- Por Alexis Campos Molina, CEO y Fundador de Cut Security by Grupotech
Esta semana el Gobierno confirmó que evalúa postergar la entrada en vigencia de la Ley 21.719 de Protección de Datos Personales, cuya implementación estaba fijada para el 1 de diciembre de 2026. El biministro de Economía, Daniel Mas, fue claro respecto al motivo: no se trata de un ajuste técnico ni de una revisión de fondo a la ley, sino de que todavía no existe Consejo Directivo para la Agencia de Protección de Datos Personales, el organismo llamado a fiscalizar su cumplimiento. En mayo el Senado rechazó la terna presentada por el Presidente Kast, en junio venció el plazo legal para nombrar consejeros, y ahora el Ejecutivo debe decidir si posterga toda la ley o solo la puesta en marcha de la agencia.
Como alguien que trabaja a diario asesorando a empresas chilenas en cumplimiento normativo y gestión de riesgo cibernético, quiero plantear una lectura que va más allá de la coyuntura política: esta postergación no cambia el problema de fondo, sólo lo hace más visible.
El riesgo no espera a que el regulador esté listo
Da igual si la Agencia de Protección de Datos Personales entra en funciones en diciembre de 2026 o seis meses después. Los datos de tus clientes, colaboradores y proveedores ya están expuestos hoy a los mismos riesgos: filtraciones, ransomware, ingeniería social y errores humanos en el manejo de información sensible.
Chile ya tiene casos que lo demuestran. En 2021, el Servicio Electoral subió a su propio sitio web una base de datos con información de cerca de 15 millones de personas —RUT, edad, género y pertenencia a pueblos originarios— sin que existiera entonces un marco legal claro sobre responsabilidades. Entre 2018 y 2019, Correos de Chile enfrentó múltiples filtraciones de datos personales y bancarios que terminaron en una demanda colectiva del Sernac. Y en 2024, un ciberataque a Banco Santander comprometió información de millones de clientes; el caso sigue en tribunales tras no llegar a acuerdo con el Sernac este año.
Ninguno de estos casos ocurrió por falta de ley. Ocurrieron por falta de gestión activa del riesgo. La Ley 21.719 —y la Agencia que la fiscaliza— son un piso mínimo, no una estrategia de protección.
Lo que esta noticia debería activar en las empresas
Entiendo la tensión que enfrenta el Gobierno: instalar una institucionalidad nueva, con consejeros idóneos y capacidad fiscalizadora real, no es algo que se resuelve por decreto en tres meses. Prefiero cumplir una fecha en el calendario.
Pero para las empresas, esta discusión no debería leerse como una señal de que «hay mástiempo». Debería leerse como una advertencia de tres capas:
1- La incertidumbre regulatoria no reduce el riesgo operacional. Con o sin Agencia activa, un incidente de datos sigue significando pérdida de confianza, costos de contención y exposición legal bajo otras normativas —Ley del Consumidor, Ley 21.663 de Ciberseguridad, contratos con clientes.
2- La ausencia de fiscalizador no es sinónimo de ausencia de consecuencias. Como muestran los casos de Correos de Chile y Banco Santander, el Sernac y los tribunales civiles ya actúan hoy sin necesidad de esperar a la nueva Agencia.
3.-Las empresas que empiecen a prepararse ahora llegan con ventaja,Independientemente de cuándo entre en vigencia la ley: gobierno de datos, registro de actividades de tratamiento, políticas de acceso y un delegado de protección de datos, no son medidas que se improvisan en semanas.
Una oportunidad, no una excusa
Si algo positivo puede extraerse de esta postergación, es tiempo. Pero tiempo útil solo si las organizaciones lo usan para instalar procesos, no para posponer decisiones. Las empresas que traten esta noticia como una oportunidad para adelantarse —auditar qué datos tratan, cómo los protegen y qué tan preparadas están para notificar una brecha— van a llegar a la eventual entrada en vigencia de la ley, y a la exigencia creciente de sus propios clientes, en una posición muy distinta a las que simplemente esperen a que el Estado defina los plazos.
La pregunta que cada directorio y cada gerencia general debería hacerse no es «¿cuándo entra en vigencia la ley?», sino: si hoy sufrimos una filtración de datos, ¿estamos encondiciones de responder, notificar y sostener la confianza de nuestros clientes?
Alexis Campos Molina es CEO y Fundador de Grupotech – Innovate Solutions y de CutSecurity by Grupotech, empresa chilena de ciberseguridad gestionada (MSSP) y cumplimiento normativo.
