Chile activa la ley de datos en diciembre de 2026

Actualización 24 de agosto de 2026: la implementación de la Ley 21.719 sumó en 2026 un informe final de la comisión asesora ministerial, una guía práctica del Gobierno para organismos públicos y varios análisis que detallan el alcance de sus nuevas obligaciones y sanciones. También se precisó el calendario de vigencia plena y la gradualidad del régimen para micro y pequeñas empresas.

La Ley de Protección de Datos Personales en Chile, Ley 21.719, entrará en plena vigencia el 1 de diciembre de 2026, tras un período de transición de 24 meses desde su publicación en diciembre de 2024. Con ese paso, el país reformará íntegramente la Ley 19.628, creará la Agencia de Protección de Datos Personales y alineará su marco con estándares más exigentes de privacidad.

¿Cuándo entra en vigencia la nueva ley?

La Ley 21.719 entra en plena vigencia el 1 de diciembre de 2026 y llega después de una transición de 24 meses desde su publicación en diciembre de 2024, según la información difundida por La Tercera y XMS. Ese hito marca el inicio operativo del nuevo estatuto de protección de datos personales.

La Academia Judicial de Chile incorporó la ley entre sus recursos de actualización normativa y precisó que el nuevo estatuto, que transforma la Ley 19.628, comienza ese día. FactorIT alertó además que, a mediados de 2026, la mayoría de las empresas todavía no tenía un plan integral para cumplirla, pese a que faltaban pocos meses para su entrada en vigor.

¿Qué cambia para organismos públicos y empresas?

La nueva ley obliga a organismos públicos, personas naturales, personas jurídicas y empresas que traten datos personales de personas en Chile, sin importar su tamaño o sector, de acuerdo con EIPD Chile y Lawwwing. Ontier Chile agrega que el régimen redefine el derecho a la privacidad en clave de entorno digital.

El Ministerio Secretaría General de la Presidencia publicó una Guía Práctica para facilitar la implementación de la nueva Ley de Datos Personales, con lineamientos técnicos y organizativos para organismos públicos. Ese documento explicita que la norma reformará íntegramente la Ley 19.628 y que la Agencia de Protección de Datos Personales será el eje del nuevo modelo institucional.

Ontier Chile sostiene que, desde su entrada en vigor, la ley incorpora obligaciones como evaluaciones de impacto, registro de actividades de tratamiento y deberes reforzados de seguridad para responsables y encargados del tratamiento. GRC360 describe una implementación por fases, con una primera etapa alrededor de diciembre de 2025 para poner en marcha la agencia y una segunda hacia diciembre de 2026 para activar obligaciones operativas como derechos ARCO ampliados, nombramiento de DPO y evaluaciones de impacto.

¿Qué sanciones prevé la ley?

La Ley 21.719 fija multas de hasta 5.000 UTM para infracciones leves, 10.000 UTM para infracciones graves y 20.000 UTM para infracciones gravísimas, según La Tercera. AGLAYA detalla que entre las conductas graves figuran omitir la notificación de una brecha de seguridad, tratar datos sin base de licitud o transferirlos a países sin garantías equivalentes.

La misma guía ubica como gravísimas el tratamiento ilícito de datos sensibles, el uso de datos de menores sin el consentimiento exigido, el desvío o comercialización fraudulenta de bases y la obstrucción a la Agencia. Surtika agrega que, durante los primeros 12 meses desde la plena vigencia, la Agencia solo podrá aplicar amonestación escrita a las empresas de menor tamaño, conforme al artículo sexto transitorio.

¿Qué institucionalidad crea?

La ley crea la Agencia de Protección de Datos Personales y le asigna un Consejo Directivo de tres consejeros designados por el Ejecutivo con acuerdo del Senado, según el diseño ya descrito en la nota original. Ese consejo podrá dictar normas interpretativas, certificar programas de cumplimiento y coordinar a otros organismos públicos en materia de tratamiento de datos.

La guía del Gobierno y el análisis de Ontier coinciden en que la agencia será el eje del nuevo modelo institucional. La Comisión Asesora Ministerial encargada de la implementación entregó su informe final a la ministra Macarena Lobos el 30 de enero de 2026, con recomendaciones para la puesta en marcha del nuevo sistema.

¿Por qué el debate llegó antes de la vigencia plena?

Porque la implementación ya avanzó por la vía administrativa y técnica, aun antes de que la ley comience a regir en forma completa. El informe final de la comisión asesora, la guía práctica del Gobierno y los análisis especializados muestran que la preparación empezó con antelación para evitar un salto brusco en diciembre de 2026.

En ese contexto, la discusión regulatoria se cruza con otros cambios en seguridad digital y cumplimiento. La Comisión para el Mercado Financiero comenzó a aplicar de forma estricta la normativa de Autenticación Reforzada de Clientes en transferencias electrónicas y pagos digitales, lo que obliga a la banca a abandonar las tarjetas de coordenadas y a reforzar los mecanismos de autenticación.

La nota original ya ubicaba esta ley dentro de un reordenamiento más amplio del entorno regulatorio digital del país, junto con la Ley Marco de Ciberseguridad 21.663, el avance del proyecto de ley de inteligencia artificial y la tramitación del proyecto sobre deepfakes. Ese mapa se mantiene y ahora suma un régimen de datos personales con sanciones, obligaciones técnicas y una institucionalidad propia para su aplicación.

Un marco que se vuelve más exigente

El resultado es un entorno de cumplimiento más denso para organismos públicos y empresas que tratan datos o dependen de servicios digitales. La nueva ley de datos, la Ley 21.663 de ciberseguridad y las reglas de autenticación en el sistema financiero empujan en la misma dirección: mayor control sobre el tratamiento de información y más exigencias sobre los canales digitales usados para operar.

Las lecturas sectoriales también anticipan impacto. La Revista Gestión y Tendencias analiza la ley como un cambio de paradigma en el ecosistema regulatorio chileno, con expectativas de mayor litigiosidad, más capacidades técnicas en la nueva Agencia y ajustes en industrias intensivas en datos como la financiera, la salud y el retail.