¿Se postergó la Ley 21.719 a 2027? El plazo real y las 6 tareas que no dependen de la fecha

Cada octubre hay una historia que se cuenta en voz baja. Esta temporada, en los negocios chilenos, la historia es otra: "dicen que la ley de datos se postergó para 2027". Alguien lo leyó en un titular, otro lo escuchó en una reunión, y la planilla de clientes, el formulario viejo de la web y el WhatsApp lleno de datos quedan como estaban. Un año más.

El susto de diciembre no está en la fecha. Está en llegar a la fecha, cualquiera que sea, sin poder mostrar nada. Este artículo separa lo que es cierto de lo que es rumor, y te deja una lista de seis tareas que sirven igual con prórroga o sin ella.

¿Se postergó la Ley 21.719 a 2027?

No. Esto es lo que hay, al 18 de octubre de 2026:

• La Ley 21.719 está publicada desde el 13 de diciembre de 2024.
• Su vigencia fijada es el 1 de diciembre de 2026. Esa es la fecha que rige hoy.
• Existe un proyecto, ingresado el 1 de septiembre de 2026, que la postergaría al 1 de diciembre de 2027. Está en la Comisión de Constitución del Senado y no ha sido votado. El mismo proyecto propone, además, ampliar de tres a cinco los consejeros de la Agencia de Protección de Datos Personales.

Un proyecto no es una ley. Mientras no se apruebe y se publique en el Diario Oficial, la fecha sigue siendo el 1 de diciembre de este año. Por eso no es correcto decir "tengo hasta 2027": hoy nadie lo tiene.

La ley está publicada. La Agencia se está instalando. La fecha se discute. Que entra en vigencia, no se discute.

¿Qué cambia si la prórroga se aprueba?

Cambia cuándo te pueden preguntar. No cambia qué te van a preguntar ni quién tiene que responder.

El contenido de la ley sigue igual: el consentimiento que tiene que constar, la política de tratamiento publicada, los derechos de tus clientes sobre sus datos, la seguridad, los contratos con tus proveedores. Y el reparto de responsabilidades tampoco se mueve. Tú eres el responsable: quien decide para qué se usan los datos y con qué herramientas. Tu programador, tu hosting y tu sistema de agenda son encargados: tratan datos por tu cuenta (art. 15 bis).

Ese es el cambio de mirada que conviene llevarse: la responsabilidad no se externaliza, se documenta. No se le pasa a tu proveedor con un contrato, y tampoco se le pasa al Senado con una prórroga. Lo que sí puedes hacer es dejar por escrito qué datos tienes, con qué permiso y quién los toca. Eso es tuyo con cualquier fecha.

¿Por qué esperar la votación sale caro?

Porque lo que más se demora no es el papel. Es la obra.

Una política de tratamiento se redacta en días. Cambiar el formulario de tu web para que guarde la prueba del consentimiento, armar un canal para recibir solicitudes, ordenar quién tiene acceso a qué y conseguir el contrato de cada proveedor toma semanas, y depende de terceros que también van a estar ocupados en noviembre.

Hay un detalle técnico que casi nadie menciona: la prueba del consentimiento solo existe desde el día en que tu formulario empieza a guardarla. Cada contacto que entra hoy por un formulario sin casilla ni registro es un dato sin respaldo. Si esperas un año, son doce meses más de esos datos.

No eres el único en esa situación. El estudio de LemonTech y la Asociación Chilena de Ética y Compliance (ACEC), publicado el 23 de septiembre de 2026 con 127 organizaciones, encontró que el 72% reconoce no estar preparado, el 90% entre las pequeñas, y que el 46% no ha implementado ninguna medida. Si la prórroga avanza, el escenario es simple: ganaste doce meses, y la mayoría los va a desperdiciar.

¿Cuáles son las 6 tareas que no dependen de la fecha?

Estas seis sirven si la vigencia es en diciembre de 2026 o de 2027. Ninguna se pierde si la fecha se mueve, y todas dejan algo que puedes mostrar.

1. El inventario: dónde viven los datos, y cuáles ya no deberían estar

Anota cada lugar con datos de personas: formularios, correo, WhatsApp, planillas, agenda, respaldos. Es la base del RAT, el Registro de Actividades de Tratamiento, que según el mismo estudio solo tiene el 34% de las organizaciones. De paso vas a encontrar los fantasmas: la planilla de un evento de hace tres años, la lista de un concurso de Instagram, la base de clientes que ya no atiendes. La política tiene que declarar cuánto tiempo guardas cada cosa (art. 14 ter); lo que no tiene motivo para seguir ahí, se decide qué hacer con ello. La guía completa está en dónde viven los datos de tus clientes.

2. El formulario que guarda la prueba

Casilla de consentimiento sin premarcar, finalidad dicha en palabras simples y, lo más importante, un registro de quién aceptó, cuándo y qué versión del texto (art. 12). Es la tarea que más conviene adelantar, por lo que vimos arriba: cada día sin ella son datos sin respaldo. Aquí está qué le falta al formulario de contacto.

3. La política de tratamiento publicada, con fecha y versión

El art. 14 ter pide mantenerla publicada en tu sitio, con contenidos mínimos: qué datos tratas, para qué, con qué base de licitud (el motivo legal que te permite tratarlos, como el consentimiento o un contrato), a quién se los pasas y cuánto los guardas. Tiene que describir tu negocio real, por eso la copiada de internet no sirve.

4. Un canal para responder solicitudes

Tus clientes van a poder pedir acceso, rectificación, supresión, oposición, portabilidad y bloqueo de sus datos: los derechos ARCOPB. Tienes 30 días corridos para responder. Solo el 15% de las organizaciones del estudio sabe hacerlo en ese plazo. Basta con un correo o un formulario dedicado y un registro de cada caso; el paso a paso está en un cliente te pide sus datos.

5. Los accesos: quién entra a qué

El ex empleado que sigue con la clave del correo. El diseñador que todavía administra el hosting. La contraseña del sistema anotada en un papel. Haz la lista de accesos, cierra los que sobran y deja cada cuenta a nombre de la empresa. Si quien te hizo el sitio ya no responde, empieza por recuperar el sitio, el dominio y el correo.

6. El contrato de encargo con cada proveedor

Tu programador, tu hosting, tu agenda en línea y tu correo masivo tratan datos por ti. Con cada uno tiene que haber un acuerdo que diga qué pueden hacer con esos datos, qué no, y qué pasa cuando termina el servicio. En inglés se llama DPA (data processing agreement); muchas plataformas ya lo publican y solo hay que descargarlo y guardarlo. Las cláusulas mínimas están en el contrato de encargo con tu proveedor de software.

¿Y si la fecha se mantiene en diciembre de 2026?

Entonces quedan unas seis semanas, y el orden importa. Parte por el formulario y por el canal de solicitudes, que son los que ven tus clientes. Sigue con la política publicada. El inventario y los contratos se pueden ir completando en paralelo.

Para dimensionarlo, no para asustarse: las multas de la ley van de hasta 5.000 UTM en infracciones leves a hasta 20.000 UTM en las gravísimas. La meta no es estar perfecto el 1 de diciembre. Es tener un cumplimiento documentado y acreditable: poder mostrar qué hiciste, cuándo y por qué.

¿Cómo lo hacemos en LPage?

Cuatro de estas seis tareas viven en tu web y en tus sistemas: el formulario que guarda la prueba, la política publicada, el canal de solicitudes y los accesos. Ese es nuestro trabajo. Cuando construimos o adecuamos un sitio, una tienda o una agenda, el registro de consentimiento, la página de la política y el canal quedan instalados desde el primer día, y la lista de proveedores y accesos viene en la entrega. Es como funcionan nuestros propios sistemas, como Fonokit, que trata datos de salud.

Lo legal lo visa Gian Piero Serafini San Celedonio, abogado de la Universidad Católica de Chile. Este artículo es contenido educativo y no reemplaza esa revisión.

Si quieres saber cuáles de las seis tareas ya tienes resueltas y cuáles no, el diagnóstico gratis parte por ahí. Con prórroga o sin ella.

Equipo LPage