Ley de datos personales: qué hacer si se posterga
A siete semanas del 1 de diciembre, muchas empresas en Chile están frente a la misma pregunta: ¿hay que tener todo listo para la nueva ley de datos personales o conviene esperar a ver si el Congreso aprueba la postergación? La respuesta corta es que la fecha legal sigue siendo el 1 de diciembre de 2026, y que gran parte del trabajo de preparación sirve igual, se apruebe o no el cambio.
En este artículo revisamos en qué está el proyecto que busca aplazar la Ley 21.719, qué obligaciones trae para las empresas y qué decisiones tiene sentido tomar ahora para no quedar expuesto, sin sobreinvertir en un escenario que todavía no está definido.
Qué está pasando con la ley de datos personales
La fecha legal sigue siendo el 1 de diciembre de 2026
La Ley 21.719, publicada en diciembre de 2024, reescribe la antigua Ley 19.628 y crea la Agencia de Protección de Datos Personales. Su texto fijó la entrada en vigencia para el 1 de diciembre de 2026, con 24 meses para que empresas y organismos públicos se adaptaran.
El problema apareció por el lado institucional. En mayo de 2026 el Senado rechazó la propuesta del Ejecutivo para el consejo directivo de la Agencia, al no reunir el quórum de dos tercios. Sin consejo, el organismo que debe fiscalizar la ley no está constituido.
Qué propone el proyecto de postergación
El 1 de septiembre el Gobierno ingresó al Senado el proyecto que modifica la Ley 21.719 (boletín 18.623-07). Según el mensaje presidencial, propone:
- Mover la entrada en vigencia al 1 de diciembre de 2027.
- Ampliar el consejo directivo de la Agencia de tres a cinco integrantes, con renovación parcial cada dos años.
- Que, si el Senado no se pronuncia a tiempo sobre los nombramientos, la propuesta se entienda aceptada.
- Extender a todas las empresas, y no solo a las de menor tamaño, la posibilidad de recibir una amonestación escrita en lugar de una multa durante los primeros doce meses de vigencia.
Al 12 de octubre, el proyecto sigue en primer trámite constitucional, en la Comisión de Constitución del Senado, con urgencia suma renovada el 6 de octubre. Además, hay senadores que han planteado acortar el plazo a seis meses o aplazar solo algunas disposiciones. Es decir, ni la postergación ni su duración están aseguradas.
En simple: hasta que una ley modificatoria se apruebe y se publique en el Diario Oficial, la fecha vigente es el 1 de diciembre de 2026. Planificar como si la postergación ya fuera un hecho es una apuesta, no un dato.
Qué cambia para las empresas con la Ley 21.719
La nueva ley de datos personales no distingue por tamaño: aplica a cualquier empresa que trate datos de personas, ya sean clientes, trabajadores, proveedores o postulantes. Entre los cambios más relevantes:
- Base de licitud para cada tratamiento. El consentimiento es la regla general, con excepciones como la ejecución de un contrato, una obligación legal o el interés legítimo. La empresa debe poder demostrar en qué se basa.
- Más derechos para los titulares. Acceso, rectificación, supresión, oposición, portabilidad y bloqueo, con plazos de respuesta de 30 días corridos, prorrogables una vez.
- Transparencia. Una política de tratamiento de datos clara y disponible, idealmente en el sitio web.
- Seguridad y reporte de brechas. Medidas para proteger la información y la obligación de informar a la Agencia los incidentes que generen un riesgo razonable para las personas.
- Responsabilidad sobre terceros. Si un proveedor trata datos por encargo de tu empresa (software de RR.HH., CRM, call center, contabilidad externa), debe existir un contrato que regule ese tratamiento.
Multas: cuánto puede costar no cumplir
La ley clasifica las infracciones en leves, graves y gravísimas, con topes expresados en UTM:
| Tipo de infracción | Multa máxima | Equivalente aprox. (UTM octubre 2026) |
|---|---|---|
| Leves | Hasta 5.000 UTM | ≈ $361 millones |
| Graves | Hasta 10.000 UTM | ≈ $722 millones |
| Gravísimas | Hasta 20.000 UTM | ≈ $1.443 millones |
Cálculo propio con la UTM de octubre de 2026 ($72.151, según el SII). El valor en pesos varía mes a mes.
Para empresas que no son de menor tamaño, la ley contempla además multas calculadas como porcentaje de sus ingresos anuales en ciertos casos, y la reincidencia puede elevar los montos. Las sanciones quedan inscritas en un registro público, lo que agrega un costo reputacional difícil de medir.
Postergación o no: decisiones que conviene tomar ahora
Frente a la incertidumbre, la estrategia más sensata es separar lo que hay que hacer en cualquier escenario de lo que puede esperar a que el Congreso decida. Hay al menos cinco tareas que tienen sentido aunque la ley se aplace un año:
- Hacer un inventario de datos. Qué datos personales recoge la empresa, dónde se guardan, quién accede y para qué se usan. Sin este mapa, todo lo demás es improvisación.
- Revisar contratos con proveedores. Identificar quién trata datos por cuenta de la empresa y si los contratos actuales lo regulan.
- Definir un responsable interno. La ley no obliga a designar un delegado de protección de datos, pero alguien tiene que ser dueño del tema.
- Ordenar la respuesta a solicitudes. Un canal y un procedimiento para atender pedidos de acceso o eliminación de datos dentro de plazo.
- Preparar un protocolo de incidentes. Qué hacer, a quién avisar y en cuánto tiempo si se pierde un computador, se filtra una base o hay un acceso no autorizado.
Lo que sí puede ajustarse al calendario final son las inversiones más pesadas: implementaciones tecnológicas, certificaciones o modelos de prevención completos. Si la postergación se aprueba, ese año extra es una oportunidad para hacerlo bien, no para olvidarse del tema.
El lugar de trabajo también trata datos personales
Cuando se habla de la ley de datos personales, la conversación suele quedarse en bases de clientes y sistemas digitales. Pero buena parte del tratamiento ocurre en el día a día de la oficina:
- Registros de visitas y control de acceso, con nombres, RUT u otros datos de quienes entran al edificio.
- Cámaras de seguridad en recepción y áreas comunes.
- Carpetas físicas de trabajadores, postulantes o clientes que quedan en escritorios o archivadores sin llave.
- Trabajo híbrido, con notebooks que salen de la oficina y documentos que se revisan en casa o en espacios compartidos.
- Correspondencia y recepción de documentos a nombre de la empresa.
Si tu empresa trabaja en un edificio corporativo, un business center o con un servicio de oficina virtual, vale la pena preguntarle al proveedor cómo maneja esa información y considerarlo dentro del inventario de datos. Elegir dónde y cómo trabaja el equipo también es, cada vez más, una decisión de cumplimiento.
Qué vigilar en las próximas semanas
- La votación del proyecto en la Comisión de Constitución del Senado y luego en la Sala.
- Si el plazo final es de un año, seis meses o una postergación parcial de algunas obligaciones.
- El nombramiento del consejo directivo de la Agencia, que será quien dicte las instrucciones y fiscalice.
- La publicación en el Diario Oficial: solo desde ese momento cambia la fecha.
Mientras tanto, la recomendación es simple: usar estas semanas para el trabajo de base, que sirve en cualquier escenario, y dejar las decisiones más costosas para cuando el calendario esté claro. Postergar la ley de datos personales no es lo mismo que postergar la preparación.
¿Tu empresa está ordenando cómo y dónde trabaja su equipo? En Alter Office, en Las Condes, ofrecemos soluciones de oficina física y oficina virtual para empresas. Conversemos sobre la opción que mejor se ajusta a tu operación.
Este artículo tiene fines informativos y no constituye asesoría legal. Información actualizada al 12 de octubre de 2026; el estado del proyecto puede cambiar. Fuentes: Senado de Chile (boletín 18.623-07), mensaje presidencial del proyecto, SII y análisis de estudios jurídicos especializados.

