Proyecto posterga la nueva Ley de Datos Personales y amplía a todas las empresas el régimen transitorio de amonestaciones

Una modificación que ha quedado en segundo plano frente al anuncio de postergación de la nueva normativa de protección de datos personales podría alterar significativamente el escenario sancionatorio previsto para el primer año de funcionamiento de la futura Agencia de Protección de Datos Personales.

El Ejecutivo presentó un proyecto destinado a modificar la Ley N°21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales. El Mensaje se encuentra fechado el 31 de agosto de 2026, mientras que el Senado registra el ingreso del Boletín N°18.623-07 con fecha 1 de septiembre de 2026. A la fecha, la iniciativa se encuentra en tramitación, por lo que ninguna de las modificaciones propuestas se encuentra todavía vigente.

La reforma tiene como elemento más visible la postergación por un año de la entrada en vigencia de la Ley N°21.719. Sin embargo, su numeral 4 contiene una modificación de particular relevancia para el diseño de los programas de cumplimiento: elimina del artículo sexto transitorio la referencia que restringía a las empresas de menor tamaño la posibilidad de recibir una amonestación escrita durante los primeros doce meses de vigencia de la nueva regulación.

De prosperar el proyecto en los términos actualmente propuestos, esa facultad podrá alcanzar a todos los obligados por la ley.

De diciembre de 2026 a diciembre de 2027

La Ley N°21.719 fue publicada en el Diario Oficial el 13 de diciembre de 2024 y estableció originalmente que sus principales modificaciones entrarían en vigencia el primer día del vigésimo cuarto mes posterior a su publicación, esto es, el 1 de diciembre de 2026. El numeral 2 del nuevo proyecto sustituye esa regla y fija directamente como fecha de entrada en vigencia el 1 de diciembre de 2027.

El propio Mensaje fundamenta la extensión en la complejidad de implementar el nuevo régimen, la amplitud de los sujetos alcanzados y la necesidad de que la institucionalidad creada por la ley se encuentre operativa antes de que comiencen a regir plenamente las nuevas obligaciones. Según el Ejecutivo, se requiere un plazo adicional que permita una implementación “gradual, coordinada y sistematizada”, resguarde la certeza jurídica y posibilite que la Agencia comience sus funciones en condiciones compatibles con sus atribuciones legales.

Pero la iniciativa no se limita a mover el calendario.

El cambio que está en el numeral 4

Actualmente, el artículo sexto transitorio de la Ley N°21.719 dispone que, durante los primeros doce meses posteriores a su entrada en vigencia, cuando proceda una sanción respecto de una empresa calificada como de menor tamaño conforme a la Ley N°20.416, la Agencia podrá aplicar como sanción una amonestación por escrito. La disposición exige que en dicha amonestación se indique la gravedad de la infracción, la conducta infractora y las circunstancias atenuantes y agravantes que resulten procedentes, y la somete expresamente al deber de registro del artículo 39.

El numeral 4 del proyecto propone algo formalmente sencillo, pero jurídicamente relevante: suprimir la frase que restringe ese régimen a las empresas de menor tamaño. El propio Mensaje señala expresamente que la modificación pretende eliminar la referencia a las empresas de menor tamaño y hacer aplicable el artículo sexto transitorio “a todos los obligados por esta ley”.

La justificación también es explícita: las adecuaciones jurídicas, técnicas y organizacionales requeridas por la nueva regulación afectan a todos los responsables de datos y no únicamente a las pequeñas y medianas empresas. Por ello, el Ejecutivo propone extender la regla, manteniendo expresamente tanto el carácter facultativo de la amonestación como su incorporación al Registro Nacional de Sanciones y Cumplimiento.

No se trata de una suspensión de las multas hasta diciembre de 2028

Si la ley entra finalmente en vigencia el 1 de diciembre de 2027 y se aprueba también la reforma al artículo sexto transitorio, durante los doce meses siguientes —aproximadamente hasta fines de noviembre de 2028— la Agencia dispondrá de una facultad especial para aplicar una amonestación escrita a cualquier responsable. Pero ello no significa que las multas queden suspendidas durante ese período.

La norma emplea expresamente el verbo “podrá”. La amonestación constituye una alternativa que queda entregada a la decisión de la Agencia y no un derecho del responsable ni una obligación para la autoridad.

Por consiguiente, desde el primer día de vigencia de la nueva ley podrán existir procedimientos sancionatorios que concluyan con multas, siempre que se configuren las infracciones correspondientes y la Agencia estime improcedente utilizar la regla transitoria. Describir el período como una “marcha blanca” puede resultar útil comunicacionalmente, pero es técnicamente impreciso si se entiende como inmunidad sancionatoria: el régimen que propone el proyecto se aproxima más bien a una potestad excepcional de moderación sancionatoria durante el primer año de aplicación.

Una regla particularmente relevante para infracciones graves y gravísimas

La extensión del artículo sexto transitorio adquiere todavía mayor relevancia cuando se analiza conjuntamente con el régimen permanente de sanciones de la Ley N°21.719, que en su artículo 35 establece tres categorías de infracción.

La literalidad del transitorio señala que, durante el período inicial, “en los casos en que proceda alguna sanción”, la Agencia podrá aplicar como sanción una amonestación escrita. Bajo esa lectura, la disposición funciona como una regla excepcional respecto de la escala ordinaria prevista en el artículo 35, y la modificación propuesta ampliaría esa posibilidad —hoy reservada a empresas de menor tamaño— a los restantes responsables comprendidos por la legislación.

Las multas potenciales siguen siendo significativas

Además de los topes generales de 5.000, 10.000 y 20.000 UTM, la Ley N°21.719 establece consecuencias reforzadas en casos de reincidencia. La Agencia puede imponer una multa de hasta tres veces el monto asignado a la infracción cuando se configure reincidencia. Para empresas distintas de aquellas calificadas como de menor tamaño, cuando exista reincidencia en infracciones graves o gravísimas, la sanción podrá alcanzar el monto más gravoso entre aquella regla y un porcentaje de los ingresos anuales: hasta 2% tratándose de infracciones graves y 4% respecto de infracciones gravísimas. El artículo 35 contempla, además, un recargo del 50% cuando el responsable no implemente dentro de sesenta días las medidas destinadas a subsanar las causas que dieron origen a la sanción.

Por ello, la facultad transitoria de amonestación no resulta menor, especialmente para grandes compañías sujetas a tratamientos masivos de información.

Una amonestación no equivale a ausencia de antecedentes

La amonestación prevista en el artículo sexto transitorio es una sanción formal: no se trata de una comunicación preventiva, una recomendación administrativa o una advertencia sin efectos jurídicos. La Ley N°21.719 crea en su artículo 39 el Registro Nacional de Sanciones y Cumplimiento, administrado por la Agencia, de carácter público, gratuito y electrónico, en el que deben consignarse los responsables sancionados, la gravedad de la infracción, la conducta infringida, las circunstancias atenuantes y agravantes y la sanción aplicada. Las anotaciones permanecerán disponibles al público durante cinco años desde su incorporación, y el propio proyecto declara expresamente que la ampliación de la amonestación mantiene su incorporación a dicho Registro.

La diferencia entre multa y amonestación puede, por tanto, ser muy relevante desde el punto de vista económico, pero no necesariamente elimina las consecuencias regulatorias o reputacionales de una infracción. El artículo 36 identifica además como circunstancia atenuante la ausencia de sanciones previas y define la reincidencia sobre la base de que el responsable haya sido sancionado en dos o más oportunidades durante los últimos treinta meses, mediante resoluciones firmes o ejecutoriadas. Por ello, en principio, una amonestación aplicada conforme al artículo sexto transitorio no debiera ser considerada jurídicamente irrelevante para la construcción del historial sancionatorio del responsable: será una cuestión especialmente relevante para la futura interpretación administrativa de la Agencia.

La postergación no elimina la importancia de documentar el cumplimiento

Desde la perspectiva de compliance, la extensión de la entrada en vigencia plantea una cuestión estratégica para las empresas: si corresponde disminuir el ritmo de implementación o utilizar el año adicional para fortalecer los mecanismos de cumplimiento. La propia estructura de la Ley N°21.719 entrega argumentos para la segunda alternativa.

El artículo 36 considera como atenuantes, entre otras circunstancias, las acciones de reparación realizadas por el responsable, su colaboración con la investigación administrativa, la ausencia de sanciones previas, la autodenuncia y el cumplimiento diligente de los deberes de dirección y supervisión, circunstancia que puede acreditarse mediante el certificado asociado al modelo de prevención de infracciones. El artículo 37, a su vez, exige que la Agencia considere para la determinación de las multas elementos como la gravedad de la conducta, el grado de diligencia o cuidado, el perjuicio ocasionado, el beneficio económico obtenido, la utilización de datos sensibles o de niños, niñas y adolescentes, la capacidad económica del infractor, las sanciones previas y las circunstancias atenuantes y agravantes.

La consecuencia práctica es relevante: buena parte de una futura discusión sancionatoria no dependerá exclusivamente de acreditar que una organización tenía políticas formales, sino también de reconstruir qué decisiones adoptó, quién las adoptó, qué riesgos fueron identificados, qué controles fueron implementados y cuál fue la ponderación jurídica y técnica realizada antes del tratamiento. En ese escenario, inventarios y registros de actividades de tratamiento, matrices de riesgos, políticas internas, evaluaciones de impacto, contratos con encargados, procesos de ejercicio de derechos, protocolos de vulneraciones de seguridad, criterios de retención, estructuras de gobernanza y evidencia documental de las decisiones adoptadas adquieren una dimensión no solo preventiva, sino también probatoria.

El año adicional que propone el Ejecutivo puede modificar el calendario de implementación, pero no necesariamente la conveniencia de continuar documentando desde ahora el proceso de adecuación.

El proyecto también modifica profundamente la instalación de la Agencia

El Boletín N°18.623-07 contiene además modificaciones institucionales que van más allá del régimen sancionatorio. Actualmente la Ley N°21.719 establece un Consejo Directivo integrado por tres consejeros. El proyecto propone elevar esa composición a cinco integrantes, mantener períodos de seis años sin posibilidad de una nueva designación y establecer una renovación parcial cada dos años. Junto con ello, el quórum ordinario previsto en el artículo 30 quáter aumentaría desde dos a tres consejeros.

El Mensaje justifica esta modificación en la extensión y complejidad de las atribuciones entregadas a la Agencia, que deberá dictar normas e instrucciones generales obligatorias, establecer estándares de cumplimiento y seguridad, entregar orientaciones sobre evaluaciones de impacto, intervenir en materia de transferencias internacionales, certificar y supervisar modelos de prevención, administrar el Registro Nacional de Sanciones y Cumplimiento y tramitar procedimientos de tutela de derechos y sancionatorios. El Ejecutivo invoca además como referencia el diseño institucional de la Comisión para el Mercado Financiero y de otros órganos colegiados técnicos, sosteniendo que una composición de cinco miembros entrega mejores condiciones de deliberación, continuidad y legitimidad institucional.

Cambios en el nombramiento del primer Consejo Directivo

La iniciativa también vuelve a intervenir las reglas transitorias aplicables al nombramiento de los primeros consejeros. El proyecto establece que la primera designación deberá realizarse, a más tardar, doce meses antes de la entrada en vigencia de la ley. La propuesta presidencial deberá formularse al Senado en un solo acto e identificar a dos personas que ejercerán durante dos años, dos que ejercerán durante cuatro años y una que ejercerá durante seis años. El Senado deberá pronunciarse respecto de la nómina como una unidad y su aprobación requerirá el voto favorable de dos tercios de los senadores en ejercicio; si no se pronuncia antes del vencimiento del plazo establecido, la propuesta se entenderá aceptada sin más trámite.

El proyecto contempla además una norma para el evento en que al momento de su publicación resten menos de doce meses para la nueva entrada en vigencia: en ese caso, la primera designación deberá realizarse dentro de los diez días siguientes a la publicación. Los consejeros, a su vez, percibirán remuneración desde que se entiendan nombrados y estarán desde entonces sujetos a las reglas de dedicación exclusiva e incompatibilidades establecidas por la ley, con el fin de permitir que el Consejo realice anticipadamente las actuaciones necesarias para la instalación institucional y dicte las definiciones regulatorias que deberán encontrarse disponibles antes de la plena entrada en vigencia del sistema.

Un año adicional, pero no necesariamente un año para esperar

El proyecto todavía debe superar su tramitación legislativa y podría experimentar modificaciones. Mientras ello no ocurra y la eventual reforma no sea publicada en el Diario Oficial, la entrada en vigencia legalmente establecida continúa siendo el 1 de diciembre de 2026.

Sin embargo, el texto presentado por el Ejecutivo entrega una señal regulatoria relevante. La discusión ya no se refiere exclusivamente a cuánto tiempo tendrán las organizaciones para adecuarse: también comienza a definirse la forma en que la nueva autoridad ejercerá inicialmente su potestad sancionatoria. Si el proyecto se aprueba sin modificaciones sustantivas, la entrada en vigencia se trasladará al 1 de diciembre de 2027 y, durante sus primeros doce meses, todos los responsables sujetos a la Ley N°21.719 podrán eventualmente acceder a la aplicación de una amonestación escrita en lugar de la sanción ordinariamente procedente. Pero aquella posibilidad será discrecional, quedará formalmente registrada y no impedirá que la Agencia aplique multas desde el inicio de la vigencia.

La modificación podría aliviar la exposición económica de las empresas durante la etapa inicial del nuevo régimen, pero difícilmente puede ser entendida como una invitación a postergar la preparación.

La nueva fecha, si finalmente es aprobada, cambia el plazo. No cambia la necesidad de construir desde ahora la evidencia del cumplimiento.