El gobierno chileno finalmente oficializó lo que el sector privado venía anticipando con inquietud: la entrada en vigencia de la Ley 21.719, sobre protección y tratamiento de datos personales, se posterga por un año.
Imagen generada con Google Gemini
El gobierno chileno finalmente oficializó lo que el sector privado venía anticipando con inquietud: la entrada en vigencia de la Ley 21.719, sobre protección y tratamiento de datos personales, se posterga por un año. El proyecto ingresó al Senado con suma urgencia, en una movida que busca darle aire a la institucionalidad encargada de fiscalizar una de las normativas más relevantes de la era digital en Chile. Para quienes trabajamos en tecnología, esta prórroga no es solo una noticia legal: es una señal de que la privacidad dejará de ser un tema teórico para convertirse en un requisito operacional concreto.
La postergación de la Ley 21.719 es, en el fondo, un acto de realismo institucional. Montar una agencia reguladora, designar a sus consejeros, definir su presupuesto y ponerla a operar en menos de un año era una misión poco realista. Pero para la industria, la prórroga no debería leerse como una invitación a la inacción, sino como una oportunidad para llegar preparados.
Nicolás Georger
El proyecto, del que dio cuenta la sesión del Senado del 1 de septiembre de 2026, modifica la Ley 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales. Según reportó Claudia Rivas en Diario Financiero, la iniciativa del Ejecutivo consta de un artículo único y dos artículos transitorios, y traslada la entrada en vigencia de la ley hasta el 1 de diciembre de 2027.
El argumento oficial, defendido por el biministro de Economía, Daniel Mas, es que la nueva legislación debe operar con una institucionalidad preparada, reglas claras y condiciones que permitan su adecuado cumplimiento. En otras palabras: más vale tarde y funcionando, que temprano y a medias. Para una ley que crea una agencia reguladora desde cero, el plazo adicional no es un lujo; es una necesidad operativa.
El cambio principal es el desplazamiento de la fecha de entrada en vigencia al 1 de diciembre de 2027. Pero el proyecto también introduce hitos intermedios que las empresas deben tener en el radar:
| Hito | Fecha estimada |
|---|---|
| Publicación de la ley que posterga | Durante 2026 |
| Primera designación de consejeros de la Agencia | A más tardar el 1 de diciembre de 2026 |
| Entrada en vigencia de la Ley 21.719 | 1 de diciembre de 2027 |
Un artículo transitorio adicional es particularmente interesante: si a la fecha de publicación de esta reforma faltaran menos de 12 meses para la entrada en vigencia, la primera designación de consejeros deberá realizarse dentro de los 10 días siguientes a la publicación. Es una cláusula de contingencia que evita que el nombramiento quede a la deriva por demoras parlamentarias.
El proyecto aumenta de tres a cinco los consejeros del Consejo Directivo de la Agencia de Protección de Datos Personales, y establece que este consejo se renovará parcialmente cada dos años. La ampliación busca darle mayor pluralidad y resiliencia al órgano rector, pero también implica un desafío de coordinación. Desde el nombramiento, los consejeros recibirán remuneración mensual, con dedicación exclusiva e incompatibilidades para evitar conflictos de interés. Esto es clave: una agencia de protección de datos cuyos directores sigan trabajando para las empresas reguladas sería un chiste de mal gusto.
El segundo artículo transitorio establece que el mayor gasto fiscal que represente la aplicación de la norma durante su primer año de vigencia se financiará con los recursos contemplados en el presupuesto del Ministerio de Economía y, de ser necesario, con cargo a la Partida Presupuestaria del Tesoro Público. En cristiano: la implementación no quedará sujeta a la improvisación presupuestaria, al menos sobre el papel.
Para quienes trabajamos en SRE, DevOps, desarrollo de software o infraestructura, esta noticia tiene dos lecturas. La primera es que el plazo para adecuar sistemas, contratos y operaciones se extiende. La segunda, más importante, es que se acaba el tiempo de esperar a que la ley se materialice para recién empezar a mover fichas.
La experiencia internacional —con el GDPR europeo como referente ineludible— muestra que las leyes de protección de datos no se cumplen con una política de privacidad bonita en el sitio web. Se cumplen con inventarios de datos, con mapas de flujo de información, con controles de acceso, con registros de actividades de tratamiento, con notificación de brechas en plazos perentorios y con un delegado de protección de datos que tenga poder real dentro de la organización.
Para un equipo de ingeniería, la privacidad desde el diseño significa integrar protección de datos en cada etapa del ciclo de vida del software. Algunos ejemplos prácticos:
La postergación de la ley no elimina estas obligaciones; solo les cambia la fecha límite. Si tu organización aún no ha comenzado un análisis de brechas frente a la Ley 21.719, este es el momento de hacerlo. La próxima prórroga no está garantizada, y la historia regulatoria demuestra que las autoridades tienden a ser menos flexibles una vez que la institucionalidad está funcionando.
Sugiero convertir estos aproximadamente quince meses en un plan de trabajo concreto. Una buena hoja de ruta podría verse así:
Para los equipos de plataforma, la privacidad puede incorporarse como políticas como código, utilizando herramientas como Open Policy Agent (OPA) para enforce reglas de acceso a datos, o HashiCorp Vault para centralizar la gestión de secretos. La automatización es la mejor aliada: un control automatizado y probado vale más que mil manuales de procedimiento.
La postergación de la Ley 21.719 es, en el fondo, un acto de realismo institucional. Montar una agencia reguladora, designar a sus consejeros, definir su presupuesto y ponerla a operar en menos de un año era una misión poco realista. Pero para la industria, la prórroga no debería leerse como una invitación a la inacción, sino como una oportunidad para llegar preparados.
La historia reciente de las regulaciones tecnológicas demuestra que las empresas que se toman en serio la privacidad desde el principio no solo evitan multas: construyen confianza con sus usuarios y reducen riesgos operativos. En un mundo donde los datos son el nuevo petróleo, la refinería debe cumplir con las normas ambientales. O, dicho sin metáforas: si no implementas la protección de datos porque la ley se atrasó, no te sorprendas cuando el regulador te atrase a ti con una sanción.
El momento de actuar es ahora. La ley llegará en diciembre de 2027; la pregunta es si tu infraestructura estará lista.
Si Omarchy Quattro es un vistazo en funcionamiento de ese futuro, la fundación es el motor institucional para hacerlo duradero. Las marcas registradas, la infraestructura y las subvenciones no son emocionantes. Tampoco lo es el interior de un firewall. Pero sin ellos, la visión muere.
La solución no es meter la IA de vuelta en el cajón ni enterrar la confusión o los riesgos bajo más procesos. Es contratar y desarrollar más pensadores sistémicos.
