La tramitación de las modificaciones a la Ley N.º 21.719 dio un nuevo paso. El 26 de octubre de 2026, la Comisión de Constitución del Senado avanzó en la discusión en particular del proyecto que busca modificar la entrada en vigencia de la nueva regulación sobre protección de datos personales.
Entre las principales definiciones adoptadas se encuentra una nueva fecha propuesta: 15 de octubre de 2027.
Sin embargo, es importante hacer una precisión: esta fecha todavía no constituye la entrada en vigencia definitiva de la Ley N.º 21.719, ya que el proyecto modificatorio debe continuar su tramitación legislativa.
¿Qué ocurrió en la Comisión de Constitución?
La Comisión abordó en particular el proyecto correspondiente al Boletín N.º 18.623-07, destinado a modificar la entrada en vigencia de la Ley N.º 21.719.
La discusión consideró distintas indicaciones presentadas por senadores y por el Ejecutivo y permitió avanzar en aspectos relacionados tanto con el calendario de implementación como con la futura institucionalidad encargada de fiscalizar el cumplimiento de la normativa.
Entre las principales definiciones se encuentran:
- una nueva fecha propuesta de entrada en vigencia;
- modificaciones en la composición del Consejo Directivo de la Agencia de Protección de Datos Personales;
- reglas para el nombramiento de sus integrantes; y
- un período destinado a la instalación y preparación de la nueva Agencia.
15 de octubre de 2027: la nueva fecha propuesta
Uno de los puntos más relevantes de la sesión fue la aprobación del 15 de octubre de 2027 como nueva fecha para la entrada en vigencia del régimen contemplado en la Ley N.º 21.719.
Esta alternativa se sitúa entre el calendario actualmente previsto y la propuesta de postergación hasta el 1 de diciembre de 2027 que había sido discutida anteriormente.
El cambio busca generar un período que permita avanzar en la instalación de la nueva institucionalidad antes de que el régimen se encuentre plenamente operativo.
¿Significa que la Ley N.º 21.719 ya fue postergada hasta octubre de 2027?
No todavía.
Lo aprobado corresponde al proyecto modificatorio en su etapa de discusión en particular en la Comisión de Constitución.
El proyecto debe continuar su tramitación legislativa, por lo que la fecha del 15 de octubre de 2027 debe entenderse, por ahora, como la fecha aprobada en esta etapa del proceso y no como una modificación legal ya vigente.
Esta diferencia es especialmente importante para las organizaciones que se encuentran planificando sus procesos de adecuación.
La instalación de la Agencia de Protección de Datos Personales
Uno de los argumentos relevantes de la discusión ha sido la necesidad de contar con tiempo suficiente para instalar la futura Agencia de Protección de Datos Personales.
El Ejecutivo presentó un cronograma orientado a disponer de aproximadamente doce meses para desarrollar este proceso antes de la entrada en vigencia del nuevo régimen.
Entre las tareas consideradas se encuentran:
Nombramiento del Consejo Directivo
La nueva institucionalidad requiere contar con las autoridades que estarán a cargo de su dirección.
Estatutos de la Agencia
Se contempla un período para desarrollar la estructura normativa y organizacional necesaria para su funcionamiento.
Planta, equipos y sistemas
La Agencia deberá contar con recursos humanos, infraestructura y sistemas que permitan ejercer adecuadamente sus funciones.
Consultas públicas y elaboración de procedimientos
Antes de la entrada en vigencia se proyecta desarrollar procedimientos, canales de atención y mecanismos de orientación para las organizaciones reguladas.
El objetivo del cronograma es que la Agencia pueda llegar al primer día de vigencia del nuevo régimen con un nivel suficiente de preparación institucional.
Un Consejo Directivo de cinco integrantes
Otro de los cambios aprobados durante la discusión corresponde a la composición del Consejo Directivo de la Agencia.
La propuesta aumenta el número de integrantes de tres a cinco consejeros, contemplando además mecanismos de renovación parcial.
La discusión también abordó el procedimiento mediante el cual deberán ser nombrados.
Se mantiene el quórum de dos tercios
La Comisión mantuvo el requisito de dos tercios del Senado para aprobar la propuesta de integrantes del Consejo Directivo.
Durante la discusión se planteó reducir este quórum, pero dicha alternativa no prosperó.
Este punto resulta relevante porque la instalación efectiva de la Agencia dependerá, entre otros factores, de que el proceso de nombramiento de sus autoridades pueda desarrollarse oportunamente.
¿Qué ocurre si el Senado rechaza la propuesta de consejeros?
También se abordó el mecanismo aplicable en caso de que la propuesta de integrantes del Consejo Directivo no obtenga la aprobación necesaria.
La fórmula discutida contempla un plazo para que el Senado se pronuncie y, ante un eventual rechazo, la presentación de una nueva propuesta.
El objetivo es contar con un procedimiento que permita continuar con el proceso de designación y evitar dificultades en la instalación de la nueva institucionalidad.
Un calendario que comienza a tomar forma
La discusión permite visualizar con mayor claridad cómo podría desarrollarse el proceso durante los próximos meses.
El cronograma presentado contempla distintas etapas:
Tramitación legislativa → nombramiento del Consejo → estatutos → instalación de equipos y sistemas → consultas y procedimientos → entrada en vigencia.
De acuerdo con el escenario analizado durante la discusión, la intención es utilizar el período previo a octubre de 2027 para instalar la Agencia, elaborar criterios y procedimientos y entregar orientación a las organizaciones reguladas.
Esto representa un cambio relevante respecto de una postergación entendida simplemente como un desplazamiento de fechas: el período adicional tendría una finalidad concreta de implementación institucional y preparación regulatoria.
¿Qué ocurriría con las empresas de menor tamaño?
Dentro del calendario discutido también aparece un tratamiento especial para empresas de menor tamaño.
El esquema contempla un período posterior a la entrada en vigencia durante el cual la respuesta frente a determinados incumplimientos consideraría inicialmente mecanismos como la amonestación escrita.
Este enfoque se relaciona con la preocupación expresada durante la discusión legislativa respecto de la capacidad de adaptación de las MiPymes y la necesidad de acompañar su proceso de cumplimiento.
Los detalles y alcance definitivo de estas medidas dependerán, sin embargo, del texto que finalmente sea aprobado durante la tramitación legislativa.
¿Qué viene ahora?
La aprobación en la Comisión de Constitución no termina la tramitación del proyecto.
El proyecto debe continuar su proceso legislativo y pasar a la Comisión de Hacienda, antes de avanzar hacia las siguientes etapas correspondientes.
Por ello, las organizaciones deberían seguir monitoreando la discusión antes de considerar el 15 de octubre de 2027 como una fecha definitiva.
¿Conviene detener los procesos de adecuación?
Una eventual ampliación del plazo puede entregar más tiempo, pero no necesariamente reduce el trabajo que deberán realizar las organizaciones.
La implementación de un sistema adecuado de protección de datos requiere comprender cómo se utilizan los datos personales dentro de la organización y adoptar medidas jurídicas, organizacionales y técnicas.
Entre otras materias, las organizaciones deberían continuar avanzando en:
- identificar los datos personales que tratan y sus finalidades;
- construir o actualizar su Registro de Actividades de Tratamiento (RAT);
- revisar bases de licitud y procedimientos asociados a los derechos de los titulares;
- analizar contratos y relaciones con proveedores que tratan datos personales;
- identificar transferencias internacionales de datos;
- evaluar riesgos y medidas de seguridad;
- definir responsabilidades internas;
- preparar procedimientos de respuesta ante incidentes; y
- capacitar a los equipos.
Muchas de estas tareas requieren levantamiento de información, coordinación entre distintas áreas y cambios en procesos internos.
Por ello, una eventual postergación debería entenderse principalmente como una oportunidad para realizar una adecuación más ordenada y robusta, y no como una razón para postergar el inicio del trabajo.
La fecha puede cambiar. La preparación debe continuar.
La discusión del 26 de octubre entrega señales más concretas respecto de cómo podría implementarse la Ley N.º 21.719 y, especialmente, del tiempo necesario para poner en funcionamiento la futura Agencia de Protección de Datos Personales.
El 15 de octubre de 2027 aparece ahora como la fecha aprobada por la Comisión de Constitución, pero todavía deberá superar las siguientes etapas del proceso legislativo.
Para las organizaciones, el escenario refuerza una idea fundamental: la adecuación a la nueva regulación de protección de datos es un proceso, no una tarea que comienza el día anterior a la entrada en vigencia.
En Eticactiva continuaremos monitoreando la tramitación del proyecto y analizando las principales definiciones que puedan impactar en los procesos de cumplimiento de las organizaciones.
La fecha puede cambiar. La necesidad de prepararse, no.
