Semana clave para la Ley de Datos: reglamento del modelo de prevención listo y proyecto que posterga la vigencia a 2027

En tres días, dos hechos redefinieron el calendario de la Ley 21.719: la Contraloría tomó razón del reglamento del modelo de prevención de infracciones (Decreto Supremo N° 662) y el Gobierno ingresó al Senado un proyecto que posterga la entrada en vigencia al 1 de diciembre de 2027.

En tres días, dos hechos redefinieron el calendario de la Ley 21.719 de protección de datos personales.

El 28 de agosto de 2026, la Contraloría General de la República tomó razón del Decreto Supremo N° 662, del Ministerio de Hacienda, que aprueba el reglamento del modelo de prevención de infracciones de los artículos 49 a 53. Solo falta su publicación en el Diario Oficial. El reglamento detalla los elementos del programa de cumplimiento: caracterización de los tratamientos (un registro de actividades de tratamiento la satisface), matriz de riesgos graduada según la gravedad de las infracciones, protocolos, canal de denuncia interna con resguardo de la identidad del denunciante, sanciones internas y un delegado de protección de datos, cuya designación es obligatoria dentro del modelo. La certificación de la Agencia dura tres años renovables y la implementación puede comenzar antes de la incorporación al registro.

El 31 de agosto de 2026, el Gobierno ingresó al Senado el proyecto que modifica la Ley 21.719 (Mensaje N° 110-374). Propone tres cambios: posterga la entrada en vigencia del 1 de diciembre de 2026 al 1 de diciembre de 2027; amplía el Consejo Directivo de la Agencia de tres a cinco consejeros, con primera designación a más tardar doce meses antes de la vigencia; y extiende a todas las empresas la facultad de la Agencia de cerrar una primera infracción con amonestación escrita durante los primeros doce meses, hoy reservada a las de menor tamaño.

Dos precisiones importan. Primero, mientras el Congreso no apruebe el proyecto y la modificación no se publique, la fecha legal sigue siendo el 1 de diciembre de 2026. Segundo, el proyecto no toca ninguna obligación de fondo: el inventario de tratamientos, las bases de licitud, los procedimientos de derechos y las medidas de seguridad son el mismo trabajo en cualquiera de las dos fechas. La empresa que congela su preparación solo pierde la posición atenuante que la ley reconoce a quien se prepara temprano.

Nuestro análisis completo está en qué debe estar operativo a la entrada en vigencia y en la guía del Delegado de Protección de Datos.