Agencia de Protección de Datos Personales: qué hará, cuándo empieza y cómo fiscalizará

¿Qué es la Agencia de Protección de Datos Personales y de quién depende?

La Ley 21.719 reformó la Ley 19.628 y agregó un Título VI sobre la autoridad de control. Su artículo 30 crea la Agencia de Protección de Datos Personales: una corporación autónoma de derecho público, técnica y descentralizada, con personalidad jurídica y patrimonio propio.

No depende jerárquicamente de un ministerio. La ley dice que se relaciona con el Presidente de la República a través del Ministerio de Economía, Fomento y Turismo, que es el canal formal con el Gobierno; por ese ministerio se aprueban, por ejemplo, sus estatutos (artículo 30 octies). Su domicilio lo fijará un reglamento.

Su objeto es velar por la protección de la vida privada y los datos personales y fiscalizar el cumplimiento de la ley.

Ojo: ninguna asociación, gremio o empresa privada, por parecido que sea su nombre, tiene facultades para fiscalizar, pedir documentos ni sancionar. Si recibes un requerimiento, revisa que venga de la Agencia y cite la ley.

Cómo se integra el Consejo Directivo de la Agencia

La dirección superior corresponde al Consejo Directivo (artículo 30 ter). Sus reglas principales están en los artículos 30 quáter a 30 nonies de la ley y en el artículo cuarto transitorio de la Ley 21.719:

• Integrantes: tres consejeros, propuestos por el Presidente de la República y aprobados por dos tercios de los senadores en ejercicio. Deben tener reconocido prestigio profesional o académico en protección de datos.
• Duración: seis años, sin reelección, con renovación individual cada dos años. Por eso la primera propuesta debe incluir un consejero por dos años, otro por cuatro y otro por seis (artículo cuarto transitorio).
• Funcionamiento: decide por mayoría, sesiona con dos consejeros y al menos una vez por semana. El Consejo elige a su presidente, que es el jefe de servicio y representa a la Agencia (artículo 30 nonies).
• Incompatibilidades: dedicación exclusiva, salvo docencia hasta doce horas semanales. No puede ser consejero quien, en el último año, haya sido gerente, director o delegado de datos de una empresa cuyo giro sea el tratamiento de datos personales, o haya tenido participación en su propiedad (artículo 30 quinquies).

¿Qué facultades tendrá la Agencia?

El artículo 30 bis enumera catorce funciones, de la letra a) a la n). Para una empresa, estas son las que más importan:

• Dictar instrucciones y normas generales obligatorias sobre el tratamiento de datos, previa consulta pública en su sitio web (letra a). Incumplirlas es, a lo menos, una infracción leve (artículo 34 bis, letra e).
• Fiscalizar: puede exigir a quien trate datos cualquier documento, libro o antecedente necesario (letra c). Incumplir un requerimiento específico y directo de la Agencia es una infracción grave (artículo 34 ter, letra n).
• Determinar infracciones: puede citar a declarar al representante legal, administradores, asesores y trabajadores, y a cualquier persona que conozca hechos relevantes (letra d).
• Sancionar con las multas del artículo 35 (letra e) y resolver los reclamos de los titulares (letra f).
• Certificar, registrar y supervisar los modelos de prevención de infracciones y administrar el Registro Nacional de Sanciones y Cumplimiento (letra m).
• Fiscalizar las transferencias internacionales, con facultad de suspender temporalmente el envío de datos en casos calificados (artículo 29).

¿En qué estado está la instalación de la Agencia?

La Ley 21.806, publicada el 5 de febrero de 2026, modificó el artículo cuarto transitorio: la primera designación de consejeros debía hacerse seis meses antes de la entrada en vigencia, es decir, para el 1 de junio de 2026. La propuesta al Senado debía enviarse entre los 80 y los 60 días anteriores a ese plazo, y si el Senado no se pronunciaba a tiempo, se entendía aprobada.

Según la ficha oficial del Senado (Boletín S 2716-05), el Presidente de la República ingresó su propuesta de tres consejeros el 2 de abril de 2026. Las comisiones unidas de Constitución y de Economía la revisaron y la Sala la rechazó el 19 de mayo de 2026, por no alcanzar los dos tercios. Como el Senado votó, no operó la aprobación por silencio.

Al 11 de octubre de 2026 no consta en las fichas del Senado una nueva propuesta de consejeros ni, por tanto, un Consejo Directivo nombrado. El Gobierno presentó el Boletín 18.623-07, que propone postergar la vigencia al 1 de diciembre de 2027 y subir el Consejo a cinco integrantes, con el fundamento declarado de dar tiempo para instalar la Agencia. Está en primer trámite en el Senado: no es ley. Detalle en la guía de vigencia de la ley.

Mientras la ley no entre en vigencia, un Consejo ya nombrado solo podría dictar instrucciones, interpretar la ley, difundir, proponer normas y organizar la Agencia, y lo que dicte obligará recién desde la entrada en vigencia (artículo cuarto transitorio). Antes de esa fecha, el soporte técnico y administrativo de los consejeros lo provee la Subsecretaría de Economía y Empresas de Menor Tamaño (artículo 55 de la Ley 21.806).

¿Qué pasa si un titular reclama ante la Agencia?

El reclamo del artículo 41 no parte en la Agencia, sino en tu empresa. Primero, la persona te pide acceso, rectificación, supresión, oposición, portabilidad o bloqueo, y tienes 30 días corridos para responder, prorrogables una vez por otros 30 (artículo 11). Si niegas la solicitud, debes fundarla y avisarle que puede reclamar ante la Agencia.

Si la niegas o no respondes a tiempo, el titular tiene 30 días hábiles para reclamar. El procedimiento sigue estas reglas:

• La Agencia tiene 10 días hábiles para acoger el reclamo a trámite; si no se pronuncia, se entiende acogido.
• En casos justificados, y después de oírte, puede suspender el tratamiento de los datos de esa persona mientras se resuelve.
• Tu empresa tiene 30 días corridos, prorrogables por igual plazo, para responder con todos sus antecedentes. Puede allanarse, es decir, reconocer el reclamo y acreditar que ya lo resolvió.
• Puede haber un término de prueba de 10 días hábiles y una audiencia para llegar a un acuerdo.
• La Agencia debe resolver en un plazo máximo de seis meses. Incumplir esa resolución es una infracción gravísima (artículo 34 quáter, letra i).

Cómo es el procedimiento de fiscalización y sanción de oficio

El artículo 42 regula el procedimiento sancionatorio. La Agencia puede iniciarlo de oficio o a petición de parte, como resultado de una fiscalización o de un reclamo. En un caso hipotético, una pyme de 40 trabajadores no reporta una filtración y la Agencia se entera por la prensa. Así avanzaría:

Qué conviene tener listo antes de un requerimiento de la Agencia

Lo que no esté documentado antes de un requerimiento difícilmente se arma en los quince días hábiles de los descargos. Una lista de trabajo razonable:

• Un domicilio y un correo publicados y revisados (artículo 14 ter, letra c). Ahí se notifican las solicitudes de los titulares y los cargos. Carecer de ese medio actualizado y operativo es una infracción leve (artículo 34 bis, letra b).
• El Canal para el ejercicio de los derechos del titular, con respaldo de cada respuesta, su fecha y su contenido íntegro, como exige el artículo 11.
• El inventario de tratamientos: qué datos usa cada área, para qué, con qué base legal y con quién los comparte. Ver la guía del registro de actividades de tratamiento.
• La política de tratamiento y las medidas de seguridad publicadas (artículo 14 ter), y un procedimiento para reportar vulneraciones a la Agencia sin dilaciones indebidas (artículo 14 sexies).
• Los contratos de encargo de tratamiento con los proveedores que tratan datos por cuenta de tu empresa.
• Un responsable interno de responder a la Agencia. En el modelo de prevención de infracciones ese rol es el Delegado de Protección de Datos Personales (DPO), primer elemento mínimo del modelo (artículo 49 de la ley y artículo 6 del Decreto 662).

Preguntas frecuentes

Fuentes

• Ley 19.628 sobre protección de la vida privada, texto vigente desde el 1 de diciembre de 2026 (BCN)
• Ley 21.719, texto y disposiciones transitorias (BCN)
• Ley 21.806, artículos 54 y 55, sobre la designación del primer Consejo Directivo (BCN)
• Boletín S 2716-05, propuesta de consejeros de la Agencia y su rechazo (Senado)
• Desestiman propuesta de consejeros para la Agencia de Protección de Datos Personales (Senado, 20 de mayo de 2026)
• Boletín 18.623-07, ficha de tramitación (Senado)