana o grande sabía que desde el día uno arriesgaba multa. Si el proyecto se aprueba tal como entró, durante el primer año la Agencia podría amonestar a cualquiera antes de multar. Eso baja la presión sancionatoria inmediata para todos, y sube la importancia de lo otro: la amonestación queda registrada, y ese registro es público para quien contrata contigo.
¿Sabes qué cláusulas de datos ya te están pidiendo tus clientes grandes? Revisamos qué exigen hoy tus contratos y licitaciones, y qué evidencia te falta para acreditarlo, con o sin prórroga. 20 minutos, sin compromiso.
Agenda tu consultoría gratuita →Qué no cambia, se apruebe o no
Las obligaciones son las mismas
El inventario de tratamientos, la respuesta a solicitudes de acceso, rectificación, cancelación, oposición y portabilidad en 30 días, la notificación de brechas en 72 horas, la evaluación de impacto cuando usas perfilamiento o inteligencia artificial, y las garantías frente a decisiones automatizadas. Nada de eso se modifica. Si quieres el detalle de cada una, está en qué exige la Ley 21.719 a las empresas.
Hoy ya hay una ley de datos vigente
La 21.719 modifica la Ley 19.628, que rige desde 1999 y sigue aplicándose. Los tribunales y el SERNAC ya han sancionado tratamientos abusivos de datos bajo la ley antigua. La postergación corre la fecha de la Agencia y de las multas nuevas, no crea un vacío en que todo esté permitido.
Los contratos con tus clientes grandes
Este es el punto que la mayoría de las pymes subestima. Bancos, retail, empresas de servicios públicos y organismos del Estado responden por sus encargados de tratamiento, y desde hace meses están metiendo cláusulas de protección de datos en contratos y licitaciones, exigiendo a sus proveedores acreditar cumplimiento. Esa exigencia no depende de la fecha de la ley; depende de la política de riesgo del cliente, y no se va a postergar. Para una pyme proveedora, quedar fuera de una licitación por no poder acreditar cumplimiento llega antes que cualquier fiscalización.
La transferencia internacional y los datos sensibles
Si tu empresa manda datos a servidores fuera de Chile, usa herramientas de IA extranjeras con datos de clientes o trata datos de salud, la categoría de infracción es la más grave y no distingue por tamaño de empresa. El año extra no cambia esa clasificación; cambia solo cuándo empiezan a cobrarla.
Tres escenarios y qué hacer en cada uno
Nadie sabe hoy cómo ni cuándo saldrá el proyecto. Con suma urgencia, cada cámara tiene quince días para despacharlo, pero la urgencia se renueva y se pierde con frecuencia. Lo razonable es planificar para los tres casos.
- Se aprueba antes de diciembre de 2026. Es el escenario más probable dado que entró con urgencia y con apoyo de los gremios. Ganas un año. Lo peor que puedes hacer con él es no usarlo: la Agencia se instalaría en diciembre de 2026 y pasaría 2027 dictando criterios y observando el mercado antes de fiscalizar.
- Se aprueba, pero tarde. Si la tramitación se estira y la ley vigente llega al 1 de diciembre de 2026 sin cambio publicado, ese día entra en vigencia igual. Es el escenario donde más se arrepiente quien paró todo en septiembre.
- No se aprueba. Poco probable, pero posible si el Congreso prioriza otras cosas. En ese caso todo sigue como estaba: diciembre de 2026.
La conclusión es la misma en los tres: seguir avanzando, pero cambiar el ritmo y el orden. Ya no se trata de correr para tener un documento antes de diciembre, sino de usar los meses que vienen para hacer las cosas que son caras de rehacer si se hacen apuradas.
Qué hacer con el año extra
Si el plazo se corre, el orden de prioridades cambia. Esto es lo que recomendamos poner primero.
- El inventario de datos, bien hecho. Es la base de todo lo demás y lo único que no se puede improvisar el último mes. Qué datos tienes, de quién, para qué, con qué base legal, quién los ve y cuánto tiempo los guardas. El checklist paso a paso parte por aquí.
- El Modelo de Prevención de Infracciones. Su reglamento ya existe: es el Decreto 662 del Ministerio de Hacienda, publicado en julio de 2025, que regula cómo se implementa, certifica y registra el modelo de los artículos 49 a 53 de la ley. Es voluntario, pero un modelo certificado es la principal atenuante de multa y la mejor carta para acreditar cumplimiento ante un cliente grande. Con un año más, es alcanzable para una empresa mediana.
- Los sistemas antes que las políticas. Un portal para que las personas ejerzan sus derechos, un flujo para responder en plazo, un registro de consentimientos, un protocolo de brechas que alguien haya probado. Se construyen una vez y sirven bajo cualquier fecha. Si tu operación usa IA sobre datos de clientes, la evaluación de impacto y la trazabilidad de decisiones van en el diseño del sistema, no en un anexo.
- Cerrar el flanco de los proveedores. Revisar con quién compartes datos (nube, agencias, software de terceros, herramientas de IA) y dejar por escrito qué hacen con ellos. Es lo primero que revisa un cliente grande cuando audita.
- Las políticas y los textos, al final. Política de privacidad, avisos y cláusulas se escriben rápido cuando lo anterior existe, y se escriben mal cuando se hacen primero para “tener algo”.
¿Tu inventario de datos existe, o es una planilla a medio hacer? Te decimos en qué punto está tu empresa y qué conviene hacer primero con el calendario nuevo, ordenado por lo que más cuesta rehacer tarde.
Agenda tu consultoría gratuita →Un dato de contexto: la Cámara de Comercio de Santiago publicó esta semana una guía de diez pasos para pymes sobre la nueva ley. Que el gremio saque una guía el mismo día que el Gobierno pide postergar dice bastante sobre cómo lee el mercado la señal: más tiempo, no menos exigencia.
El error de esperar a que se apruebe
Después de la noticia, la reacción más común que hemos visto en empresas es congelar el proyecto de cumplimiento “hasta ver qué pasa”. Tiene tres costos que no se ven de inmediato.
El primero es técnico: todo sistema que hoy captura datos de personas (un CRM, un formulario web, un chatbot, un software de agenda) se está construyendo o modificando sin las reglas de la ley, y adaptarlo después cuesta varias veces más que hacerlo bien ahora. El segundo es comercial: los clientes grandes no esperan al Congreso, y la empresa que puede mostrar un inventario y un modelo de prevención gana licitaciones que la que “está viendo” pierde. El tercero es de plazo: si el proyecto se traba y diciembre de 2026 llega con la ley vigente, el tiempo perdido no se recupera.
Si quieres saber en qué punto está tu empresa y qué conviene hacer primero con el calendario nuevo, en cumplimiento de la Ley 21.719 puedes agendar un diagnóstico de 20 minutos. Sales con las brechas ordenadas por costo de arreglarlas tarde, que es el criterio que importa cuando la fecha se mueve. Y si tu preocupación es la parte de seguridad, la Ley 21.663 de ciberseguridad no está en este proyecto y sigue su propio calendario.
Preguntas frecuentes
¿Se postergó la Ley 21.719 de protección de datos?
Todavía no. El 1 de septiembre de 2026 el Gobierno ingresó al Senado un proyecto de ley, el Mensaje N° 110-374, que propone postergar la entrada en vigencia del 1 de diciembre de 2026 al 1 de diciembre de 2027. Mientras el Congreso no lo apruebe y se publique en el Diario Oficial, la fecha vigente sigue siendo el 1 de diciembre de 2026.
¿Cuándo entra en vigencia la Ley 21.719 si se aprueba la postergación?
El 1 de diciembre de 2027. Es la fecha que fija el numeral 2 del artículo único del proyecto. Además, el primer Consejo Directivo de la Agencia de Protección de Datos Personales debería designarse a más tardar doce meses antes, es decir, hacia diciembre de 2026, para que el organismo se instale y dicte criterios durante 2027.
¿Qué propone el proyecto además de cambiar la fecha?
Ampliar el Consejo Directivo de la Agencia de tres a cinco miembros y subir su quórum de dos a tres; adelantar la designación del primer Consejo de seis a doce meses antes de la vigencia, con votación del Senado en un solo acto por dos tercios; y extender a todas las empresas, no solo a las pymes, la posibilidad de que la Agencia aplique amonestación escrita en vez de multa durante el primer año de vigencia.
¿Cambian las multas de la Ley 21.719 con la postergación?
No. El proyecto no modifica el régimen de sanciones: las multas siguen escalando hasta 5.000, 10.000 y 20.000 UTM según la gravedad de la infracción, con la posibilidad de llegar al 4% de los ingresos anuales en los casos calificados. Lo que cambia es la fecha desde la que la Agencia puede aplicarlas y la posibilidad de amonestar a cualquier empresa durante el primer año.
¿Tengo que seguir preparando a mi empresa si la Ley 21.719 se posterga?
Sí, cambiando el ritmo y el orden. Las obligaciones son las mismas y solo se corre la fecha de fiscalización. Conviene usar el tiempo extra en lo que es caro de rehacer apurado: el inventario de datos, los sistemas para responder solicitudes y notificar brechas, la evaluación de impacto si usas IA, y el Modelo de Prevención de Infracciones, cuyo reglamento ya está publicado. Los contratos con clientes grandes que exigen acreditar cumplimiento no se postergan.
¿Qué pasa con las pymes y la amonestación del primer año de la Ley 21.719?
Con la ley vigente, durante los primeros doce meses la Agencia puede aplicar amonestación escrita en vez de multa a las empresas de menor tamaño según la Ley 20.416. El proyecto elimina esa distinción y permite la amonestación para cualquier obligado. En ambos casos es facultativa, no un derecho de la empresa, y queda inscrita en el Registro Nacional de Sanciones y Cumplimiento, que es visible para clientes y licitaciones.