Chile ativa nova lei de dados em dezembro de 2026

Atualização 24 de agosto de 2026: a implementação da Lei 21.719 ganhou em 2026 um relatório final da comissão assessora ministerial, um guia prático do governo para órgãos públicos e vários análises que detalham o alcance das novas obrigações e sanções. Também foi definido com mais precisão o calendário de vigência plena e a gradualidade do regime para micro e pequenas empresas.

A Lei de Proteção de Dados Pessoais no Chile, a Lei 21.719, entra em plena vigência em 1º de dezembro de 2026, após um período de transição de 24 meses desde sua publicação, em dezembro de 2024. Com isso, o país reformará por completo a Lei 19.628, criará a Agência de Proteção de Dados Pessoais e alinhará seu marco a padrões mais rígidos de privacidade.

¿Cuándo entra en vigencia la nueva ley?

A Lei 21.719 entra em plena vigência em 1º de dezembro de 2026 e chega depois de uma transição de 24 meses desde sua publicação, em dezembro de 2024, segundo informações divulgadas por La Tercera e XMS. Esse marco assinala o início operacional do novo estatuto de proteção de dados pessoais.

A Academia Judicial do Chile incorporou a lei entre seus recursos de atualização normativa e indicou que o novo estatuto, que transforma a Lei 19.628, começa nessa data. A FactorIT alertou ainda que, em meados de 2026, a maioria das empresas ainda não tinha um plano integral para cumpri-la, apesar de faltarem poucos meses para sua entrada em vigor.

¿Qué cambia para organismos públicos y empresas?

A nova lei obriga órgãos públicos, pessoas naturais, pessoas jurídicas e empresas que tratem dados pessoais de pessoas no Chile, independentemente do porte ou setor, de acordo com a EIPD Chile e a Lawwwing. A Ontier Chile acrescenta que o regime redefine o direito à privacidade em chave de ambiente digital.

O Ministério Secretaria Geral da Presidência publicou um Guia Prático para facilitar a implementação da nova Lei de Dados Pessoais, com diretrizes técnicas e organizacionais para órgãos públicos. O documento explicita que a norma reformará integralmente a Lei 19.628 e que a Agência de Proteção de Dados Pessoais será o eixo do novo modelo institucional.

A Ontier Chile sustenta que, a partir da entrada em vigor, a lei incorpora obrigações como avaliações de impacto, registro de atividades de tratamento e deveres reforçados de segurança para responsáveis e operadores do tratamento. A GRC360 descreve uma implementação em fases, com uma primeira etapa por volta de dezembro de 2025 para colocar a agência em funcionamento e uma segunda em dezembro de 2026 para ativar obrigações operacionais como direitos ARCO ampliados, nomeação de DPO e avaliações de impacto.

¿Qué sanciones prevé la ley?

A Lei 21.719 fixa multas de até 5.000 UTM para infrações leves, 10.000 UTM para infrações graves e 20.000 UTM para infrações gravíssimas, segundo La Tercera. A AGLAYA detalha que entre as condutas graves estão omitir a notificação de uma violação de segurança, tratar dados sem base de licitude ou transferi-los para países sem garantias equivalentes.

O mesmo guia situa como gravíssimos o tratamento ilícito de dados sensíveis, o uso de dados de menores sem o consentimento exigido, o desvio ou comercialização fraudulenta de bases e a obstrução à Agência. A Surtika acrescenta que, durante os primeiros 12 meses desde a vigência plena, a Agência só poderá aplicar advertência escrita às empresas de menor porte, conforme o artigo sexto transitório.

¿Qué institucionalidad crea?

A lei cria a Agência de Proteção de Dados Pessoais e lhe atribui um Conselho Diretor de três conselheiros designados pelo Executivo com aval do Senado, segundo o desenho já descrito na nota original. Esse conselho poderá editar normas interpretativas, certificar programas de conformidade e coordenar outros órgãos públicos em matéria de tratamento de dados.

O guia do governo e a análise da Ontier concordam que a agência será o eixo do novo modelo institucional. A Comissão Assessora Ministerial encarregada da implementação entregou seu relatório final à ministra Macarena Lobos em 30 de janeiro de 2026, com recomendações para a entrada em operação do novo sistema.

¿Por qué el debate llegó antes de la vigencia plena?

Porque a implementação já avançou pela via administrativa e técnica, antes mesmo de a lei começar a valer de forma completa. O relatório final da comissão assessora, o guia prático do governo e as análises especializadas mostram que a preparação começou com antecedência para evitar uma mudança brusca em dezembro de 2026.

Nesse contexto, a discussão regulatória se cruza com outras mudanças em segurança digital e conformidade. A Comissão para o Mercado Financeiro começou a aplicar de forma rigorosa a norma de Autenticação Reforçada de Clientes em transferências eletrônicas e pagamentos digitais, o que obriga o setor bancário a abandonar as tarjas de coordenadas e reforçar os mecanismos de autenticação.

A nota original já situava essa lei dentro de um rearranjo mais amplo do ambiente regulatório digital do país, ao lado da Lei Marco de Cibersegurança 21.663, do avanço do projeto de lei de inteligência artificial e da tramitação do projeto sobre deepfakes. Esse quadro se mantém e agora soma um regime de dados pessoais com sanções, obrigações técnicas e uma institucionalidade própria para sua aplicação.

Un marco que se vuelve más exigente

O resultado é um ambiente de conformidade mais denso para órgãos públicos e empresas que tratam dados ou dependem de serviços digitais. A nova lei de dados, a Lei 21.663 de cibersegurança e as regras de autenticação no sistema financeiro empurram na mesma direção: mais controle sobre o tratamento de informações e mais exigências sobre os canais digitais usados para operar.

As leituras setoriais também antecipam impacto. A Revista Gestión y Tendencias analisa a lei como uma mudança de paradigma no ecossistema regulatório chileno, com expectativa de mais litigiosidade, maior capacidade técnica na nova Agência e ajustes em setores intensivos em dados, como financeiro, saúde e varejo.