¿Se postergará la Ley 21.719? Qué se sabe sobre su entrada en vigencia y la nueva Agencia de Protección de Datos

Última actualización: 24 de agosto de 2026

Chile se encuentra a pocos meses de una de las transformaciones más importantes que ha experimentado su regulación sobre datos personales.

La Ley 21.719 fue publicada en diciembre de 2024 y actualmente tiene fijada su entrada en vigencia para el 1 de diciembre de 2026. Sin embargo, durante agosto apareció una nueva variable que las empresas deberían seguir con atención: el Gobierno reconoció públicamente que está evaluando posibles modificaciones al calendario de implementación.

El principal problema no estaría en el contenido de la ley, sino en la instalación de la nueva institucionalidad encargada de fiscalizarla.

La Agencia de Protección de Datos Personales todavía no cuenta con su Consejo Directivo constituido y la primera propuesta presentada para conformarlo no obtuvo en mayo los votos necesarios en el Senado.

Esto abre una pregunta razonable:

¿La Ley 21.719 realmente comenzará a regir el 1 de diciembre de 2026 o su entrada en vigencia será postergada?

A la fecha de publicación de este artículo no existe certeza de una postergación. Y esa precisión es importante.

Lo que sabemos hasta ahora

Hay tres antecedentes que permiten entender la situación.

Primero, la Biblioteca del Congreso Nacional continúa indicando oficialmente que la Ley 21.719 entra en vigencia el 1 de diciembre de 2026. Por lo tanto, mientras no exista una modificación legal publicada, esa sigue siendo la fecha que las empresas deberían considerar en sus planes.

Segundo, la instalación de la Agencia de Protección de Datos Personales ha sufrido retrasos. Durante mayo de 2026, el Senado analizó la propuesta del Ejecutivo para nombrar a los primeros tres consejeros de su Consejo Directivo. La propuesta finalmente fue rechazada en la Sala al no alcanzar el quorum requerido.

Tercero, durante agosto el Gobierno confirmó públicamente que estaba evaluando posibles modificaciones a la entrada en vigencia de la normativa debido a las dificultades pendientes en la instalación de la nueva institucionalidad.

Hay razones objetivas para hablar de una eventual postergación, pero todavía no corresponde afirmar que la Ley 21.719 fue postergada.

Por qué la Agencia de Protección de Datos es tan importante

La Ley 21.719 no se limita a establecer nuevas obligaciones para las empresas. También crea una nueva institucionalidad.

La Agencia de Protección de Datos Personales tendrá, entre otras funciones, facultades para fiscalizar el cumplimiento de la normativa, interpretar administrativamente sus disposiciones, recibir reclamaciones de los titulares, dictar instrucciones generales y ejercer potestad sancionadora.

La ley contempla además sanciones importantes para quienes incumplan sus obligaciones.

Por eso su instalación no es un aspecto secundario. Para que el nuevo sistema funcione completamente debe existir también una autoridad capaz de interpretarlo, supervisarlo y fiscalizarlo.

¿Significa esto que las empresas deberían esperar?

Nuestra recomendación es justamente la contraria.

Una eventual postergación podría entregar más tiempo. Pero más tiempo no significa que desaparezca el trabajo que las empresas deberán realizar.

La mayoría de los desafíos que plantea la Ley 21.719 no se resuelven unas semanas antes de su entrada en vigencia.

Una organización tendrá que saber qué datos personales mantiene, de dónde provienen, para qué los utiliza, cuál es la base de licitud de cada tratamiento, quién puede acceder a ellos, en qué sistemas se encuentran, cuánto tiempo se conservan y qué proveedores externos participan.

También tendrá que definir qué ocurre cuando una persona solicita acceder, corregir, bloquear o eliminar sus datos y determinar si sus sistemas realmente permiten ejecutar esas acciones.

Estas preguntas no se responden solamente modificando una política de privacidad.

Para muchas empresas significarán revisar formularios, CRM, sistemas internos, contratos con proveedores, automatizaciones, campañas de marketing, bases históricas, permisos de acceso y procedimientos internos.

Por eso una eventual extensión del plazo podría convertirse en una oportunidad.

Europa ya pasó por una transición comparable

Chile no es el primer mercado que enfrenta un cambio de esta magnitud.

En mayo de 2018 comenzó a aplicarse en Europa el Reglamento General de Protección de Datos, más conocido como GDPR.

La legislación chilena no es idéntica al GDPR y no corresponde asumir que su implementación producirá exactamente los mismos efectos. Sin embargo, la experiencia europea permite observar un fenómeno especialmente útil: muchos de los principales problemas no estuvieron en comprender que existía una nueva regulación, sino en conseguir que las organizaciones pudieran aplicarla dentro de sus procesos y sistemas.

Descubrir dónde estaban realmente los datos

Una empresa puede pensar que toda su información está dentro del CRM. La realidad suele ser bastante más compleja.

Parte puede estar en el CRM, otra en la plataforma de mailing, otra en archivos Excel, correos electrónicos, ERP, aplicaciones internas o sistemas administrados por proveedores. Incluso pueden existir copias en ambientes de prueba o respaldos históricos.

Antes de decidir cómo proteger los datos hay que saber dónde están.

Ese es justamente uno de los motivos por los que en Datactil recomendamos comenzar construyendo un Registro de Actividades de Tratamiento o RAT que represente la realidad de la operación y no solamente una lista de bases de datos.

El derecho a eliminar datos puede ser técnicamente complejo

Uno de los aprendizajes de la experiencia europea fue que determinadas organizaciones encontraron dificultades técnicas al ejecutar completamente solicitudes de eliminación.

El problema aparece cuando la información no está solamente en una base de datos principal. Puede permanecer también en respaldos, registros históricos, plataformas externas, integraciones y correos electrónicos.

Es relativamente sencillo escribir en una política que una persona podrá solicitar la eliminación de sus datos.

Es mucho más difícil conseguir que una empresa pueda localizar esa información en distintos sistemas, determinar qué puede eliminarse legalmente y ejecutar la operación de forma segura y trazable.

Este mismo desafío es relevante para Chile con el derecho de supresión contemplado por la Ley 21.719.

Cumplir y demostrar cumplimiento no son lo mismo

Una organización puede considerar que está trabajando correctamente y, aun así, tener problemas para demostrar posteriormente qué decisiones tomó, qué tratamientos realizaba, quién tenía acceso o cómo respondió ante una determinada solicitud.

Cumplir y poder demostrar que se cumple son dos problemas diferentes.

Puedes profundizar en esta diferencia en nuestro artículo sobre cómo demostrar cumplimiento de la Ley 21.719.

Seguridad y control de accesos

La regulación de privacidad también obliga a mirar algo que las organizaciones a veces separan artificialmente: protección de datos y seguridad de la información.

Una política no puede impedir por sí sola que una persona acceda a información que no debería consultar.

Para eso se necesitan controles de acceso, perfiles de usuario, permisos, autenticación, respaldos, monitoreo y medidas técnicas adecuadas.

La Ley 21.719 incorpora precisamente obligaciones relacionadas con seguridad, confidencialidad y protección de los datos.

Conectar las distintas áreas de la empresa

La protección de datos tampoco puede quedar exclusivamente en una sola área.

Administración entiende determinados procesos. Marketing conoce los leads, campañas y CRM. TI sabe dónde viven los sistemas y cómo se integran. Recursos Humanos administra información de trabajadores y postulantes. Los proveedores controlan otras partes de la infraestructura y los asesores legales ayudan a interpretar las obligaciones regulatorias.

El cumplimiento funciona mejor cuando esas piezas se conectan.

Una eventual postergación podría ser una ventaja si se utiliza bien

Si finalmente se modifica la entrada en vigencia de la Ley 21.719, algunas empresas probablemente sentirán que el problema fue aplazado.

Esa sería una interpretación peligrosa.

Una extensión razonable permitiría hacer algo mucho más útil: prepararse sin tener que reaccionar a última hora.

Ese tiempo puede utilizarse para levantar procesos, identificar sistemas, ordenar bases históricas, revisar accesos, documentar finalidades, evaluar proveedores y determinar qué desarrollos tecnológicos serán necesarios.

Una empresa puede descubrir hoy que su CRM no registra correctamente el origen de un consentimiento. Puede descubrir que eliminar un cliente de una aplicación no elimina sus datos de otras plataformas. Puede detectar que determinados proveedores reciben más información de la que necesitan o que mantiene bases comerciales históricas cuyo origen es difícil de reconstruir.

Encontrar estos problemas antes de que exista presión regulatoria permite resolverlos gradualmente.

No todo tratamiento necesita consentimiento

Otro error que puede aparecer durante una adecuación apresurada es agregar autorizaciones a todos los procesos.

La Ley 21.719 contempla distintas fuentes que pueden hacer lícito un tratamiento de datos personales. Dependiendo del caso, el fundamento podría estar en el consentimiento, la ejecución de un contrato, una obligación legal, un interés legítimo u otras hipótesis contempladas por la normativa.

Por eso no conviene solucionar el problema simplemente agregando casillas de aceptación.

En nuestro artículo sobre consentimiento, contrato, obligación legal e interés legítimo en la Ley 21.719 explicamos cómo comenzar a distinguir estas situaciones dentro de una empresa.

El peor camino sería comenzar comprando tecnología

La llegada de una nueva regulación suele generar una reacción conocida: buscar rápidamente una plataforma que prometa solucionar el cumplimiento.

La tecnología puede ser una parte importante de la respuesta, pero debería venir después del diagnóstico.

Primero hay que entender la situación actual. Luego priorizar riesgos. Después determinar qué se puede resolver mediante procedimientos, qué requiere ajustes contractuales y qué necesita desarrollo o integración tecnológica.

En algunos casos bastará con reorganizar un proceso. En otros será necesario adaptar formularios o CRM. Y en organizaciones con sistemas más complejos puede ser necesario desarrollar mecanismos para gestionar consentimientos, trazabilidad, eliminación, portabilidad o control de acceso.

No todas las empresas tienen el mismo problema y, por lo tanto, tampoco necesitan la misma solución.

Privacidad desde el diseño: preparar los sistemas antes del problema

Uno de los cambios importantes de la Ley 21.719 es que la protección de los datos no debería agregarse solamente al final de un proyecto.

La normativa incorpora el deber de protección desde el diseño y por defecto. Esto obliga a considerar la privacidad dentro de la forma en que se construyen y configuran sistemas, aplicaciones y procesos.

Un CRM, una aplicación o un formulario deberían solicitar y tratar únicamente la información necesaria para su finalidad. Los accesos deberían configurarse considerando quién necesita realmente consultar cada dato y los mecanismos para ejercer derechos deberían estar contemplados dentro del funcionamiento de la organización.

Puedes revisar este enfoque en nuestro artículo sobre privacidad desde el diseño en sitios, aplicaciones y CRM.

Cómo aprovechar este periodo para prepararse

En Datactil creemos que una buena primera etapa consiste en realizar una evaluación técnica y operacional de la forma en que actualmente se utilizan los datos personales.

No se trata de partir reemplazando todos los sistemas ni de asumir que cada proceso está incumpliendo.

Se trata de construir un mapa.

Qué información existe, por dónde ingresa, dónde se almacena, quién puede consultarla, qué sistemas se comunican entre sí, qué proveedores participan, qué automatizaciones dependen de esos datos y qué debería ocurrir cuando una persona ejerce alguno de sus derechos.

A partir de ese levantamiento es posible identificar brechas y construir un plan gradual de adecuación.

Si finalmente existe una postergación, ese trabajo no se pierde. Por el contrario, permitirá llegar a la entrada en vigencia efectiva con una organización más preparada y con menos cambios de emergencia.

¿Qué debería hacer hoy una empresa?

Mientras no exista una modificación legal oficial, la referencia continúa siendo el 1 de diciembre de 2026.

Por eso no recomendamos detener un proyecto de preparación esperando una eventual decisión política. Sí recomendamos evitar inversiones apresuradas.

Una empresa que todavía no ha comenzado puede partir por nuestro checklist de la Ley 21.719 para empresas.

Si ya inició el proceso, puede avanzar hacia las bases de licitud para tratar datos personales, la privacidad desde el diseño en sitios, aplicaciones y CRM y el Registro de Actividades de Tratamiento.

El objetivo no debería ser llegar a una fecha determinada con una carpeta llena de documentos.

Debería ser llegar con control real sobre los datos.

Datactil: aprovechar el tiempo para definir qué cambiar realmente

Una eventual postergación puede entregar a las empresas algo especialmente valioso: tiempo para tomar mejores decisiones.

En Datactil podemos apoyar este proceso mediante una evaluación tecnológica de la operación actual, revisando formularios, aplicaciones, CRM, bases de datos, automatizaciones, proveedores, accesos y flujos de información.

El objetivo es detectar dónde existen brechas y determinar qué cambios tecnológicos tienen sentido realizar antes de comprometerse con desarrollos de mayor complejidad.

Este trabajo puede complementar la asesoría jurídica que cada organización requiera para interpretar sus obligaciones específicas.

Si tu empresa todavía no sabe cuánto tendrá que modificar para adaptarse a la Ley 21.719, este periodo puede ser una buena oportunidad para realizar el diagnóstico.

Una eventual postergación cambia el plazo. No elimina la necesidad de prepararse.

Existe incertidumbre sobre la fecha, no sobre la transformación

Al 24 de agosto de 2026, la Ley 21.719 mantiene oficialmente su entrada en vigencia para el 1 de diciembre de 2026.

Al mismo tiempo, el Gobierno ha reconocido públicamente que evalúa cambios al calendario debido a las dificultades pendientes en la instalación de la Agencia de Protección de Datos Personales.

Ambas afirmaciones pueden ser ciertas al mismo tiempo.

Por eso el enfoque responsable no es afirmar anticipadamente que la ley será postergada ni ignorar que existe una discusión real sobre el tema.

Es prepararse para cualquiera de los dos escenarios.

La experiencia europea deja un aprendizaje especialmente útil: ordenar datos, adaptar sistemas, gestionar derechos y construir evidencia de cumplimiento puede tomar bastante más tiempo que modificar una política de privacidad.

Si Chile finalmente obtiene algunos meses adicionales, las empresas que mejor los aprovechen no serán las que simplemente esperen una nueva fecha.

Serán las que utilicen ese tiempo para descubrir dónde están sus datos, qué riesgos tienen y qué necesitan cambiar antes de que la nueva regulación comience efectivamente a operar.

Fuentes y referencias

• La fecha oficial de entrada en vigencia puede verificarse en la Ley 21.719 publicada por la Biblioteca del Congreso Nacional.

• El rechazo de la primera propuesta para integrar el Consejo Directivo de la Agencia fue informado oficialmente por el Senado de Chile.

• La evaluación del Gobierno respecto de una eventual modificación del calendario fue informada durante agosto de 2026 a partir de declaraciones del Ministerio de Economía.

• Para los antecedentes europeos se consideraron evaluaciones y documentos de la Comisión Europea y del European Data Protection Board relativos a la implementación del GDPR.