El martes 1 de septiembre el Gobierno ingresó al Senado, con suma urgencia, un proyecto de un artículo único y dos disposiciones transitorias. Su efecto principal cabe en una línea: la Ley 21.719 de protección de datos personales no entraría en vigencia el 1 de diciembre de 2026 sino el 1 de diciembre de 2027.ssssssssss
El fundamento oficial es razonable en su formulación. El Ejecutivo dice buscar “condiciones institucionales, regulatorias y operativas” para una implementación adecuada. El biministro de Economía, Daniel Mas, lo resumió sin ambigüedad: “No queremos menos protección de los datos personales”.
El problema no está en el argumento. Está en el hecho que lo origina.
La ley fijó que el Consejo Directivo de la Agencia de Protección de Datos Personales (APDP) debía quedar designado seis meses antes de la entrada en vigencia. El 19 de mayo de 2026 el Senado rechazó por falta de quórum la terna del Presidente José Antonio Kast: 19 votos a favor de los 33 que se necesitaban. En junio venció el plazo. El obligado no cumplió y la salida que propone es mover la fecha que lo obligaba.
La reforma tomó cerca de siete años de tramitación. Se publicó en el Diario Oficial el 13 de diciembre de 2024 con dos años de vacancia legal, precisamente para preparar esto. Estas son 16 consecuencias de estirarla otro año.
La vacancia legal era de 24 meses. La prórroga más la amonestación facultativa universal suman otros 24.
El Estado como regulado
1. Se fija un precedente sobre quién debe cumplir los plazos
La ley le puso una fecha al Estado antes que a nadie: el Consejo debía estar constituido al 1 de junio de 2026. Ese plazo se incumplió y la respuesta legislativa no fue cumplirlo con retraso, fue reemplazarlo. Cuando el regulador y el legislador son la misma coalición, la fecha deja de operar como obligación y pasa a operar como preferencia.
2. La prórroga redistribuye ventajas hacia quien no se preparó
La Asociación Chilena de Profesionales en Protección de Datos Personales (AGPD) lo advirtió tres semanas antes de que el proyecto existiera: el aplazamiento no puede convertirse en “salvavidas” para empresas ni para órganos del Estado que no avanzaron a tiempo. Las organizaciones que durante 2025 y 2026 contrataron delegados de protección de datos, levantaron su registro de actividades de tratamiento y corrieron evaluaciones de impacto financiaron una ventaja competitiva que ahora se diluye por decisión administrativa.
3. La primera multa posible se corre a diciembre de 2028
El proyecto elimina la restricción que reservaba la amonestación escrita —en vez de multa— a las empresas de menor tamaño durante el primer año de vigencia. Con el cambio, cualquier responsable regulado podrá optar a ella. Vigencia en diciembre de 2027 más doce meses de amonestación facultativa universal significa que la primera sanción económica efectiva bajo la nueva ley llegaría cuatro años después de su publicación en el Diario Oficial.
4. El silencio positivo rebaja el estándar de escrutinio del órgano que debe ser independiente
El proyecto establece que si el Senado no se pronuncia dentro del plazo legal sobre la nómina de consejeros, esta se entiende aprobada. Es una solución eficiente para un cuello de botella real. También convierte la no deliberación en el camino de menor resistencia para designar a quienes fiscalizarán el tratamiento de datos de todo el país, en un proceso donde una terna anterior ya fue retirada tras los cuestionamientos de conflicto de interés que reveló Interferencia en marzo.
5. El diagnóstico del propio Gobierno no se corrige
En mayo, el ministro de la Segpres, José García Ruminot, explicó ante las comisiones unidas por qué no encontraba candidatos: la presidencia de la APDP paga el equivalente al 80% de la renta de un subsecretario, las direcciones el 70%, y el cargo exige dedicación exclusiva. “Eso ha resultado una tremenda limitación”, dijo. El proyecto sube el Consejo de tres a cinco integrantes y refuerza la exclusividad desde el momento del nombramiento. Más cargos que llenar bajo la misma restricción que impidió llenar tres.
Lo que queda sin poder exigirse
Los derechos están publicados desde diciembre de 2024. La vía para ejercerlos, no.
6. La Ley 19.628 rige doce meses más
La norma que sigue vigente se escribió en 1999, antes del teléfono inteligente, antes de la nube y antes de que existiera el modelo de negocio que consiste en acumular datos. No contempla autoridad de control. Su vía de reclamo es judicial, lenta y cara, que es la razón por la que durante veinticinco años casi nadie la usó.
7. Los derechos ARSOP siguen sin vía administrativa
Acceso, rectificación, supresión, oposición y portabilidad existen en el texto publicado pero no en la práctica: no hay ante quién reclamar cuando una empresa no responde. Un año más de derechos escritos y no ejercibles.
8. El riesgo no se posterga junto con la ley
Las filtraciones, el ransomware y la ingeniería social operan con su propio calendario. En 2021 el Servicio Electoral publicó en su propio sitio web una base con datos de cerca de 15 millones de personas —RUT, edad, género y pertenencia a pueblos originarios— sin que existiera entonces un marco claro de responsabilidades. Sigue sin existir.
9. Las evaluaciones de impacto en protección de datos dejan de ser exigibles otro año
Son obligatorias cuando hay tratamiento de datos sensibles a gran escala, monitoreo sistemático, elaboración de perfiles o decisiones automatizadas con efectos significativos. Es decir: exactamente los tratamientos que más crecieron mientras la ley estaba en vacancia.
El punto ciego algorítmico
Ambos bloques corrieron sus plazos a diciembre de 2027. Solo uno dejó obligaciones en pie mientras tanto.
10. El artículo 8° bis se aplaza, y con él la única regla chilena con fecha sobre decisiones automatizadas
La Ley 21.719 reconoce el derecho del titular a oponerse y a no ser objeto de decisiones basadas en tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos o lo afecten significativamente. Incorpora además derecho a explicación de la lógica aplicada, intervención humana e impugnación. Nada de eso es una ley de inteligencia artificial. Pero es lo más cerca que Chile tiene de una, y opera sobre lo que efectivamente está en producción hoy: scoring crediticio (puntaje automatizado de riesgo), filtros de reclutamiento, biometría laboral, segmentación de cobranza.
11. Postergarla deja al país sin ninguna norma algorítmica con fecha
El proyecto que regula los sistemas de inteligencia artificial (boletines 16.821-19 y 15.869-19, refundidos) está en segundo trámite constitucional en la Comisión de Desafíos del Futuro del Senado desde que la Cámara lo despachó el 13 de octubre de 2025. No tiene fecha de votación en sala. Hasta el martes, la 21.719 era la pieza que sí la tenía.
12. La coincidencia con Europa es de mes y de dirección, no de contenido
El Digital Omnibus europeo se publicó el 24 de julio de 2026 y corrió las obligaciones de alto riesgo del Anexo III del 2 de agosto de 2026 al 2 de diciembre de 2027. Chile propone el 1 de diciembre de 2027. La diferencia está en lo que cada uno dejó en pie: la Unión Europea mantuvo vigentes las obligaciones de transparencia del artículo 50 y el deber de alfabetización en inteligencia artificial del artículo 4. Postergó el régimen pesado y conservó el piso. Aquí se postergaría el edificio completo.
13. Un año de despliegue sin obligación de trazabilidad
Los sistemas automatizados que se instalen entre diciembre de 2026 y diciembre de 2027 se van a instalar sin exigencia de documentar la lógica de decisión, sin ruta de impugnación y sin revisión humana acreditable. Incorporar esas capas después, sobre sistemas ya integrados a procesos de negocio, cuesta más que haberlas diseñado desde el principio. La prórroga se lee como alivio de costos y opera como diferimiento de un costo mayor.
El costo que no aparece en el mensaje
14. Las transferencias internacionales siguen sin mecanismo
La ley entrega a la APDP la facultad de dictar decisiones de adecuación, aprobar cláusulas contractuales tipo y validar normas corporativas vinculantes. Sin Consejo Directivo no hay Agencia, y sin Agencia ninguno de esos instrumentos existe. Las empresas chilenas que procesan datos fuera del país seguirán resolviéndolo contrato por contrato, que es lo que la reforma venía a ordenar.
15. La incertidumbre no se elimina, se duplica
El proyecto ingresó con suma urgencia pero no está aprobado. Mientras no se publique la modificación, la fecha vigente sigue siendo el 1 de diciembre de 2026. Toda organización responsable tiene que sostener dos planes en paralelo durante la tramitación: uno que asume la prórroga y otro que no. Dos escenarios cuestan más que uno, y ese costo lo paga el regulado, no el legislador.
16. El patrón ya tiene antecedentes y la segunda prórroga siempre cuesta menos que la primera
En 2024 el Congreso despachó una modificación a la Ley 21.368 para postergar las obligaciones sobre plásticos de un solo uso, después de que el reglamento que debía dictarse en febrero de 2023 no llegara a tiempo. La estructura es idéntica: se legisla con plazos, no se construye la institucionalidad, se mueven los plazos. Cada repetición vuelve más barata la siguiente.
Hay una señal temprana de hacia dónde puede derivar este año adicional. El mismo día del ingreso, la industria aseguradora planteó públicamente que la nueva ley no recogió la habilitación expresa para el tratamiento de datos con fines estadísticos y de tarificación que sí contempla la legislación vigente, y que la postergación es la oportunidad para revisar esa materia. Un aplazamiento de calendario y una reapertura del fondo son cosas distintas. Suelen entrar por la misma puerta.
Fuentes
- Ley 21.719, texto oficial — Biblioteca del Congreso Nacional
- Gobierno ingresa al Congreso el proyecto que posterga la vigencia — Diario Financiero, 1 sep 2026
- Detalle de los cambios que plantea el proyecto — trendTIC, 1 sep 2026
- Ajustes a la Agencia y reacción de la industria aseguradora — La Tercera, 1 sep 2026
- Desestiman propuesta de consejeros para la Agencia — Senado, 20 may 2026
- Dificultades para encontrar candidatos y régimen de remuneraciones — The Clinic, 21 may 2026
- Pronunciamiento de la AGPD ante la eventual postergación — EstadoDiario, 10 ago 2026
- Retiro de la terna original tras cuestionamientos de conflicto de interés — Interferencia
- Tramitación del proyecto de ley de inteligencia artificial, boletín 16.821-19 — Senado
- Digital Omnibus y nuevas fechas del Reglamento de IA europeo — Gibson Dunn
Por Rodrigo Cornejo, Founder de Mamífero.
Esta columna expresa la posición editorial de Mamífero y no constituye asesoría jurídica. Sobre cómo trabajamos, ver quiénes escriben.
