La posible postergación de la Ley 21.719 puede dar un respiro a las empresas chilenas, pero no elimina las nuevas exigencias sobre el tratamiento y la protección de datos personales.
El tiempo adicional solo será una ventaja si se utiliza para revisar procesos, sistemas, proveedores y controles. La adecuación requiere coordinación y pruebas; no se resuelve al acercarse la nueva fecha.
¿Qué cambia con la postergación de la Ley 21.719?
El proyecto de postergación de la Ley 21.719, identificado con el Boletín 18.623-07, propone trasladar su entrada en vigencia desde el 1 de diciembre de 2026 al 15 de octubre de 2027.
El Gobierno había propuesto inicialmente el 1 de diciembre de 2027, pero durante la tramitación en el Senado se acordó adelantar la fecha al 15 de octubre. El Senado aprobó el proyecto el 28 de octubre de 2026 y posteriormente la iniciativa avanzó en la Cámara de Diputadas y Diputados.
Al 5 de noviembre de 2026, el proyecto todavía debe completar su tramitación legislativa. Por tanto, mientras la modificación no sea aprobada definitivamente, promulgada y publicada en el Diario Oficial, la fecha que establece la legislación vigente continúa siendo el 1 de diciembre de 2026.
La propuesta también contempla ajustes en la composición del Consejo Directivo de la futura Agencia de Protección de Datos Personales y en algunas disposiciones transitorias. Por eso es importante distinguir entre el texto actualmente vigente y las modificaciones que todavía se encuentran en discusión.
En cualquier caso, el mensaje para las empresas es claro: la reforma de protección de datos personales continúa adelante. La discusión se concentra en el calendario y en aspectos de su implementación institucional, no en abandonar el nuevo marco de protección.
Por qué no conviene detener la preparación de la empresa
Una postergación puede generar una sensación de tranquilidad, especialmente en organizaciones que todavía no han iniciado su proceso de adecuación. Sin embargo, disponer de más meses no significa que el trabajo pendiente sea menor.
La protección de datos involucra diferentes áreas de una organización. No basta con modificar una política de privacidad o incorporar una cláusula en un contrato. También es necesario conocer cómo circula la información, qué sistemas la almacenan, quién puede acceder a ella y qué controles existen para protegerla.
Además, muchos de esos controles tienen valor operativo independientemente de la fecha definitiva de entrada en vigor.
Entre los aspectos que requieren atención destacan:
- Inventario de datos: identificar qué información personal se recopila, dónde se almacena, para qué se utiliza y durante cuánto tiempo se conserva.
- Control de accesos: revisar qué usuarios pueden consultar, modificar o descargar información personal y si sus permisos corresponden a sus funciones.
- Seguridad de plataformas: comprobar la configuración de aplicaciones cloud, servicios SaaS y sistemas empresariales que almacenan o procesan información.
- Gestión de proveedores: identificar terceros que acceden a datos personales y revisar cómo se comparte, almacena y protege esa información.
- Respuesta ante incidentes: establecer procedimientos para detectar, analizar y gestionar situaciones que puedan comprometer datos personales.
- Responsabilidades internas: definir quién administra los datos, quién supervisa los controles y quién participa en la respuesta ante incidentes o solicitudes.
La gestión centralizada de identidades permite establecer un mayor control sobre los usuarios y sus permisos. A su vez, mecanismos como la [autenticación multifactor](Buscar en Webflow: mfa) ayudan a reducir el riesgo de accesos no autorizados.
Qué debería avanzar una empresa durante el plazo adicional
El tiempo adicional debería utilizarse para construir una capacidad de protección de datos sostenible, no solamente para preparar documentos antes de una fecha determinada.
Una forma práctica de organizar el trabajo consiste en dividirlo en cuatro etapas:
1. Diagnosticar la situación actual
El primer paso es conocer cómo se gestionan los datos personales dentro de la organización. Esto implica identificar los sistemas involucrados, los procesos de tratamiento, los usuarios con acceso, los proveedores externos y las principales brechas de seguridad.
Sin un diagnóstico inicial resulta difícil establecer prioridades o calcular los recursos necesarios.
2. Diseñar los controles y las responsabilidades
Con las brechas identificadas, corresponde definir qué medidas deben implementarse, quién será responsable de cada actividad y cómo se comprobará su funcionamiento.
En esta etapa se deben revisar los permisos, las políticas de acceso, la protección de los datos almacenados y los procedimientos internos.
La protección de datos en aplicaciones SaaS es especialmente relevante cuando la organización utiliza plataformas externas para gestionar información de clientes, trabajadores o proveedores.
3. Implementar y probar las medidas
La implementación no termina cuando una configuración aparece como activa en una consola. Es necesario comprobar que los controles funcionan en situaciones reales.
Esto puede incluir pruebas de acceso, revisión de privilegios, validación de respaldos, simulaciones de incidentes y comprobación de los procedimientos establecidos.
También es importante reforzar la concienciación continua en ciberseguridad, porque los colaboradores participan diariamente en la recopilación, consulta y utilización de datos personales.
4. Documentar, verificar y mantener
Una organización debe poder demostrar que sus controles están definidos y que funcionan. Para ello, conviene mantener registros de las actividades, responsables, revisiones, incidencias y acciones correctivas.
Un sistema de gestión de privacidad basado en buenas prácticas como ISO 27701 puede aportar estructura y continuidad a este trabajo. La gestión de la privacidad de la información permite integrar la protección de datos dentro de un enfoque de gobierno y mejora continua.
Estas etapas no constituyen un calendario legal obligatorio ni sustituyen una evaluación jurídica. Son una propuesta de planificación para que la adecuación tecnológica y organizacional no dependa de decisiones de última hora.
El cumplimiento no se consigue instalando una herramienta
Uno de los errores más habituales al abordar proyectos de protección de datos es pensar que la solución consiste en adquirir una plataforma o implementar una única medida de seguridad.
Las herramientas pueden facilitar la administración de identidades, controlar accesos, proteger información almacenada en la nube o mejorar la visibilidad sobre la infraestructura. Sin embargo, necesitan una configuración adecuada, responsables definidos, procedimientos y supervisión.
La protección de datos también requiere coordinación entre las áreas de TI, seguridad, operaciones, recursos humanos, administración y asesoría jurídica.
Por eso, la [gestión del cumplimiento normativo](Buscar en Webflow: mantener-cumplimiento-normativo) debe contemplar tanto los requisitos organizacionales como los controles tecnológicos necesarios para respaldarlos.
El objetivo no es llegar a una fecha con una colección de documentos, sino disponer de procesos que puedan mantenerse y verificarse en el tiempo.
Más tiempo para prepararse, no para dejarlo para después
Si finalmente se aprueba la postergación, las empresas tendrán una oportunidad adicional para organizar sus proyectos, distribuir las inversiones y corregir las brechas que todavía existan. Pero ese margen perderá valor si la implementación comienza demasiado tarde.
Identificar los datos, revisar los sistemas, coordinar proveedores, establecer controles de acceso, probar medidas de seguridad y documentar los procedimientos requiere planificación. En organizaciones con múltiples plataformas, usuarios y procesos, estas tareas pueden involucrar distintas áreas y necesitar varios ciclos de revisión.
La Ley 21.719 representa un cambio importante en la forma de gestionar la información personal en Chile. La nueva fecha puede modificar el calendario, pero no convierte la adecuación en una tarea que pueda resolverse en las últimas semanas.
Sinfopac acompaña a las organizaciones mediante consultoría y servicios especializados de TI, apoyando el diagnóstico de infraestructura, la gestión de identidades y accesos, la protección de entornos cloud y la implementación de controles tecnológicos. Una preparación anticipada permite abordar estos cambios de manera ordenada y sostenible, en lugar de reaccionar cuando el plazo esté próximo.
{{fs-button}}