¿Se posterga la Ley de Datos a 2027? Qué pasa si mi empresa no cumple el 1 de diciembre de 2026

De dónde sale la fecha

La Ley 21.719 se publicó en el Diario Oficial el 13 de diciembre de 2024. Su artículo primero transitorio fija la entrada en vigencia de las modificaciones a la Ley 19.628 para el día primero del mes vigésimo cuarto posterior a la publicación: el 1 de diciembre de 2026. La misma ley ordenó preparar la fiscalización con anticipación: los reglamentos dentro de los seis meses desde la publicación y el Consejo Directivo de la Agencia designado seis meses antes de la vigencia (artículos segundo y cuarto transitorios).

El proyecto de postergación: qué propone y qué no toca

El proyecto anunciado por el Gobierno (Mensaje N° 110-374) ingresó al Senado el 1 de septiembre de 2026 como boletín 18.623-07, pasó a la Comisión de Constitución y lleva urgencia suma, es decir, un plazo legislativo de quince días por cámara, que el Gobierno ya renovó dos veces, el 8 y el 22 de septiembre, mientras la comisión prepara su primer informe. Propone tres cambios. Primero, la entrada en vigencia se mueve del 1 de diciembre de 2026 a una fecha fija: el 1 de diciembre de 2027. Segundo, el Consejo Directivo de la Agencia crece de tres a cinco consejeros, con quórum de tres para sesionar, renovación parcial cada dos años y primera designación a más tardar doce meses antes de la vigencia (o dentro de diez días desde la publicación si faltan menos de doce meses). Tercero, extiende a todos los obligados la opción de cerrar una primera infracción con amonestación escrita en lugar de multa durante los primeros doce meses, hoy reservada a las empresas de menor tamaño.

El contexto pesa tanto como el texto. Tres días antes, el 28 de agosto de 2026, la Contraloría tomó razón del Decreto Supremo N° 662, el reglamento del modelo de prevención de infracciones del artículo 49, y el Diario Oficial lo publicó el 9 de septiembre de 2026. El aparato de implementación por fin avanza; lo que el proyecto cambia es cuándo parte la fiscalización, no qué se exige.

Mientras el proyecto no se apruebe y la modificación no se publique, el 1 de diciembre de 2026 sigue siendo la fecha exigible. Y una postergación no cambia ningún deber de fondo: el inventario, las bases de licitud, los procedimientos de derechos y las medidas de seguridad son el mismo trabajo en cualquiera de las dos fechas. La empresa que congela su preparación a la espera del nuevo plazo solo pasa un año perdiendo la posición atenuante que la ley reconoce a quien se prepara temprano.

Las infracciones exigibles desde esa fecha

El artículo 34 de la Ley 19.628 clasifica las infracciones en leves, graves y gravísimas, y los artículos 34 bis a 34 quáter las enumeran. No son escenarios exóticos: varias describen prácticas rutinarias de empresas que nunca adaptaron sus tratamientos.

Los topes no son el techo en todos los casos. Si la empresa no subsana las causales dentro de sesenta días, la multa cursada sube un 50%. La reincidencia permite a la Agencia aplicar hasta el triple del monto y, en empresas que superan el umbral de menor tamaño de la Ley 20.416, hasta el 2% o 4% de los ingresos anuales del giro por reincidencia grave o gravísima (artículo 35). El régimen completo está en sanciones y multas de la Ley 21.719.

El costo que no aparece en la multa

El artículo 39 de la Ley 19.628 crea el Registro Nacional de Sanciones y Cumplimiento: público, de acceso gratuito y electrónico. Una sanción no queda entre la empresa y la Agencia; pasa a ser verificable por clientes, bancos, aseguradoras y contrapartes en un due diligence. Y el artículo 34 explicita que la responsabilidad administrativa corre sin perjuicio de la responsabilidad civil o penal frente a los titulares afectados.

Lo que la ley reconoce a quien se prepara

El artículo 36 enumera atenuantes expresas: la reparación unilateral, la colaboración con la Agencia, la ausencia de sanciones previas, la autodenuncia y el cumplimiento diligente de los deberes de supervisión acreditado con certificación. Esa certificación nace del modelo de prevención de infracciones del artículo 49: un programa de cumplimiento voluntario que exige, entre otros elementos, designar un delegado de protección de datos. La Agencia lo certifica e incorpora a las entidades certificadas al registro público (artículo 51).

La lógica es la misma que aplica la Ley 20.393 en materia penal: el programa es voluntario, sus efectos no. La empresa que documenta prevención antes de la infracción litiga desde una posición distinta a la que improvisa después.

El manual de ese modelo ya existe. El Decreto Supremo N° 662, del Ministerio de Hacienda, publicado en el Diario Oficial el 9 de septiembre de 2026, detalla qué debe contener el programa de cumplimiento: una caracterización de cada tratamiento (que un registro de actividades de tratamiento satisface), una matriz de riesgos graduada según la gravedad de las infracciones, protocolos, un canal de denuncia interna que resguarda la identidad del denunciante, sanciones internas y un delegado de protección de datos, cuya designación es obligatoria dentro del modelo. La certificación de la Agencia dura tres años renovables, y la implementación puede comenzar antes de la incorporación al registro. El detalle completo está en el modelo de prevención de infracciones.

Qué debe estar operativo el 1 de diciembre

• Un inventario de los tratamientos de datos, cada uno con su base de licitud identificada: consentimiento (artículo 12) u otra fuente de licitud (artículo 13). Cómo elegir entre ellas se explica en consentimiento o interés legítimo.
• Procedimientos y plazos para responder las solicitudes de acceso, rectificación, supresión, oposición y portabilidad de los titulares.
• El deber de información y transparencia cubierto: política de privacidad disponible y canal de contacto operativo (artículo 14 ter).
• Medidas de seguridad proporcionales al tratamiento (artículo 14 quinquies) y un protocolo para reportar vulneraciones a la Agencia sin dilaciones indebidas (artículo 14 sexies).
• Contratos vigentes con los encargados de tratamiento que fijen instrucciones, finalidades y medidas de seguridad.
• Una decisión documentada sobre designar un delegado de protección de datos y adoptar el modelo de prevención del artículo 49.

Preguntas frecuentes