Datos personales en Chile: el Senado aprueba aplazar la ley

Ley 21.719: cuándo entra en vigencia tras la votación del Senado

Una tienda online de cosmética natural de Temuco, con cuatro personas, guarda los datos de 3000 clientes en su plataforma de comercio electrónico y en una herramienta de correo masivo. Su dueña lee que «la ley de datos se posterga a 2027» y se pregunta si puede dejar para el año que viene el formulario de solicitudes y la revisión de contratos. La respuesta, a 2 de noviembre de 2026, es que todavía no hay nada aprobado del todo.

El texto publicado de la Ley 21.719 fija su entrada en vigencia el «día primero del mes vigésimo cuarto posterior» a su publicación en el Diario Oficial, del 13 de diciembre de 2024: es decir, el 1 de diciembre de 2026. El proyecto que la aplaza ya pasó por el Senado, pero le faltan la Cámara de Diputados y la publicación. Hasta entonces, esa es la fecha que cuenta.

Dónde está el proyecto a 2 de noviembre

La ficha de tramitación del Senado registra estos pasos para el boletín 18.623-07:

Fuente: Senado de Chile, ficha del boletín 18.623-07 consultada el 2 de noviembre de 2026. A esa fecha no figura ningún trámite en la Cámara.

La fecha del 15 de octubre salió de una negociación en la comisión. El Gobierno pedía el 1 de diciembre de 2027; una indicación de dos senadoras y un senador proponía el 1 de septiembre de 2027 para que la Agencia de Protección de Datos Personales empezara a funcionar antes, y el subsecretario de Economía planteó octubre como punto intermedio. La comisión aprobó el 15 de octubre de 2027 por unanimidad de los miembros presentes.

Durante esa discusión se citó una encuesta de 2026 de LemonTech y la Asociación Chilena de Ética y Compliance: el 72 % de las organizaciones consultadas no se consideraba preparada para el 1 de diciembre de 2026, una proporción que llegaba al 90 % en las pequeñas empresas y al 85.2 % en las medianas.

Tres escenarios para el 1 de diciembre

En los tres casos, lo que cambia es el calendario. El trabajo que la ley exige a una empresa es el mismo.

Lo que el proyecto cambia y lo que deja igual

El texto que el Senado envió a la Cámara toca tres puntos de la Ley 21.719: la fecha, la composición del Consejo Directivo de la Agencia y su primer nombramiento.

Fuentes: Ley 21.719 (Biblioteca del Congreso Nacional) y oficio n.º 355/SEC/26 del Senado, de 28 de octubre de 2026.

La fila de la amonestación tiene historia. El Gobierno proponía que, durante los primeros doce meses, la Agencia pudiera limitarse a amonestar por escrito a cualquier empresa. La comisión retiró ese cambio y el texto aprobado por el Senado no lo incluye: esa posibilidad sigue reservada a las empresas de menor tamaño.

Si tu empresa es de menor tamaño

La Ley 21.719 remite a la definición de la Ley 20.416, que clasifica a las empresas por sus ingresos anuales del año calendario anterior, sin IVA:

Fuente: Ley 20.416, artículo segundo.

Si tu empresa entra en una de esas tres categorías, el sexto artículo transitorio de la Ley 21.719 permite a la Agencia, durante los doce meses siguientes a la entrada en vigencia, aplicar como sanción una amonestación por escrito. Es una facultad, no una obligación: la Agencia puede hacerlo, y la amonestación queda anotada en el Registro Nacional de Sanciones y Cumplimiento.

El tamaño pesa también en lo que se te exigirá. El artículo 14 septies prevé que los estándares mínimos de los deberes de información y de seguridad se fijen según el tipo de datos, la actividad, el volumen de datos y el tamaño de la empresa. Esos estándares los determinará la Agencia mediante instrucciones generales.

Con carácter general, el artículo 35 fija multas de hasta 5000 unidades tributarias mensuales (UTM) para las infracciones leves, que también pueden sancionarse con una amonestación escrita; de hasta 10 000 UTM para las graves y de hasta 20 000 UTM para las gravísimas.

Lo que puedes avanzar en noviembre

Ninguna de estas tareas depende de la fecha final, y todas se apoyan en artículos que el proyecto no modifica:

1. Haz la lista de tus bases de datos. Para cada una: qué datos guarda (clientes, empleados, proveedores), para qué, de dónde vienen, dónde están (programa, nube, planilla) y cuánto tiempo los conservas. La necesitarás para todo lo demás.
2. Abre un canal para las solicitudes. Un correo o un formulario de contacto donde las personas pidan acceso, rectificación, supresión, oposición o portabilidad. El artículo 11 obliga a acusar recibo y a responder en un máximo de treinta días corridos, prorrogables una sola vez por otros treinta.
3. Prepara la información que publicarás en tu web. El artículo 14 ter pide, entre otras cosas, la política de tratamiento con su fecha y versión, quién es el responsable, el canal de solicitudes, las categorías de datos y sus finalidades, las medidas de seguridad y el plazo de conservación.
4. Revisa los contratos con tus proveedores. Quien trata datos por cuenta tuya, como la herramienta de correo de la tienda de Temuco, debe tener un contrato con el objeto, la duración, la finalidad, el tipo de datos y las categorías de personas (artículo 15 bis). La guía sobre protección de datos en la nube en Chile detalla qué revisar en el contrato de un servicio de nube.
5. Escribe un procedimiento de brechas. Quién decide si un incidente supone un riesgo, quién lo comunica a la Agencia «sin dilaciones indebidas» y dónde se registra cada comunicación, como exige el artículo 14 sexies. En la encuesta citada en el Senado, el 40.9 % de las empresas aún no tenía un protocolo de este tipo.

Si después de la lista descubres que tratas datos sensibles, como los de salud, o datos de niñas, niños y adolescentes, la ley les dedica reglas propias: conviene revisarlas con un abogado que ejerza en Chile antes de cambiar contratos o formularios.

Todo lo anterior vale para Chile. Para comparar con lo que el RGPD exige en España y en el resto de la Unión Europea al mismo tipo de contrato, la guía sobre el contrato de encargado del tratamiento lo detalla punto por punto.