Chile mantém adiamento da Lei 21.719

Atualização 6 de outubro de 2026: a iniciativa de adiamento ainda não havia começado a tramitar em 1º de outubro e a expectativa era de que isso ocorresse em meados daquele mês. Ao mesmo tempo, a oposição passou a defender a redução do prazo para seis meses, e surgiram propostas para uma implementação gradual de algumas disposições.

O adiamento da Lei 21.719 de proteção de dados segue em tramitação e, enquanto não for aprovado e publicado, a entrada em vigor continua marcada para 1º de dezembro de 2026. Ao mesmo tempo, o debate político passou a incluir alternativas para reduzir o prazo de um ano proposto pelo Executivo ou para aplicar a norma em etapas, mas nenhuma dessas opções alterou até agora o calendário legal.

O que muda com o projeto no Senado?

CSiTI afirma que a mudança ainda não está em vigor porque o projeto segue o rito legislativo. Por isso, até que haja aprovação e publicação, não cabe tratar o adiamento como resolvido. Nesse contexto, a análise da empresa destaca que o ponto central para companhias e órgãos públicos é não reprogramar a conformidade com base em um anúncio ainda não sancionado.

Em 1º de outubro de 2026, o projeto de adiamento ainda não havia iniciado sua tramitação. A Tercera informou que a discussão era esperada para meados de outubro, enquanto Pedro Araya havia antecipado que a análise poderia começar na segunda semana do mês.

Que data o adiamento propõe?

Segundo uma coluna da BioBioChile, o projeto não apenas deslocaria a entrada em vigor para 1º de dezembro de 2027, como também ampliaria o conselho da Agência de Proteção de Dados Pessoais de três para cinco integrantes e anteciparia a designação de seu primeiro conselheiro. Essa informação, porém, precisa ser confrontada com o texto oficial da mensagem.

A discussão também ganhou uma leitura mais limitada a partir da oposição. O Pauta informou que setores opositores propuseram reduzir de um ano para seis meses o adiamento sugerido pelo Executivo. A CONADECUS, por sua vez, indicou que o debate pode incorporar uma implementação gradual de diferentes disposições, além das alternativas de adiamento por um ano ou por seis meses.

Quais obrigações de compliance continuam válidas?

CSiTI relaciona o Decreto Supremo 662 a um padrão de diligência que poderia ser comprovado por meio de um modelo de prevenção de infrações. No mesmo análise, a empresa explica que o novo regulamento sobre implementação e certificação desses modelos busca organizar como o cumprimento será demonstrado, mesmo que o adiamento seja aprovado depois.

Para pequenas e médias empresas, o projeto não alteraria as obrigações substantivas da Lei 21.719, mas principalmente o momento em que as sanções por descumprimento passariam a valer. Outra análise privada acrescenta que, durante o período inicial, a Agência poderia aplicar uma advertência por escrito em vez de multa a qualquer empresa, embora isso dependa da autoridade e não seja uma garantia automática.

O que acontece com as transferências internacionais de dados?

Uma análise jurídica especializada sustenta que o projeto de adiamento não modificaria o regime de transferências internacionais de dados. Nessa leitura, a matéria seguiria dependendo de um instrumento provisório até que a Agência de Proteção de Dados Pessoais regulasse o tema.

A interpretação aparece em uma coluna do Diario Financiero e não representa uma mudança legal já em vigor, mas uma leitura sobre o alcance do projeto enquanto ele continua em tramitação. O mesmo texto coloca o foco do adiamento no Conselho Diretor da Agência de Proteção de Dados Pessoais.

O que dizem os sinais do setor privado?

O Emol informou que 72% das empresas no Chile reconhece não estar preparada para a nova Lei de Proteção de Dados Pessoais, embora a metodologia dessa medição não esteja disponível no resultado consultado. Ao mesmo tempo, o Portal Innova registrou, por meio da GlobalLogic, que o adiamento busca dar mais tempo para instalar a nova institucionalidade e facilitar a adaptação de organizações públicas e privadas.

O G5 Noticias, em uma coluna assinada por uma representante regional da Sophos, apontou riscos associados a postergar a lei, uma reação empresarial do setor de cibersegurança que funciona como termômetro da preocupação no mercado. Em paralelo, o The Clinic publicou declarações de Diego Morandé, que afirmou que a lei se aplica a qualquer pessoa que trate dados, do porteiro do prédio a uma multinacional.

Outra cobertura indica que a iniciativa proporia aumentar de três para cinco os integrantes do conselho diretor da futura Agência de Proteção de Dados Pessoais, fixar um quórum de três membros e antecipar a designação do primeiro conselho em até doze meses antes da entrada em vigor da lei. Essa mesma leitura atribui ao projeto uma mudança no regime transitório de sanções, com advertência por escrito para todos os regulados durante o primeiro ano, em vez de limitá-la a empresas de menor porte.

A DSN Group também afirmou que, em maio de 2026, o Senado rejeitou as indicações do governo para o conselho da Agência, de modo que o regulador ainda não estaria constituído nem teria emitido orientações, cláusulas-modelo ou decisões de adequação. Essa afirmação exige confirmação oficial adicional.