La Ley 21.719 de protección de datos personales, que debía empezar a regir el 1 de diciembre de 2026, está cerca de tener un año más de plazo. La Comisión de Constitución del Senado aprobó en general, por unanimidad, el proyecto del Ejecutivo que mueve su entrada en vigencia a diciembre de 2027.
La Comisión de Constitución, Legislación, Justicia y Reglamento del Senado revisó esta semana la iniciativa del Gobierno para aplazar la Ley 21.719, junto con una moción parlamentaria sobre la misma materia (boletín 18.060-07). Según informó el Senado, la idea de legislar se aprobó sin votos en contra y el Ejecutivo se comprometió a darle urgencia inmediata para acelerar la discusión en particular.
El presidente de la comisión, senador Pedro Araya, resumió el foco de la sesión: "la idea es solo ver el proyecto del Ejecutivo para poder aplazar la entrada en vigencia de la ley". El argumento oficial es doble: dar más tiempo a empresas y organismos públicos para adaptarse, y permitir que la futura Agencia dicte su normativa antes de empezar a fiscalizar.
El proyecto también rediseña el gobierno de la Agencia. Su Consejo Directivo crecería de tres a cinco miembros, designados por el Presidente con acuerdo de dos tercios del Senado, y el quórum para adoptar decisiones subiría de dos a tres votos, según el análisis de ProtecciónDatosWeb. El cambio responde a que el Consejo aún no está constituido: una primera propuesta de nombres no alcanzó el quórum requerido en el Senado.
No hubo consenso total sobre la forma. De acuerdo con el resumen del estudio Jara del Favero, el exsenador Felipe Harboe planteó una alternativa gradual: mantener los derechos y obligaciones sustantivas desde el 1 de diciembre de 2026 y postergar solo las facultades fiscalizadoras y sancionatorias de la Agencia. A su juicio, un aplazamiento total genera incertidumbre jurídica y podría afectar las transferencias internacionales de datos. Asesores parlamentarios y el Gobierno trabajan ahora en indicaciones sobre estos puntos.
Mientras el proyecto no se publique como ley, la fecha vigente sigue siendo el 1 de diciembre de 2026, a seis semanas. Congelar el plan de adecuación apostando a la postergación es riesgoso si el trámite se atrasa o si prospera la fórmula gradual, que mantendría las obligaciones de fondo en la fecha original.
Aun con un año extra, el contenido de la ley no cambia: bases de licitud del tratamiento, derechos de los titulares, deber de seguridad y notificación de vulneraciones. Para una empresa mediana esto se cruza con la Ley 21.663 Marco de Ciberseguridad, que ya exige gestionar y reportar incidentes en sectores regulados. Un ataque de ransomware con robo de datos de clientes o trabajadores es, a la vez, un incidente de ciberseguridad y una vulneración de datos personales.
En la práctica, un eventual año extra sirve para hacer bien el trabajo, no para posponerlo.
