Ley 21.719: qué hacer antes de diciembre (y por qué la prórroga no te salva)
El Gobierno ingresó un proyecto para postergar la ley un año, pero no se ha votado. Hasta que eso pase, la fecha vigente sigue siendo el 1 de diciembre de 2026. Esto es lo que cambia y qué hacer ahora.
Si buscas "Ley 21.719" hoy vas a encontrar dos titulares contradictorios: unos dicen que entra en vigencia el 1 de diciembre de 2026, otros que se postergó a 2027. Ambos están citando cosas reales, y la diferencia importa.
Dónde está la ley exactamente
La Ley 21.719 se publicó en el Diario Oficial el 13 de diciembre de 2024, con entrada en vigencia a 24 meses: 1 de diciembre de 2026.
El 1 de septiembre de 2026, el Gobierno ingresó al Senado un proyecto que propone postergar esa fecha al 1 de diciembre de 2027. El fundamento es la complejidad de instalar la Agencia de Protección de Datos Personales y dejarla en condiciones de ejercer sus competencias.
Ese proyecto está en las comisiones de Constitución y Hacienda. No se ha votado.
La fecha vigente no ha cambiado
Un proyecto de ley no modifica nada hasta que el Congreso lo aprueba y se publica en el Diario Oficial. Mientras eso no ocurra, la Ley 21.719 entra en vigencia el 1 de diciembre de 2026 — en poco más de dos meses.
Esa es la respuesta corta a la pregunta práctica: planificar como si la prórroga ya existiera es apostar a que el Congreso vote a tiempo algo que lleva dos semanas sin votarse.
Qué más trae el proyecto, si se aprueba
No es solo un cambio de fecha. Dos puntos que vale conocer:
El Consejo de la Agencia pasaría de tres a cinco consejeros, con mandatos de seis años, sin reelección y renovación parcial cada dos años. Es un cambio de diseño institucional, no un detalle administrativo: apunta a que la Agencia llegue mejor armada.
El régimen transitorio se ampliaría a todos. Hoy el período inicial en que la Agencia solo puede amonestar por escrito está referido a las empresas de menor tamaño. El proyecto eliminaría esa referencia, de modo que durante los primeros doce meses de vigencia la amonestación aplicaría a todos los obligados por la ley, no solo a las pymes.
Ese segundo punto es el que conviene leer con cuidado, porque cambia el cálculo de riesgo de una empresa mediana o grande.
Qué cambia respecto de la ley actual
La Ley 19.628 rige desde 1999 y su problema nunca fue el texto: era que no había quién lo hiciera cumplir. La 21.719 crea esa autoridad y le pone dientes.
| Aspecto | Ley 19.628 (hoy) | Ley 21.719 |
|---|---|---|
| Autoridad fiscalizadora | Ninguna | Agencia de Protección de Datos Personales |
| Sanciones | Vía judicial, en la práctica inexistentes | Multas administrativas, de oficio |
| Techo de multa | — | 5.000 / 10.000 / 20.000 UTM según gravedad |
| Reincidencia | — | Hasta 2% o 4% de los ingresos anuales por ventas en Chile |
| Registro público | No | Registro Nacional de Sanciones, hasta 5 años |
| Notificación de brechas | No exigida | Obligatoria, a la Agencia y a los afectados |
El salto no está en el monto máximo — está en que ahora existe un organismo que puede iniciar una investigación sin que nadie lo demande, y que la sanción queda publicada.
Las cuatro cosas que toma tiempo, y por eso se hacen ahora
Hay obligaciones que se resuelven en una tarde y otras que no. Estas son las segundas.
1. Saber qué datos tienes y dónde están
El registro de actividades de tratamiento no es un trámite: es un inventario. Qué datos personales tienes, en qué sistema viven — CRM, ERP, planillas, casillas de correo, ese Excel que alguien mantiene desde 2019 —, con qué finalidad los tratas, con qué base de licitud y por cuánto tiempo los conservas.
En nuestra experiencia es la parte que más demora, y no por la documentación: demora porque aparecen tratamientos que nadie recordaba. Una lista de contactos exportada hace tres años. Un respaldo en una cuenta personal. Formularios que siguen recolectando datos que ya nadie usa.
2. Decidir quién responde
La ley exige designar un delegado de protección de datos a las organizaciones que hacen tratamientos de alto riesgo o manejan grandes volúmenes. Si no caes en esas categorías, puedes operar con un responsable interno capacitado — pero alguien tiene que tener el rol asignado por escrito, porque cuando llegue una solicitud de un titular habrá un plazo corriendo.
3. Poder responder una solicitud de derechos
Acceso, rectificación, supresión, oposición, portabilidad y bloqueo. Cuando alguien te escriba pidiendo una copia de sus datos, vas a necesitar poder reunirla desde todos los sistemas donde vive, verificar que quien pregunta es quien dice ser, y responder dentro del plazo legal.
Si el punto 1 no está hecho, el punto 3 es imposible de cumplir a tiempo.
4. Publicar la política, con versión y fecha
El deber de información obliga a mantener la política de tratamiento permanentemente disponible en el sitio, identificando al responsable, y declarando su versión y su fecha. No es un detalle de estilo: son datos que la ley pide que aparezcan.
Cómo se ve en la práctica
Nuestra propia política de privacidad está escrita contra los deberes de la 21.719 y no contra la 19.628, precisamente para no tener que rehacerla en diciembre. Muestra versión y fecha, nombra a cada encargado que recibe datos, y declara las dos cosas que el sitio guarda en tu navegador y por qué.
Lo que la prórroga sí cambiaría
Si el proyecto se aprueba, el año extra es real y útil. Pero cambia el plazo, no el trabajo: el inventario de datos hay que hacerlo igual, y hacerlo con tiempo sale más barato que hacerlo contra una fecha.
La diferencia práctica es otra. Hoy, con vigencia en diciembre, una empresa mediana tiene que priorizar lo que reduce riesgo de sanción. Con un año más, puede hacer las cosas en el orden correcto: primero entender qué trata, después decidir qué dejar de tratar. Casi siempre la forma más rápida de cumplir es borrar datos que nunca debiste estar guardando.
Qué haríamos nosotros en las próximas dos semanas
Sin esperar la votación:
- Levantar el inventario de tratamientos, aunque sea en una planilla. Es el insumo de todo lo demás.
- Revisar qué proveedores reciben datos personales y desde qué país los tratan. Si están fuera de Chile, eso se declara.
- Nombrar al responsable por escrito, aunque no sea un cargo formal.
- Publicar o actualizar la política de privacidad, con versión y fecha.
- Anotar en el calendario una revisión para cuando el Senado vote, porque la fecha se define ahí y no antes.
Este artículo describe el estado del proyecto al 17 de septiembre de 2026 y no es asesoría legal. La 21.719 tiene aristas — tratamiento de datos sensibles, decisiones automatizadas, transferencias internacionales — donde conviene un abogado especialista. Lo que sí podemos hacer es la parte técnica: encontrar dónde viven tus datos, quién los recibe y qué se puede dejar de guardar.
¿Te gustó este artículo?
Descubre cómo podemos ayudarte a implementar estas soluciones en tu negocio.