El Gobierno ingresó al Senado un proyecto de ley que propone extender en 12 meses el plazo de implementación de la Ley 21.719, llevando su entrada en vigencia hasta diciembre de 2027. El objetivo es contar con mejores condiciones para la correcta instalación de la nueva Agencia de Protección de Datos Personales (APDP). Sin embargo, la propuesta aún se encuentra en discusión legislativa y algunos senadores han planteado una extensión menor, de seis meses.
Para las empresas, el mensaje es claro: una eventual prórroga entrega más tiempo para prepararse, pero no elimina la necesidad de comenzar hoy.
¿Qué está ocurriendo con la entrada en vigencia de la Ley 21.719?
Chile se encuentra avanzando hacia un nuevo estándar en materia de privacidad y protección de datos personales. La Ley 21.719, publicada en diciembre de 2024, moderniza el marco regulatorio chileno y establece nuevas obligaciones para las organizaciones que recopilan, almacenan, utilizan o comparten datos personales.
De acuerdo con el calendario actualmente vigente, sus principales disposiciones comenzarán a regir el 1 de diciembre de 2026, sin embargo, el 1 de septiembre de 2026, el Gobierno ingresó al Senado un proyecto de ley que propone ampliar este plazo en 12 meses, trasladando la entrada en vigencia hasta el 1 de diciembre de 2027. La propuesta busca principalmente entregar el tiempo necesario para implementar adecuadamente la nueva institucionalidad asociada a la ley, especialmente la Agencia de Protección de Datos Personales (APDP).
Es importante destacar que esta extensión todavía no es definitiva. Durante la discusión legislativa también han surgido propuestas para establecer una prórroga menor, según información publicada el 2 de octubre de 2026, algunos senadores han planteado que la extensión sea de aproximadamente seis meses, en lugar del año solicitado por el Ejecutivo.
Por lo tanto, mientras el proyecto continúe su tramitación, las empresas no deberían asumir que diciembre de 2027 será necesariamente la nueva fecha.
¿Qué es la Agencia de Protección de Datos Personales?
Uno de los cambios más relevantes introducidos por la Ley 21.719 es la creación de la Agencia de Protección de Datos Personales (APDP). Se trata de una nueva autoridad especializada que tendrá un rol central en la supervisión del cumplimiento de la normativa de protección de datos en Chile, entre sus funciones se encuentran la fiscalización del tratamiento de datos personales, la interpretación administrativa de la normativa, la resolución de reclamaciones presentadas por titulares de datos y la aplicación de procedimientos sancionatorios cuando corresponda.
Esto representa un cambio importante respecto del escenario actual, las organizaciones deberán avanzar hacia un modelo donde no solamente existan políticas de privacidad, sino donde sea posible demostrar cómo se gestionan los datos personales en la práctica.
Por ejemplo:
- qué datos personales mantiene la organización.
- dónde se encuentran almacenados.
- para qué finalidad son utilizados.
- cuál es la base que permite su tratamiento.
- quién puede acceder a ellos.
- con qué terceros son compartidos.
- durante cuánto tiempo se conservan.
- cómo se gestionan las solicitudes de los titulares.
- qué ocurre frente a un incidente o brecha de seguridad.
- qué evidencia existe de los controles implementados.
La correcta instalación de la APDP es precisamente uno de los argumentos centrales utilizados por el Gobierno para solicitar la extensión del plazo.
¿Qué implicaría una eventual prórroga para las empresas?
Una extensión hasta 2027 modificaría principalmente el calendario de implementación, pero no debería modificar la dirección en la que las organizaciones necesitan avanzar, de hecho, para muchas empresas podría representar una oportunidad.
Implementar un programa de protección de datos requiere levantar información, revisar procesos, identificar responsables, configurar controles tecnológicos, capacitar personas y generar mecanismos de trazabilidad.
Por eso, una eventual prórroga debería interpretarse como una oportunidad para implementar mejor, no como una razón para detener los proyectos de cumplimiento.
Las organizaciones pueden aprovechar este período para avanzar en cinco áreas prioritarias:
1. Conocer los datos
Identificar qué información personal se procesa, dónde se encuentra y qué sistemas participan en su tratamiento.
2. Revisar procesos
Documentar finalidades, bases de licitud, responsables, terceros involucrados y períodos de conservación.
3. Preparar los derechos de los titulares
Establecer procedimientos para gestionar solicitudes de acceso, rectificación, supresión, oposición, portabilidad y bloqueo.
4. Fortalecer la seguridad
Revisar identidades, permisos, clasificación de información, dispositivos, amenazas, incidentes y mecanismos de respuesta.
5. Generar evidencia
Mantener registros que permitan demostrar qué controles existen, qué decisiones fueron adoptadas y cómo se gestionan las obligaciones de privacidad.
Microsoft: proteger y gobernar el entorno tecnológico
La tecnología puede desempeñar un papel importante en este proceso, dentro del ecosistema Microsoft existen diferentes capacidades que pueden apoyar la implementación de controles relacionados con protección de información, identidad y ciberseguridad.
Microsoft Purview permite avanzar en descubrimiento, clasificación, etiquetado, gobierno, ciclo de vida y prevención de pérdida de información.
Microsoft Entra ID permite fortalecer la gestión de identidades y accesos, ayudando a controlar quién puede acceder a determinada información y bajo qué condiciones.
Microsoft Defender aporta capacidades de prevención, detección, investigación y respuesta frente a amenazas que pueden comprometer información corporativa.
Finalmente, Microsoft Sentinel permite centralizar y correlacionar señales de seguridad, facilitando el monitoreo, investigación y respuesta frente a incidentes
.
Sin embargo, implementar estas tecnologías no significa automáticamente cumplir con la Ley 21.719, el cumplimiento requiere conectar tecnología con procesos, responsabilidades, políticas y evidencia.
Lineage Platform: estructurar y demostrar el cumplimiento
Aquí aparece un segundo componente relevante dentro de la propuesta de NextTime: Lineage Platform.
Mientras las tecnologías Microsoft pueden ayudar a proteger y gobernar el entorno tecnológico, Lineage Platform puede complementar esta arquitectura ayudando a estructurar los procesos asociados a privacidad y mantener evidencia de su ejecución, entre los ámbitos que puede apoyar se encuentran el inventario y registro de actividades de tratamiento, la identificación de flujos de datos, la gestión de consentimientos y otras bases de licitud, la administración de solicitudes relacionadas con derechos de los titulares y el seguimiento de incidentes o brechas, también permite mantener trazabilidad sobre responsables, actividades, estados y acciones realizadas, facilitando la construcción de evidencia para procesos internos de control y auditoría.
La combinación permite abordar el desafío desde dos dimensiones complementarias:
Microsoft ayuda a proteger y gobernar el entorno tecnológico.
Lineage Platform ayuda a estructurar, gestionar y evidenciar los procesos de privacidad y cumplimiento.
Y entre ambas dimensiones existe un elemento fundamental: las personas y los procesos de la organización. Por eso, ninguna plataforma debe entenderse como una garantía automática de cumplimiento, si no se considera a los colaboradores.
De la tecnología al cumplimiento sostenible
La propuesta de NextTime es abordar este desafío como un roadmap integral:
Diagnóstico → Priorización → Implementación → Evidencia → Mejora continua.
Primero identificamos datos, sistemas, tratamientos y brechas, luego priorizamos los riesgos y procesos que requieren mayor atención, a partir de ahí, podemos implementar controles tecnológicos utilizando capacidades como Microsoft Purview, Entra, Defender y Sentinel, complementándolos con Lineage Platform para estructurar procesos, responsabilidades y evidencia de cumplimiento.
El objetivo final no debería ser simplemente “estar listos para una fecha”, debe ser construir una capacidad permanente para gestionar los datos personales de manera segura, trazable y demostrable.
Más tiempo debe significar mejor preparación
La discusión legislativa todavía debe determinar si se mantiene la fecha actualmente vigente, si se establece una extensión de seis meses o si prospera la propuesta del Gobierno de trasladar la entrada en vigencia hasta diciembre de 2027, pero cualquiera sea el resultado, hay algo que no cambia: las empresas tendrán que adaptarse al nuevo estándar de protección de datos personales.
Esperar hasta conocer la fecha definitiva puede significar perder meses valiosos para levantar información, corregir brechas, implementar controles y preparar a la organización, una eventual prórroga debería utilizarse precisamente para lo contrario: avanzar de manera ordenada, priorizada y sostenible.
En NextTime acompañamos a las organizaciones como Partner Integral, conectando seguridad, cumplimiento, procesos y tecnología para construir un roadmap de preparación frente a la Ley 21.719.
¿Tu organización sabe qué datos personales procesa, dónde están y qué evidencia tiene de sus controles?
Conversemos y construyamos un diagnóstico y roadmap de cumplimiento, combinando las capacidades de Microsoft Purview, Entra, Defender y Sentinel con Lineage Platform, para transformar el tiempo disponible en una oportunidad real de preparación. Contáctanos al correo contacto@nexttimesoftware.com o al Whatsapp +56 9 9954 5578 o para mayor información accede a https://nexttimesoftware.com/ciberseguridad-y-proteccion-de-datos/
