Chile posterga a 2027 la ley de datos personales

Actualización 8 de septiembre de 2026: la nota incorpora nuevos detalles sobre la Ley 7.593/2025 de Paraguay, su vacatio legis, el régimen sancionador, las reglas sobre transferencias internacionales y las obligaciones de notificación de incidentes, además de su impacto en información crediticia y decisiones automatizadas.

El Gobierno de Chile ingresó al Senado el Boletín 18.623-07, con suma urgencia, para modificar la Ley 21.719 sobre protección y tratamiento de datos personales y postergar su entrada en vigencia plena del 1 de diciembre de 2026 al 1 de diciembre de 2027. La iniciativa también mantiene la creación de la Agencia de Protección de Datos Personales y propone cambios a su diseño institucional.

¿Qué cambia el proyecto ingresado al Senado?

El proyecto busca dar un año más de plazo para la aplicación completa de la nueva ley de datos personales. Según el material revisado, la explicación oficial apunta a contar con condiciones institucionales y operativas necesarias, en particular la instalación de la Agencia de Protección de Datos Personales.

Además, medios especializados chilenos informaron que el Boletín 18.623-07 propone aumentar de tres a cinco los consejeros del Consejo Directivo de la Agencia, fijar un quórum mínimo de tres integrantes y permitir que la primera infracción de las empresas durante los primeros doce meses de vigencia pueda cerrarse con amonestación escrita.

¿En qué estado está la ley y la reforma?

La Ley 21.719 fue publicada en el Diario Oficial el 13 de diciembre de 2024 y tenía prevista su entrada en vigencia para el 1 de diciembre de 2026. El proyecto que la modifica está en etapa inicial de tramitación en el Senado, bajo estado de tramitación, de acuerdo con análisis de consultoras y firmas de compliance chilenas.

BioBioChile y TrendTIC coincidieron en que la postergación buscada no implica abandonar la norma, sino extender el plazo mientras sigue el proceso de preparación. TrendTIC subrayó que la ley actual continúa vigente y que los responsables de tratamiento deben seguir preparándose para la fecha de 2026 mientras el proyecto avanza.

¿Qué impacto tiene para las empresas?

Las compañías que tratan datos personales seguirán bajo expectativa de cumplimiento, porque la ley ya existe y el proyecto todavía debe tramitarse en el Congreso. La discusión pública en Chile se concentra en el tiempo adicional para adecuar procesos, gobernanza interna y capacidades de implementación, sobre todo ante la falta de operación plena de la nueva agencia.

El Instituto de Directores de Chile señaló que el Gobierno evalúa postergar por un año la vigencia precisamente por los retrasos en la puesta en marcha de la Agencia de Protección de Datos Personales. En paralelo, otras coberturas locales remarcaron que las empresas deben tomar medidas y no asumir que el aplazamiento ya está resuelto.

¿Cómo se compara con Paraguay?

Paraguay aprobó la Ley 7.593/2025, una norma inspirada en el Reglamento General de Protección de Datos de la Unión Europea, con obligaciones de información a titulares, reglas sobre comunicaciones y transferencias internacionales, y un régimen sancionatorio que contempla multas significativas. La referencia regional sirve como contraste para la agenda chilena, donde la discusión gira hoy en torno al calendario de entrada en vigor y la instalación de la autoridad.

La Coalición de Datos Personales, integrada por organizaciones de la sociedad civil paraguaya, impulsó durante cuatro años el proceso que derivó en la Ley 7.593/2025. Según Derechos Digitales, el primer anteproyecto fue presentado en 2021 ante la Cámara de Diputados, y el trámite se acompañó con talleres técnicos, consultas públicas y revisión legal colaborativa.

De acuerdo con el texto legal y los análisis técnicos citados, la vigencia plena de la ley paraguaya está prevista para el 27 de noviembre de 2027, después de una vacatio legis de 24 meses que deja 2026 y 2027 como ventana obligatoria de adecuación para organizaciones públicas y privadas.

¿Qué obligaciones agrega la ley paraguaya?

La Ley 7.593/2025 incorpora principios como licitud, transparencia y minimización, y también fija reglas concretas sobre seguridad, transferencias internacionales y decisiones automatizadas. Además, da a la Agencia Nacional de Protección de Datos Personales potestad para inspeccionar y sancionar.

EDYDSI detalla que los responsables deben notificar los incidentes de seguridad a la Agencia Nacional de Protección de Datos Personales y a los afectados dentro de las 72 horas desde que toman conocimiento del hecho. El mismo análisis indica que las transferencias internacionales solo se permiten hacia jurisdicciones con un nivel adecuado de protección definido por la Agencia, o mediante garantías contractuales específicas si ese estándar no existe.

¿Qué pasa si se incumple en Paraguay?

El régimen sancionador prevé nueve faltas leves y treinta y siete faltas graves, con multas que pueden aplicarse de forma indistinta o acumulativa. EDYDSI precisa que las sanciones llegan hasta 2.500 jornales mínimos en infracciones generales, hasta 5.000 cuando hay datos sensibles y hasta 10.000 si los datos sensibles corresponden a menores.

La misma fuente calcula que la multa base de 2.500 jornales mínimos equivale a unos 292 millones de guaraníes. En paralelo, MuchoTexto señala que la ley incluye disposiciones sobre decisiones automatizadas que serán relevantes para sistemas de IA cuando entre en vigor.

¿A qué sectores afecta más en Paraguay?

La cobertura de Revista PLUS sobre el evento DATOS PY agregó que la Ley 7.593/2025 tendrá un impacto particular en información crediticia, burós de información y actores bajo supervisión del Banco Central del Paraguay y de la Secretaría de Defensa del Consumidor y del Usuario. El cambio anticipa ajustes regulatorios concretos en esos segmentos cuando la norma comience a aplicarse.

La comparación deja a Chile todavía en fase de implementación institucional y a Paraguay con una ley ya definida, una vacatio legis de 24 meses y un régimen sancionatorio fuerte dentro de su nueva arquitectura de protección de datos personales.