La cuenta regresiva empezó en diciembre de 2024 y termina dentro de tres meses, cuando el 1 de diciembre entre en vigencia la ley de protección de datos personales, que establece exigentes obligaciones a servicios públicos y empresas al momento de tratar información privada de las personas, reconociendo los derechos de los titulares de los datos.

La iniciativa, que también crea una agencia estatal especializada de supervisar el tema, establece un nuevo régimen de infracciones y significativas sanciones económicas a eventuales empresas infractoras que podrían fluctuar, inicialmente, entre $358 millones (5 mil UTM) y $1.400 millones (20 mil UTM), pero incluso esos valores podrían triplicarse o llegar al 4% de los ingresos anuales por ventas y servicios de una firma si la Agencia de Protección de Datos Personales (APDP) detecta conductas reincidentes y agravantes.

Las empresas se están preparando para poder dar cumplimiento a esta nueva legislación. Pero no todas están listas. Reflejo de ello es que en los últimos meses ha llegado una avalancha de consultas a firmas de asesoría especializada. Esto ocurre especialmente entre las empresas medianas y pequeñas, dado que las más grandes se han venido preparando desde que se publicó la ley.

Sin ir más lejos, el gerente general de la Asociación de Bancos (Abif), Luis Opazo, asegura que desde que se aprobó la ley, “los bancos han trabajado en su implementación y, complementariamente, la Asociación ha conformado un grupo de trabajo específico en esta materia que se encuentra trabajando en la definición de recomendaciones para la implementación de la ley”.

La presidenta de la Confederación de la Producción y del Comercio (CPC), Susana Jiménez, explica que “las empresas más grandes, que cuentan con mayores recursos, han venido preparándose para la entrada en vigencia de la nueva ley, revisando sus protocolos internos, adecuando sistemas y procedimientos para el tratamiento y resguardo de la información, fortaleciendo sus modelos de cumplimiento y capacitando a sus equipos. Se trata de un proceso que exige cambios tecnológicos, jurídicos y organizacionales, y que presenta, naturalmente, distintos grados de avance según el tamaño y la realidad de cada compañía”.

El exsubsecretario del Interior, Felipe Harboe, fue uno de los autores de la moción que originó la Ley 21.719 cuando era senador. Asegura que en H&CO Abogados, donde es socio principal, llevan más de 90 empresas diagnosticadas o adaptadas a la nueva ley. “Estamos con alta demanda tanto en adecuación legal como tecnológica. Hay muchas industrias que han avanzado mucho, pero creo que aún falta, particularmente las empresas medianas, startup y pymes, sectores para los cuales diseñamos programas especiales”, puntualiza.

Por su parte, Marcelo Drago, socio de Data Compliance, y presidente de la Asociación chilena de profesionales en protección de datos (AGPD), cuenta que desde hace unos dos meses han visto un fuerte incremento de solicitudes de asesoría. Asegura que las empresas más grandes empezaron a prepararse hace un año y medio atrás, “apenas la ley se estaba despachando”.

Pero Drago afirma que empresas de menor tamaño han ido avanzando poco a poco, “aunque hay sectores que no han avanzado. La experiencia internacional muestra que todos se preparan especialmente en los últimos seis meses”, puntualiza. Eso sí, estima que “el que está más atrasado es el Estado, los municipios, muchos órganos autónomos, el gobierno central; con excepción de Carabineros y las Fuerzas Armadas”.

Francisco Plass, socio de la oficina GNP_Canales Abogados Laborales, comenta que en las últimas semanas han visto un aumento importante de las consultas por parte de los equipos jurídicos de las empresas. “El desafío es que aquellas empresas que recién están comenzando a abordar esta materia tienen poco margen de tiempo. La implementación requiere revisar procesos, contratos, políticas internas, sistemas y prácticas que involucran el tratamiento de datos personales, por lo que no es un cambio que pueda resolverse de un día para otro”, afirma.

No hay Agencia

La entrada en vigencia de la ley ocurrirá sin que esté operando aún la Agencia de Protección de Datos Personales, pese a que el plazo establecido por ley venció el 1 de junio. “Ha costado encontrar a las personas que integren el consejo”, confesó a inicios de mes el ministro de Economía, Daniel Mas.

Es que en marzo el gobierno envió al Senado un oficio nominando a los tres consejeros (Constanza Pasarin, Benjamín Saenz y Leonardo Soto) que encabezarían la Agencia, entidad autónoma, con amplias facultades de regulación, interpretación, fiscalización y sanción respecto de esta ley. Pero como hubo cuestionamientos, el Ejecutivo retiró su propuesta e ingresó una segunda terna (Joselyn Biermann, Roberto Godoy y Matías Larraguibel), que se votó en mayo en el Senado, pero resultó rechazada al no lograr el quórum de dos tercios de los votos requeridos.

Los senadores primero alegaron inhabilidades, las que fueron refutadas por el gobierno. Y luego justificaron su voto en contra al cuestionar la idoneidad de los candidatos y el perfil de los nominados. Pero fuentes con conocimiento del asunto, aseguran que el rechazo estuvo ligado a que los candidatos no representaban sensibilidades del mundo político.

Previo a la votación, el ministro de la Secretaría General de la Presidencia, José García Ruminot, hizo ver a los senadores la dificultad de encontrar profesionales que cumplan los requisitos exigidos en la ley, que establecen dedicación exclusiva al cargo, y una serie de inhabilidades e incompatibilidades, con remuneraciones que calificó como “bajas”, al prohibir ejercer otras actividades remuneradas. “Eso ha resultado una tremenda limitación”, confesó en mayo.

Según las recomendaciones que hizo en 2025 la comisión asesora ministerial para la ley de protección de datos, “la ley previó remuneraciones brutas proyectadas, para el presidente del consejo, de $7,1 millones, y de $6 millones para los consejeros, las que se encuentran por lejos muy por debajo del promedio de jefaturas de servicio de organismos fiscalizadores comparables”. Así, propusieron salarios de $12 millones para los consejeros y $13,5 millones para el presidente.

Bajo este escenario, en que la Agencia no se ha podido instalar, a inicios de este mes el gobierno dijo que está evaluando una posible postergación de la entrada en vigencia de la ley en cuestión. Una decisión que, en todo caso, no está totalmente zanjada, y que requeriría de una ley corta. Tras consultar al Ministerio de Economía sobre este asunto, prefirieron no referirse al tema.

Gremios piden aplazar

Los gremios de las grandes empresas llaman a aplazar la puesta en marcha de la ley. La presidenta de la CPC afirma que “en las actuales condiciones, creemos que es necesario postergar la entrada en vigencia de la ley para asegurar una transición ordenada y coherente. La nueva normativa debiera comenzar a regir una vez que la Agencia se encuentre plenamente operativa y haya podido avanzar en las definiciones necesarias para su aplicación, dando a las empresas certeza y reglas claras para completar los ajustes que correspondan”.

Jiménez agrega que “la complejidad y exigencia de la ley mantienen todavía algunas materias que requieren mayor claridad, como la definición, demasiado amplia, de datos sensibles y las restricciones al tratamiento de información proveniente de fuentes públicas, entre otras disposiciones”.

La presidenta de Sofofa, Rosario Navarro, apunta a lo mismo. “Considerando los desafíos que este proceso supone para las empresas y que, además, aún no se encuentra constituido el consejo directivo de la Agencia, creemos importante evaluar si están dadas las condiciones para una adecuada puesta en marcha de la nueva normativa en los plazos originalmente propuestos. Para que los objetivos de la ley se cumplan apropiadamente, es fundamental contar con una institucionalidad preparada y criterios claros para la aplicación de las nuevas obligaciones” sostiene.

Navarro agrega que “esto no impide que las empresas continúen avanzando en su preparación, siendo un potencial aplazamiento una oportunidad para que lleguen mejor preparadas para su cumplimiento. Contar con un proceso de implementación claro y predecible, y una institucionalidad operando, permitirá proteger los derechos de las personas y, al mismo tiempo, entregar mayor certeza jurídica y un marco claro y adecuado para la inversión, el empleo y el crecimiento”.

El gerente general de la Abif también afirma que el gremio cree necesario prorrogar la entrada en vigencia de la ley. “La principal razón es la incerteza jurídica que genera la falta de instalación de la Agencia, lo cual afecta a todas las entidades que tratan datos personales, no sólo la industria bancaria. Esto, ya que se requiere contar, con la debida anticipación, con directrices, guías o instrucciones, especialmente en materias donde confluyen regímenes generales y especiales, o donde exista una alta incidencia de tratamientos de datos personales”, afirma.

Lo que más preocupa a la industria bancaria es que “la falta de certeza jurídica podría dar espacio a distintas interpretaciones acerca del cumplimiento de la ley, especialmente en materias esenciales como las bases de licitud, cláusulas contractuales con proveedores, evaluaciones de impacto, ejercicio de derechos, transferencias y modelos de prevención, entre otros”, detalla Opazo.

Añade que, en la práctica, la ley en cuestión “contiene numerosas disposiciones, pero que actualmente no están definidas, ya que no existen directrices o lineamientos para su ejercicio, afectando tanto a los titulares de los datos como también a quienes son responsables de su tratamiento. Este escenario se complica aún más por el régimen sancionatorio de la ley que establece multas altísimas, por decisiones de cumplimiento que serán evaluados con criterios administrativos aún no disponibles”.

Por otra parte, Opazo asegura que la ausencia de la Agencia “impide la coordinación regulatoria que deberá existir con los órganos públicos que, por la naturaleza de sus funciones, ya ejercen potestades reguladoras, fiscalizadoras o interpretativas que inciden directamente en el tratamiento de datos personales, tanto para el sector público como para el privado”.

Sobre ello, critica que no existe un alineamiento de distintas regulaciones vigentes, con lo que establece esta nueva ley, lo que ha ocurrido como “consecuencia de la ausencia de la Agencia”. Aquí menciona la ley fintech (finanzas abiertas) y la ley sobre deuda consolidada (Redec), “en particular con respecto a los consentimientos necesarios para el uso de datos financieros”.

Una visión distinta tiene el presidente de Asech, Nicolás Shea, pues en el gremio que representa a los emprendedores creen que “la mayoría de las pymes no está lista para la Ley 21.719, pero no por eso hay que postergarla. La propia ley ya da un año de gracia a las pymes, con amonestaciones y no multas hasta fines de 2027. Ahí debe estar el foco: en acompañar a las pymes para que cumplan, no en correr la fecha”.

Seguros en alerta

Desde las aseguradoras van más allá y se refieren a un asunto más de fondo que, según argumentan, no quedó bien resuelto en la ley. “Es positivo que Chile avance en una mayor protección de los datos personales. En el caso de los seguros, nuestra preocupación es que la nueva ley no recoge la habilitación explícita que hoy permite utilizar datos personales con fines estadísticos y de tarificación, que son necesarios para evaluar adecuadamente los riesgos”, comenta Marcelo Mosso, director ejecutivo de la Asociación de Aseguradores (Aach).

Mosso explica que “la propia Ley 21.719 se inspiró en el estándar europeo, del cual España es un buen ejemplo: allí se protegen los datos personales con estándares altos y, al mismo tiempo, se habilitan expresamente las bases de datos comunes del seguro para tarificación y prevención del fraude”.

Es más, Mosso estima que “el efecto finalmente llega a las personas. Con menos información disponible, los riesgos deben estimarse con mayores márgenes de seguridad y prudencia, lo que generaría presión sobre las primas. Además, se debilita la capacidad de prevenir el fraude y se dificulta la entrada de nuevos competidores que no cuentan con registros propios de siniestralidad. Por eso, el desafío es proteger adecuadamente los datos sin impedir el uso responsable de información necesaria para el funcionamiento de los seguros”.

Los expertos

Felipe Harboe estima que “lo ideal sería que el gobierno enviara un proyecto aumentando de tres a cinco los consejeros de la Agencia, todos con dedicación exclusiva y que sólo se postergara la entrada en vigencia del capítulo de las sanciones, con lo cual se podrían pasar partes de cortesía, y así las empresas tienen más tiempo para seguir adecuándose, pero que no se postergue toda la ley”.

El gremio de datos personales que preside Drago señaló, mediante una declaración pública de la semana pasada, que “una postergación excesiva pondría en riesgo la certeza jurídica y desconoce a las numerosas organizaciones que, confiando en los plazos legales, ya han invertido y ejecutan seriamente sus planes de cumplimiento”. Sí propusieron un aplazamiento acotado de la entrada en vigencia de la ley, por un máximo de seis meses, e instalar la Agencia de aquí al 1 de diciembre.