¿Cuándo entra en vigencia la Ley 21.719 y qué pasa con la postergación?
La ley de protección de datos (Ley 21.719) entra en vigencia el 1 de diciembre de 2026, según su artículo primero transitorio. El proyecto que propone moverla al 1 de diciembre de 2027 (Boletín 18.623-07) sigue en primer trámite en el Senado al 11 de octubre de 2026: no es ley y, mientras no se publique, la fecha vigente es la de 2026.
Por Juancarlo Barahona, Delegado de Protección de Datos Personales (DPO) de Orbix Consultor.
Revisado al 11 de octubre de 2026, contra el texto oficial de la ley. Esta guía explica la norma en términos generales y no reemplaza el análisis de un caso concreto.
¿Cuándo entra en vigencia la ley de protección de datos?
La Ley 21.719 se publicó en el Diario Oficial el 13 de diciembre de 2024, pero su artículo primero transitorio difirió su aplicación: las modificaciones a la Ley 19.628 rigen desde el primer día del mes vigésimo cuarto posterior a la publicación.
El cálculo es simple: enero de 2025 es el primer mes posterior a la publicación y diciembre de 2026 es el vigésimo cuarto. Por eso la fecha es el 1 de diciembre de 2026. El propio Gobierno lo reconoce así en el mensaje del proyecto de postergación.
Fecha
Hito
Situación
13 de diciembre de 2024
Publicación de la Ley 21.719 en el Diario Oficial
Hecho
1 de septiembre de 2026
Ingreso al Senado del proyecto de postergación (Boletín 18.623-07)
En tramitación
9 de septiembre de 2026
Publicación del Decreto 662 (reglamento del modelo de prevención de infracciones)
Publicado, CVE 2865940
1 de diciembre de 2026
Entrada en vigencia fijada por la ley
Fecha vigente
1 de diciembre de 2027
Fecha que propone el proyecto
Solo propuesta
Las modificaciones a las leyes N° 19.628, sobre protección de la vida privada; N° 20.285, sobre acceso a la información pública, y N° 19.496, que establece normas sobre protección de los derechos de los consumidores, contenidas en los artículos primero, segundo y tercero permanentes de la presente ley, respectivamente, entrarán en vigencia el día primero del mes vigésimo cuarto posterior a la publicación de esta ley en el Diario Oficial.
¿Qué propone el proyecto de postergación de la Ley 21.719?
El proyecto es un mensaje del Presidente de la República, fechado el 31 de agosto de 2026 e ingresado al Senado el 1 de septiembre. Su fundamento declarado es dar tiempo para instalar la Agencia de Protección de Datos Personales antes de que la ley empiece a aplicarse y dar a los responsables de datos "un período razonable para adecuar sus procesos". Tiene un artículo único con cuatro cambios a la Ley 21.719, más dos disposiciones transitorias: una sobre el financiamiento del mayor gasto y otra que, si al publicarse faltaran menos de doce meses para la vigencia, obliga a designar a los consejeros dentro de los diez días siguientes:
Nueva fecha de vigencia: reemplaza la regla del mes vigésimo cuarto por "1 de diciembre de 2027" en el artículo primero transitorio.
Consejo Directivo más grande: sube de tres a cinco los consejeros de la Agencia y de dos a tres el quórum para sesionar.
Nombramiento anticipado del Consejo: los consejeros deberían designarse a más tardar doce meses antes de la entrada en vigencia, con remuneración y dedicación exclusiva desde su nombramiento. Hoy el artículo cuarto transitorio, ya modificado por la Ley 21.806, dice seis meses antes.
Amonestación para todos: elimina del artículo sexto transitorio la referencia a las empresas de menor tamaño, de modo que la posibilidad de amonestar en el primer año se aplique a todos los obligados.
¿En qué trámite está el proyecto de postergación?
Según la ficha oficial del Senado, consultada el 11 de octubre de 2026, el proyecto está en primer trámite constitucional en el Senado, en la etapa de primer informe de la Comisión de Constitución, Legislación, Justicia y Reglamento. Se dio cuenta de él el 1 de septiembre y pasó a esa comisión y a la de Hacienda, en su caso. No registra informes, indicaciones ni votaciones.
Tiene urgencia suma: la cámara requerida debe terminar su discusión y votación en quince días (artículo 27 de la Ley 18.918, orgánica constitucional del Congreso). En la práctica, el Ejecutivo la ha retirado y renovado el 8 de septiembre, el 22 de septiembre y el 6 de octubre de 2026, sin que el proyecto salga de la comisión.
Para ser ley le faltan, al menos, el informe de la comisión, la votación en la Sala del Senado, el segundo trámite en la Cámara de Diputados (y un tercero si la Cámara lo modifica), la promulgación y la publicación en el Diario Oficial.
¿Qué pasa si la postergación no se aprueba antes del 1 de diciembre?
Si el proyecto no está publicado como ley el 30 de noviembre de 2026, la Ley 21.719 entra en vigencia el 1 de diciembre de 2026 por el solo mandato de su artículo primero transitorio. No se necesita un decreto ni un anuncio adicional.
Que la Agencia de Protección de Datos Personales aún no esté plenamente instalada no suspende las obligaciones: afecta la capacidad de fiscalizar, no el deber de cumplir.
Además, la acción para perseguir una infracción prescribe en cuatro años desde el hecho, y en las infracciones continuadas ese plazo se cuenta desde que la infracción cesa (artículo 40 de la ley refundida). Un incumplimiento que sigue después del 1 de diciembre podrá revisarse cuando la Agencia esté operando.
El texto del proyecto tampoco trae una regla especial para el caso en que se publique después del 1 de diciembre: solo reemplaza la fecha. Cómo se resolvería ese escenario dependerá de lo que el Congreso agregue durante la tramitación.
¿Qué cambiaría para las pymes si se aprueba la postergación?
Hoy la ley trae una sola regla transitoria pensada para las empresas de menor tamaño (micro, pequeñas y medianas, según la Ley 20.416): durante los primeros doce meses de vigencia, cuando proceda una sanción, la Agencia podrá aplicar una amonestación por escrito en lugar de otra sanción. Es una facultad de la Agencia, no un año sin multas, y la amonestación queda inscrita en el Registro Nacional de Sanciones y Cumplimiento.
El proyecto mantiene esa facultad y el registro, pero borra la mención a las empresas de menor tamaño, de modo que cualquier responsable de datos podría recibir esa amonestación. Para una pyme, el efecto sería doble: un año más de preparación, pero sin un trato transitorio distinto al de las empresas grandes.
Lo que no cambia es el artículo 50: en las micro, pequeñas y medianas empresas, el dueño o sus máximas autoridades pueden asumir personalmente las tareas de Delegado de Protección de Datos Personales (DPO).
Durante los primeros doce meses luego de la entrada en vigencia de esta ley, en los casos en que proceda alguna sanción para empresas calificadas como de menor tamaño, de acuerdo a las categorías establecidas en el artículo segundo de la ley N° 20.416, que fija normas especiales para aquéllas, la Agencia podrá aplicar como sanción una amonestación por escrito, señalando a los responsables de datos la gravedad de la infracción, la conducta infractora, y las circunstancias atenuantes y agravantes de responsabilidad, si proceden. A esta amonestación será aplicable el deber de registro según lo dispone el artículo 39 de la presente ley.
El proyecto no toca ninguna obligación de fondo. Las bases de licitud, los derechos del titular, los deberes de seguridad, las infracciones leves, graves y gravísimas y sus multas (hasta 5.000, 10.000 y 20.000 UTM, según el artículo 35) quedan iguales. Si se aprueba, lo único que se mueve es el día desde el que se exigen.
El Decreto 662 de Hacienda, que reglamenta el modelo de prevención de infracciones del artículo 49, ya se publicó en el Diario Oficial el 9 de septiembre de 2026. Su contenido ya es público y sirve como pauta de trabajo, aunque la certificación, el registro y la supervisión de los modelos dependen de la entrada en vigencia de la ley y de que la Agencia esté constituida. Más detalle en la guía del Decreto 662.
El modelo exige, como elementos mínimos, la designación de un Delegado de Protección de Datos Personales y la definición de sus medios y facultades (artículo 49 de la ley y artículo 6 del Decreto 662), además de un inventario de los datos y de las actividades de riesgo de la empresa. Ese inventario no se hace en una semana: hay que recorrer cada área, desde personas hasta ventas, y documentar qué datos usa, para qué, con qué base legal y con quién los comparte.
Tema
Si el proyecto no se aprueba
Si el proyecto se aprueba
Fecha de vigencia
1 de diciembre de 2026
1 de diciembre de 2027
Obligaciones de fondo
Las de la ley refundida
Las mismas
Multas del artículo 35
Hasta 20.000 UTM
Las mismas
Amonestación en el primer año
Solo empresas de menor tamaño, facultativa
Todos los responsables, facultativa
Decreto 662
Publicado el 9 de septiembre de 2026
Publicado el 9 de septiembre de 2026
Consejo Directivo de la Agencia
Tres consejeros
Cinco consejeros
¿Conviene esperar la postergación para empezar a cumplir?
La fecha que hoy obliga es el 1 de diciembre de 2026. Planificar con una fecha que solo existe en un proyecto es apostar a un resultado legislativo que nadie puede asegurar. Lo prudente es trabajar con la fecha vigente y tratar una eventual postergación como tiempo extra para afinar, no como razón para partir más tarde.
Además, el trabajo de cumplimiento se hace una vez y sirve en ambos escenarios. Una pyme hipotética de 40 trabajadores, con software de remuneraciones, sistema de ventas y clientes en planillas, necesitará el mismo inventario, el mismo Canal para el ejercicio de los derechos del titular y los mismos contratos de encargo de tratamiento en 2026 que en 2027.
Un orden razonable para las semanas que quedan:
Designar al Delegado de Protección de Datos Personales y definir sus medios y facultades.
Habilitar el Canal para el ejercicio de los derechos del titular, con un responsable y plazos de respuesta.
Revisar los contratos con proveedores que tratan datos por cuenta de la empresa y firmar los contratos de encargo de tratamiento que falten.
Preparar el procedimiento de vulneraciones de seguridad: la ley exige reportar a la Agencia, sin dilaciones indebidas, las que generen un riesgo razonable para los titulares, y no fija un plazo en horas (artículo 14 sexies).
Revisar el estado del Boletín 18.623-07 en la ficha del Senado cada dos semanas: la urgencia suma vence a los quince días y hasta ahora el Ejecutivo la ha renovado cada vez.
Preguntas frecuentes
¿Cuándo entra en vigencia la Ley 21.719?+
La Ley 21.719, que reforma la ley de protección de datos personales (Ley 19.628), entra en vigencia el 1 de diciembre de 2026. Así lo fija su artículo primero transitorio: el primer día del mes vigésimo cuarto posterior a su publicación en el Diario Oficial, que fue el 13 de diciembre de 2024.
¿Hay una postergación aprobada de la ley de protección de datos?+
No. Al 11 de octubre de 2026 existe un proyecto de ley (Boletín 18.623-07) que propone mover la vigencia al 1 de diciembre de 2027, pero está en primer trámite en el Senado, en la Comisión de Constitución, sin votaciones registradas. Mientras no se apruebe en ambas cámaras y se publique en el Diario Oficial, la fecha vigente sigue siendo el 1 de diciembre de 2026.
¿Qué pasa si el proyecto de postergación no se aprueba antes del 1 de diciembre de 2026?+
La ley entra en vigencia el 1 de diciembre de 2026 de forma automática. Desde ese día sus obligaciones son exigibles y los incumplimientos son infracciones, aunque la Agencia de Protección de Datos Personales todavía no esté plenamente instalada. La acción para perseguir una infracción prescribe en cuatro años, y si la infracción es continuada, el plazo corre desde que cesa.
¿Las pymes tienen un año sin multas con la Ley 21.719?+
No. El artículo sexto transitorio dice que, durante los primeros doce meses de vigencia, la Agencia podrá aplicar una amonestación por escrito a las empresas de menor tamaño cuando proceda una sanción. Es una facultad, no una exención, y la amonestación queda inscrita en el Registro Nacional de Sanciones y Cumplimiento. El proyecto de postergación propone extender esa misma facultad a todas las empresas.
Si se aprueba la postergación, ¿cambian las obligaciones de la ley?+
No. El proyecto solo cambia la fecha de vigencia, la integración y el nombramiento del Consejo Directivo de la Agencia y la regla de amonestación del artículo sexto transitorio. Las bases de licitud, los derechos del titular, los deberes de seguridad, las infracciones y las multas de hasta 20.000 UTM quedan iguales.
El 1 de diciembre de 2026 la ley será plenamente exigible
La puesta en marcha toma alrededor de un mes; cerrar todas las brechas depende de cada empresa. En una demostración de 30 minutos revisamos tu caso: qué tratamientos realizas, qué brechas tienes y por dónde comenzar.