El 1 de septiembre de 2026, el Senado de Chile inició la tramitación del boletín 18623-07, un proyecto que modifica la Ley 21.719, el estatuto de protección de datos personales publicado en el Diario Oficial el 13 de diciembre de 2024, que crea la Agencia de Protección de Datos Personales (APDP) y cuya vigencia plena está fijada para el 1 de diciembre de 2026. El proyecto está en la fase legislativa más temprana: ingresado, estado En tramitación. Para todo responsable o encargado que prepara el arranque de diciembre, una modificación legal a la propia ley, tan cerca del cambio de régimen, es un hito que mueve la base de planificación.
El registro de tramitación del Senado inscribe el proyecto bajo su título oficial: "Modifica la ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales, en el sentido que indica." La fórmula "en el sentido que indica" señala que el registro da fe del ingreso, pero que las modificaciones concretas residen en el texto del proyecto, que avanza en comisión y sala. Dicho de otro modo: el hito es real y oficial, pero el detalle operativo de qué cambia y para cuándo vive en el mensaje y en el texto que el Senado debatirá, no en la fila del registro.
¿Por qué importa un proyecto que modifica la Ley 21.719 a tres meses del arranque?
La Ley 21.719 es la reforma que reemplaza el régimen heredado y fragmentado, la Ley 19.628 (Protección de la Vida Privada), por un marco alineado con el RGPD y un regulador dedicado, la APDP. Según la ley promulgada, la APDP será un organismo autónomo bajo el Ministerio de Economía, con facultades para emitir instrucciones vinculantes, sancionar a los responsables hasta 20.000 UTM y llevar un Registro Nacional de Sanciones. Hasta el 1 de diciembre de 2026, la fiscalización sigue repartida entre tribunales civiles y supervisores sectoriales.
Una modificación que ingresa ahora puede tocar cualquiera de las piezas estructurales de ese diseño: la fecha de vigencia, la gobernanza y conformación de la APDP, la escala sancionadora o el alcance de las obligaciones de los responsables. Un proyecto en esta fase no es ley, y aún puede modificarse, rechazarse o retirarse en comisión. Pero la sola existencia de una enmienda de gobierno tan cerca de la vigencia es la señal: el calendario del 1 de diciembre de 2026 y la arquitectura de la APDP no están aún congelados, y los programas de cumplimiento construidos sobre ellos necesitan una contingencia.
¿Qué implica el proceso legislativo para el calendario?
En el proceso bicameral chileno, un proyecto avanza por primer trámite en la cámara de origen (votación general y particular), segundo trámite en la cámara revisora y tercer trámite de regreso a la de origen sobre las enmiendas, con una comisión mixta si persiste el desacuerdo. El Presidente tiene 30 días para sancionar o vetar, luego promulga, y la ley se publica en el Diario Oficial en cuestión de días. El boletín 18623-07 recién ingresó, de modo que está al inicio de esa escalera.
La consecuencia práctica: la vigencia del 1 de diciembre de 2026 fijada por la Ley 21.719 promulgada sigue siendo la fecha operativa hasta que este proyecto, u otro, la modifique. Los responsables deben planificar contra esa fecha, mientras vigilan si la enmienda la altera.
¿Quién está expuesto y qué deben hacer los equipos de cumplimiento?
El perímetro expuesto es amplio. Responsables de privacidad, DPO y equipos de cumplimiento en bancos, retail, telecom, seguros, organismos públicos y municipios chilenos tratan datos personales en el alcance, al igual que las plataformas extraterritoriales que venden en Chile. Para ellos, las obligaciones de fondo, base lícita, derechos del titular, notificación de brechas y transferencias transfronterizas no cambian en lo sustancial porque se ingrese un proyecto; lo que sí puede moverse es la fecha y el diseño supervisor alrededor de ellas.
El proyecto también es distinto de dos vías paralelas de gobernanza digital: la Ley 21.663 (el Marco de Ciberseguridad, que crea la ANCI para infraestructura crítica) es un régimen de ciberseguridad con otro regulador, y el proyecto de ley de IA chileno aún pendiente es otro instrumento. Confundirlos en la planificación es un error: la ANCI no es la APDP, y ninguno de los dos es la ley de IA.
La monitorización continua por jurisdicción de Obsidian detecta este tipo de ingreso a tramitación en el momento en que se presenta, antes de que el detalle llegue a la prensa especializada.
Suscribase a la newsletter gratuita
Como próximos pasos: siga el texto del proyecto y su asignación a comisión en el Senado; siga endureciendo flujos de consentimiento, canal de derechos del titular, notificación de brechas y contratos con proveedores contra la fecha del 1 de diciembre de 2026 en lugar de pausarlos; prepare a los equipos de privacidad, compras y gestión de proveedores para la contingencia de que la vigencia o el diseño de la APDP cambien; y distinga este proyecto de las vías de ciberseguridad e IA para que la asignación de recursos sea correcta.
