Un año más para la Ley 21.719, si el Congreso aprueba la prórroga

"Mientras se aplaza la vida, esta transcurre."

Séneca, en las Cartas a Lucilio

Quien haya seguido la implementación de la nueva ley de datos personales en Chile reconocerá el gesto. El 31 de agosto de este año el Ejecutivo ingresó al Senado un mensaje presidencial que propone trasladar la entrada en vigencia de la Ley N°21.719 desde el 1 de diciembre de 2026 hasta el 1 de diciembre de 2027, y al día siguiente le puso suma urgencia. El proyecto, que en el Congreso lleva el número de boletín 18.623-07, no deroga la ley ni recorta sus obligaciones. Cambia el momento a partir del cual serán exigibles, y de paso corrige la institucionalidad que no alcanzó a instalarse.

Conviene decirlo de entrada con toda claridad, porque la confusión en este punto puede salir cara. El proyecto está en tramitación y no ha sido votado, de modo que mientras la reforma no se apruebe y se publique, la fecha vigente sigue siendo el 1 de diciembre de 2026. Toda organización que decida detener su plan de adecuación apostando a la prórroga está asumiendo un riesgo legislativo, no aprovechando un plazo concedido.

Qué contiene el proyecto

El mensaje consta de un artículo único y dos disposiciones transitorias, y modifica la ley en cuatro puntos que vale la pena revisar por separado.

El primero y más comentado es el traslado de la fecha de vigencia al 1 de diciembre de 2027, que otorgaría doce meses adicionales a empresas, organismos públicos y demás responsables para ajustar contratos, bases de licitud, canales de ejercicio de derechos, medidas de seguridad y modelos de cumplimiento.

El segundo aumenta de tres a cinco el número de consejeros del Consejo Directivo de la Agencia de Protección de Datos Personales, mantiene los períodos de seis años sin reelección con renovación parcial cada dos años, y eleva de dos a tres el quórum interno. El fundamento que da el propio mensaje es que tres personas resultan insuficientes para la naturaleza y extensión de las competencias que la ley entrega a la Agencia.

El tercero adelanta la designación del primer Consejo, que deberá hacerse a más tardar doce meses antes de la entrada en vigencia y ya no seis, corrigiendo precisamente el calendario que quedó incumplido en junio pasado, cuando venció el plazo legal sin que el Senado ratificara la nómina propuesta.

El cuarto es el que menos titulares se llevó y el que más conviene mirar. El proyecto amplía la facultad de la Agencia para aplicar amonestaciones por escrito a todos los responsables de datos, eliminando la limitación que reservaba esa medida a las empresas de menor tamaño.

Por qué llegamos hasta acá

La prórroga no nació de una reflexión sobre la dificultad de las empresas sino de un atasco institucional. En mayo el Senado rechazó la primera nómina de consejeros propuesta por el Ejecutivo, al no alcanzarse el quórum de dos tercios exigido, y en junio venció el plazo legal para la designación. La Comisión Asesora Ministerial creada para apoyar la implementación había recomendado en enero constituir la Agencia y designar su Consejo a más tardar en junio, precisamente para tener tiempo de dictar reglamentos, definir procedimientos y habilitar canales de atención antes de comenzar a operar.

Ese plazo se perdió, y con él la posibilidad realista de que el organismo estuviera funcionando el primer día de vigencia. Dicho sin adornos, el Estado llegó tarde con su parte y la solución que eligió fue darse un año más a sí mismo, extendiéndolo de paso a todos los obligados. Leerlo como una señal de que la ley se va a suavizar sería un error de interpretación importante, porque el proyecto refuerza la Agencia en lugar de debilitarla.

Lo que no cambia

Aquí está la parte que a nuestro juicio merece más atención de la que ha recibido. Las obligaciones sustantivas de la ley permanecen íntegras, y el trabajo de adecuación que una organización haya hecho hasta hoy no pierde ni un gramo de valor. El inventario de datos sigue siendo necesario. Las bases de licitud siguen teniendo que existir para cada tratamiento. Los contratos con encargados siguen requiriendo cláusulas que hoy no tienen. El procedimiento de respuesta a titulares y el de notificación de brechas siguen sin poder improvisarse.

Y hay dos presiones que la prórroga no toca en absoluto. La primera es contractual, porque banca, telecomunicaciones y seguros ya están exigiendo a sus proveedores acreditar cumplimiento en materia de datos, con o sin agencia operativa y con o sin fecha de vigencia. La segunda es reputacional, y opera desde el momento en que un titular reclama públicamente por el uso de su información, sin esperar a que exista una autoridad que reciba la denuncia.

Séneca advertía que la vida transcurre mientras se la aplaza, y aunque escribía sobre asuntos bastante más elevados que un plan de adecuación normativa, la mecánica es la misma. Doce meses adicionales son un regalo para quien los use y una trampa para quien los interprete como permiso para volver a no hacer nada. La única diferencia entre ambos grupos, cuando llegue diciembre de 2027, será lo que hicieron durante el año que creyeron tener de sobra.

En Neitcom llevamos más de veinte años convirtiendo obligaciones normativas en procesos verificables. Si quiere aprovechar este plazo en lugar de esperarlo, conversemos, o revise nuestro artículo sobre el oficial de cumplimiento como tratante de datos.