En septiembre de 2026 el Gobierno ingresó al Senado un proyecto para postergar un año la entrada en vigencia de la Ley 21.719, la Ley de Protección de Datos Personales. La noticia circuló rápido y muchas empresas leyeron «se posterga» y bajaron la prioridad del tema.
Conviene precisar una cosa: el proyecto todavía está en tramitación. No es ley. Mientras no lo sea, la fecha que rige es la que está publicada, el 1 de diciembre de 2026.
Al 25 de octubre de 2026 el proyecto sigue en su primer trámite en el Senado, en la Comisión de Constitución. El 21 de octubre el Gobierno le puso «discusión inmediata», que es la urgencia más alta que existe: una señal clara de que quiere sacarlo antes de diciembre. Aun así, urgencia no es aprobación. Mientras no se publique en el Diario Oficial, la fecha vigente sigue siendo el 1 de diciembre de 2026.
Qué dice exactamente el proyecto
Es el boletín 18.623-07, ingresado por mensaje del Presidente en el Senado el 1 de septiembre de 2026. Su nombre formal es «Modifica la ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales, en el sentido que indica».
Lo que propone, en concreto:
- Posterga la entrada en vigencia un año. Modifica el artículo primero transitorio para llevar la fecha del 1 de diciembre de 2026 al 1 de diciembre de 2027.
- Amplía el Consejo Directivo de la Agencia de tres a cinco miembros, con renovación parcial cada dos años. El quórum para sesionar sube de dos a tres.
- Adelanta el nombramiento del primer Consejo. Hoy debe ocurrir al menos seis meses antes de la entrada en vigencia; el proyecto lo lleva a doce meses antes.
- Extiende la amonestación escrita a todos. Durante los primeros doce meses, la facultad de la Agencia de sancionar con amonestación escrita pasa a alcanzar a todos los responsables de datos, y no solo a las empresas de menor tamaño.
La lectura que casi no se está haciendo
Los resúmenes se quedaron en el primer punto. Los otros tres son los que de verdad describen lo que viene.
El proyecto no entrega solamente un año más. Entrega un año más y, al mismo tiempo, una Agencia más grande, nombrada con el doble de anticipación y con un período de gracia definido para todos. Dicho de otro modo: no es un año sin fiscalizador, es un año para que el fiscalizador llegue armado.
Una Agencia de cinco miembros nombrada doce meses antes de empezar a operar llega con el reglamento trabajado, los criterios definidos y el equipo puesto. Es una diferencia real respecto de un organismo que parte el mismo día en que la ley empieza a regir.
Por qué detener la preparación sale caro igual
Hay un argumento que se repite y que no se sostiene: «si se posterga, tengo un año libre». No funciona así, por tres razones.
La primera es que todavía no está postergada. Quien dejó de prepararse en septiembre está apostando a que un proyecto se apruebe a tiempo. Si no se aprueba, la fecha sigue siendo diciembre de este año.
La segunda es que buena parte de lo que la Agencia va a pedir no se puede producir a última hora. El registro de actividades de tratamiento tiene que reflejar lo que la empresa hace de verdad, y eso se levanta proceso por proceso. El consentimiento, cuando esa es la base de licitud, tiene que ser previo al tratamiento: no se puede pedir después. Los contratos con los encargados de tratamiento se firman cuando empieza el servicio, no cuando llega la fiscalización.
La tercera es de plazo real. Una implementación ordenada en una empresa mediana toma varios meses, y el cuello de botella no es la consultora: es la disponibilidad de las personas que conocen los procesos. Un año no sobra. Un año es lo que toma.
Qué conviene tener resuelto, pase lo que pase con el proyecto
Esta lista no cambia con la fecha. Es lo que la ley exige y lo primero que se pide en una fiscalización:
- El registro de actividades de tratamiento: qué datos personales trata tu empresa, para qué, de dónde salen y a quién se entregan.
- La base de licitud de cada tratamiento, documentada. Si es consentimiento, debe ser libre, informado, específico y previo, y revocable.
- El deber de información al titular: qué se le dice a la persona cuando se le piden sus datos.
- El procedimiento de derechos de los titulares, con canal, plazos y responsable.
- Las medidas de seguridad, proporcionales al riesgo.
- El protocolo de gestión de brechas, con la notificación a la Agencia y a los titulares cuando corresponda.
- Los contratos con los encargados de tratamiento. Un contrato de servicio general no alcanza.
- Las transferencias internacionales: hacia dónde salen los datos y con qué garantías.
Si ya tienes un sistema de gestión certificado, partes con ventaja
Buena parte de esto ya existe en una empresa con ISO 27001 o con un sistema integrado operando. El inventario de activos se parece mucho al registro de actividades de tratamiento. Los controles de acceso y de cifrado son las medidas de seguridad que la ley espera ver. El procedimiento de incidentes es la base del protocolo de brechas.
No es el mismo trabajo, pero no se empieza de cero. El diagnóstico sirve justamente para separar lo que ya está de lo que falta.
Cómo verificar el estado del proyecto por tu cuenta
El estado de tramitación es público. En el sitio del Senado se puede consultar el boletín 18.623-07 y ver en qué trámite va. Conviene revisarlo antes de tomar cualquier decisión de planificación basada en la prórroga, porque hasta que no se publique en el Diario Oficial, la fecha vigente es la otra.
