El Ejecutivo evalúa postergar por un año la entrada en vigencia de la Ley Nº 21.719, trasladándola desde el 1 de diciembre de 2026 hasta el 1 de diciembre de 2027.
Una eventual ampliación del plazo puede ser razonable si permite que la institucionalidad esté funcionando. Pero hay algo que no debería cambiar: la protección de datos personales ya es un asunto de gobierno corporativo y gestión de riesgos, no simplemente una tarea para abogados o áreas de tecnología.
La ley fue publicada en diciembre de 2024 y estableció un período amplio para que las organizaciones pudieran prepararse. Si se aprueba una postergación, habrá más tiempo, pero no una razón para detener la adaptación.
La nueva regulación exige que las organizaciones puedan demostrar responsabilidad sobre el tratamiento de los datos: saber qué información manejan, para qué la utilizan, cuánto tiempo la conservan, cómo la protegen y cuáles son los riesgos asociados. También contempla programas de cumplimiento y la posibilidad de contar con un encargado de protección de datos con autonomía y recursos suficientes. La responsabilidad alcanza a la máxima autoridad de la organización y, cuando corresponda, al directorio.
Por eso, la eventual prórroga debería entenderse como una oportunidad para hacer mejor las cosas, no como una invitación a esperar. Un año adicional puede permitir ordenar inventarios de datos, revisar contratos con terceros, establecer protocolos, definir responsabilidades y fortalecer los sistemas de seguridad.
Las consecuencias de no hacerlo tampoco son menores. Las infracciones más graves pueden llegar a multas de hasta 20.000 UTM y, en casos de reincidencia de grandes empresas, hasta el 4% de sus ingresos anuales. A ello se suman eventuales acciones civiles y un registro público de sanciones.
Aquí aparece la dimensión propiamente corporativa del desafío. Un directorio no solo debe reaccionar frente a riesgos que ya ocurrieron; debe anticipar aquellos que son previsibles y que pueden afectar el patrimonio, la reputación y la continuidad del negocio. Si desde 2024 una organización sabe que enfrentará un cambio profundo en sus obligaciones sobre datos personales, esperar hasta que exista una fecha definitiva para comenzar a prepararse no parece una buena práctica de gestión.
La discusión actual también deja una lección institucional. La implementación de una regulación de esta magnitud requiere una autoridad fiscalizadora operativa, reglas claras y capacidad para entregar criterios que permitan cumplir adecuadamente. Esa es una razón válida para revisar el calendario. Pero no debiera confundirse una buena implementación con postergar la gestión de riesgos.
En definitiva, si el 1 de diciembre de 2026 se transforma finalmente en 1 de diciembre de 2027, habrá un año adicional para prepararse. Lo que no debería existir es un año adicional para no hacer nada.
La protección de datos personales ya forma parte de la agenda de cumplimiento, riesgo y gobierno corporativo. La verdadera pregunta para los directorios no es cuándo comenzará a regir la ley, sino si la organización estará preparada cuando llegue ese momento.
Dr. Jorge Suárez Campos
Director del Magíster en Dirección de Empresas
Universidad Autónoma de Chile
Enviando corrección, espere un momento...
