A cuatro meses de su entrada en vigencia, la Ley N° 21.719 no tiene agencia fiscalizadora operativa y solo un 13% de las empresas chilenas se declara "muy preparada" para cumplirla. Expertos, empresas y académicos entregan su juicio a ESGHOY.
El 1 de diciembre de 2026 comienza a regir en Chile la Ley N° 21.719 de Protección de Datos Personales. El proyecto, pionero en Sudamérica y basado en el Reglamento General de Protección de Datos de la Unión Europea (GDPR), establece que todo tratamiento de datos personales que realice una persona natural o jurídica, incluidos los órganos públicos, debe respetar los derechos y libertades de las personas y queda sujeto a sus disposiciones.
La ley inició como proyecto en 2017, se publicó en el Diario Oficial el 13 de diciembre de 2024 y estableció un periodo de implementación de 2 años. Sin embargo, a solo cuatro meses de su entrada en vigencia, el sector público no está listo y las empresas se preparan con la incertidumbre de no entender qué va a ocurrir.
ESGHOY conversó con organizaciones públicas y privadas, y el consenso es claro: la ley busca una correcta gestión de los datos, pero el país llega justo, y en algunos frentes, tarde, a la meta.
Según Matías Aránguiz, director del Programa de Derecho, Ciencia y Tecnología UC, el tratamiento de datos sensibles requiere el consentimiento expreso del titular, aunque la ley contempla excepciones específicas en las que el tratamiento puede realizarse sin ese consentimiento: el ejercicio o defensa en tribunales, el ejercicio de derechos u obligaciones en el ámbito laboral, o cuando lo autorice directamente la ley.
En entrevista con ESGHOY señaló que al contar con una base jurídica válida, la empresa debe además respetar los principios de finalidad, proporcionalidad, seguridad, transparencia, confidencialidad y responsabilidad.
Para Luis Darío Torres, consultor de Ciencia de Datos de la ONU y Director de Programas Ejecutivos de la Facultad de Negocios de la Universidad de Nottingham, la ley chilena adopta un enfoque más reciente y se beneficia de varios años de experiencia en la aplicación del Reglamento General de Protección de Datos (GDPR), incorporando desde su origen una regulación sobre las decisiones automatizadas y un modelo de clasificación de infracciones que el reglamento europeo no contempla.
El principal problema no está en el texto de la ley, sino en quién la va a hacer cumplir. Tras dos intentos fallidos, el Senado ha desestimado la propuesta de consejeros para la Agencia de Protección de Datos Personales. Sin órgano directivo, la agencia no puede estructurarse internamente, definir su organización ni establecer los lineamientos técnicos necesarios antes de que comience el periodo de fiscalización y multas.
¿Resultado? Instituciones y empresas, tanto públicas como privadas, se quedan sin el tiempo ni la guía oficial necesaria para adaptar sus procesos de tratamiento de datos personales, lo que aumenta el riesgo de incumplimientos masivos y de falta de claridad jurídica.
Intentamos conversar con el Ministerio de Economía y la Segpres, pero por temas de agenda no alcanzaron a responder a tiempo para este reportaje. Sin embargo, el senador Pedro Araya (PPD), quien fue uno de los principales impulsores de la Ley, señala que existe una conversación abierta con el Ejecutivo: como el plazo para el nombramiento de consejeros ya venció, adelantar el proceso probablemente requerirá una ley habilitante. Por ahora, no hay fechas establecidas.
Tanto Aránguiz como Torres coinciden: «El principal desafío es identificar qué datos tienen y en qué procesos los están usando», dice Aránguiz.
Torres pone como ejemplo lo ocurrido en Europa: las empresas sobrerreaccionaron y construyeron una infraestructura de protección de datos tan grande que terminó desconectada de la operación real, un error que hoy se critica en la implementación de la GDPR.
«Los datos lo hacemos todos los días. La regulación nos pide que los ordenemos. El tema clave es justamente no hacer más de lo necesario. Hay que ser capaces de hacer gestión de los datos», señala, aclarando que sí hay empresas que efectivamente necesitan una gestión mayor.
Desde Acción Empresas, su directora ejecutiva, Constanza Pantaleón, coincide en que el principal desafío es mapear los datos y sus flujos, identificar dónde están, para qué se usan, quién accede a ellos, con quién se comparten y cuánto tiempo se conservan, y fortalecer la seguridad, conectando la protección de datos con ciberseguridad, continuidad operacional y gestión de incidentes. «También será clave poder demostrar el cumplimiento mediante políticas, procedimientos, registros, contratos, capacitaciones y controles. Por ello, es fundamental comenzar desde ahora con un autodiagnóstico, priorizar riesgos y cerrar brechas, transformando la protección de datos en una capacidad permanente de gestión, gobernanza y generación de confianza», afirma.
El trabajo gremial ha sido clave en ese proceso de aprendizaje colectivo. Constanza Pasarin, directora de la Asociación Gremial de Profesionales de Protección de Datos (AGPD), destaca que, en un tema donde todos están aprendiendo sobre la marcha, la colaboración gremial ha aportado no solo contenido conjunto, sino un buen clima de trabajo.
«Se ha entendido que esto no es una competencia entre quién cumple más o quién llega antes, sino un desafío que nos toca a todos por igual. Ese sentido de propósito compartido, de estar remando en la misma dirección, es lo que hace que la colaboración sea real y no solo declarativa», indica Constanza Pasarin.
Un ejemplo concreto de colaboración gremial es la Asociación de Marketing Digital y Data de Chile (AMDD), que ha incentivado entre sus socios la revisión integral de sus procesos de captura y tratamiento de datos personales, desde la actualización de formularios y consentimientos hasta el fortalecimiento de la gobernanza de datos.
«Este trabajo se ha acompañado de educación permanente a la industria con seminarios, talleres, artículos, guías y charlas sectoriales, como la realizada para la industria financiera y de la actualización del Código de Ética y Autorregulación. El Consejo de Ética y Autorregulación de la AMDD ofrece además un curso online gratuito para socios, y en agosto la asociación realizará un evento multigremial sobre el cambio cultural que implica esta ley para Chile y, especialmente, para la industria», indica Carolina Pinheiro, presidenta de la Asociación de Marketing Digital y Data de Chile.
La Encuesta de Protección de Datos Personales 2025 de PwC Chile, realizada junto a Fundación Generación Empresarial (FGE), pone el número a esa brecha: solo un 13% de las empresas se considera muy preparada, un 54% se declara medianamente preparada y un 33% se reconoce poco preparada.
«Este resultado refuerza los hallazgos anteriores: aunque existe cierta conciencia sobre los desafíos que implica la ley, la preparación concreta aún es limitada. La alta proporción de empresas que se consideran solo medianamente o poco preparadas sugiere que muchas organizaciones están en una etapa inicial de diagnóstico o planificación, pero aún no han implementado medidas robustas para cumplir con los requerimientos normativos», señala el estudio.
No existen estudios de este año que indiquen el estatus de las empresas, sin embargo, Constanza Pasarín de AGPD, advierte como consejo que si las empresas no están listas, es mejor asumir que se terminará más tarde y planificar en consecuencia. “Comprimir artificialmente los tiempos no ordena los datos; solo genera una sensación de avance que después no resiste una revisión e implementación seria”.
Puedes leer también: CCS publica guía práctica para que las PYMES chilenas se preparen ante la Ley de Protección de Datos
Felipe González San Martín, Gerente de Protección de Datos Personales en Claro Chile y Delegado de Protección de Datos Personales en de la compañía, señala que la compañía lleva más de un año trabajando de manera transversal en la preparación para la entrada en vigencia de la Ley N° 21.719, involucrando a toda la organización y promoviendo una visión común sobre la importancia del tratamiento responsable de los datos personales.
«Más que una adecuación jurídica, este proceso supone una transformación cultural: incorporar la privacidad y el uso responsable de la información en las decisiones cotidianas, el diseño de procesos y la relación con las personas», señala Felipe San Martín.
Entre los principales cambios impulsados por la compañía destacan:
Carolina Olavarría, gerente de Protección de Datos de Banco Bci, dice que llevan trabajando sistemáticamente en protección de datos personales desde 2023, antes de la aprobación de la nueva ley y anticipándose a los estándares que esta incorporaría.
Están creando una gerencia especializada y conformando un equipo multidisciplinario para liderar esta materia de manera transversal: «Hemos avanzado en la formación de nuestros equipos, la adecuación de procesos y la incorporación de la privacidad desde el diseño”.
Además, están fortaleciendo políticas, procesos y canales “para que las personas puedan ejercer sus derechos y gestionar sus consentimientos y preferencias de manera simple y transparente”, precisa.
Suscribete a nuestro newsletter para recibir información sobre tus contenido preferidos.
