"Ganamos un año": por qué la prórroga de la Ley 21.719 es la falsa seguridad que las empresas chilenas no pueden permitirse

El 31 de agosto de 2026, el Gobierno ingresó al Senado — con suma urgencia declarada al día siguiente — el boletín 18.623-07: postergar la entrada en vigencia de la Ley 21.719 desde el 1 de diciembre de 2026 hasta el 1 de diciembre de 2027. En miles de directorios de Chile, la conversación fue la misma: "perfecto, ganamos un año". Copas, alivio, y el proyecto de cumplimiento que llevaba meses durmiendo en un cajón, devuelto al cajón por otros doce meses.

Este artículo existe para decirles algo incómodo: ese año no existe todavía. Y aunque existiera, sería la peor noticia que podían recibir.

Porque la prórroga no ataca el problema real. El problema nunca fue el calendario. El problema es que la mayoría de las empresas chilenas no tiene visibilidad de sus propios datos, no tiene un roadmap de cumplimiento, y lleva una década postergando una decisión que la ley les dio 10 años para tomar. Añadir un año a una fecha que ya se ignoró es — para usar la metáfora exacta — darle un aplazamiento a un alumno que no abrió el libro en todo el semestre. No estudia en el plazo original. No va a estudiar en la prórroga. Y el examen no se canceló: solo se corrió.

1. Lo que realmente pasó — y lo que NO pasó

Antes de opinar, los hechos. La Ley 21.719 se publicó en el Diario Oficial el 13 de diciembre de 2024, tras ocho años de tramitación (el proyecto ingresó en 2017). Reemplaza a la Ley 19.628 de 1999 — una norma que reguló los datos personales en Chile durante 27 años y que quedó obsoleta frente a la realidad digital. La nueva ley se inspiró directamente en el GDPR europeo e introdujo cambios estructurales: derechos ARCO ampliados (acceso, rectificación, cancelación, oposición y portabilidad), Delegado de Protección de Datos (DPO) obligatorio para organizaciones que tratan datos a escala, Registro de Actividades de Tratamiento, Evaluaciones de Impacto para tratamientos de alto riesgo, notificación de brechas en plazos estrictos, y sanciones de hasta 20.000 UTM (~US$1,4 millones) o el 4% de los ingresos anuales para infracciones gravísimas.

La ley se dio dos años de vacancia: del 13 de diciembre de 2024 al 1 de diciembre de 2026. Dos años completos, más los ocho de tramitación, para que todo el mundo llegara preparado. Esto es clave para lo que viene: Chile tuvo 10 años de aviso.

Y aun así, esto fue lo que pasó:

Lean la última fila con atención, porque es la que nadie está leyendo. El proyecto de prórroga está en primer trámite constitucional, sin informe de comisión ni votación parlamentaria. Al 6 de septiembre — seis días después del anuncio — no hay nada aprobado. La urgencia "Suma" obliga al Congreso a tramitarlo con prioridad, pero eso no garantiza el resultado: la prórroga puede aprobarse, puede modificarse (algunos parlamentarios ya piden acotarla a 6 meses en vez de 12), o puede simplemente no alcanzar los tiempos.

Traducción para gerentes: si tu empresa decide "esperar a que se apruebe la prórroga" y el proyecto se cae, se traba, o se acota a seis meses, el 1 de diciembre de 2026 te va a encontrar exactamente donde estás hoy — sin adecuación, con la Agencia (eventualmente) operativa, y con la ley vigente. La decisión de no decidir también es una decisión. Y esta tiene fecha de vencimiento.

2. La radiografía que nadie quiere ver: 10 años de aviso, 87% sin estar lista

Ahora la pregunta incómoda: ¿cuántas empresas estaban realmente usando esos 10 años? La evidencia dice que muy pocas. Y no es opinión: son números.

La Encuesta de Protección de Datos Personales 2025 de PwC Chile, realizada junto a la Fundación Generación Empresarial (FGE), midió el nivel de preparación declarado por las propias empresas:

O sea: el 87% de las empresas chilenas se declara a sí misma — con su propio sesgo optimista — como "mediana" o "poco" preparada. Y ojo que "medianamente preparada" es una categoría que suena neutral pero que en la práctica significa lo que el propio estudio matiza: "muchas organizaciones están en una etapa inicial de diagnóstico o planificación, pero aún no han implementado medidas robustas para cumplir con los requerimientos normativos". En cristiano: están en la fase de "hemos hablado del tema", no en la fase de "lo estamos haciendo".

El segundo número es todavía más revelador, porque mide algo más duro que la autopercepción: la visibilidad. Según el estudio de PwC citado por el mercado, el 74% de las empresas no tiene visibilidad de sus tratamientos de datos. No saben qué datos personales tienen, dónde están almacenados, quién accede a ellos, con quién se comparten, por cuánto tiempo se conservan, ni con qué base de licitud los tratan.

Ahí está la trampa del "ganamos un año": el 74% no tiene visibilidad hoy. ¿Qué les va a dar la visibilidad en 2027? No la prórroga — la prórroga no inventaría nada. Solo mueve la fecha en la que la falta de visibilidad se convierte en multa.

3. Por qué la prórroga es falsa seguridad: los 5 mecanismos

No es que la prórroga sea "mala" en abstracto — hay argumentos legítimos para darla (la institucionalidad no está lista y el regulador no puede nacer muerto). El problema es lo que la prórroga hace en la cabeza de quienes la reciben. Cinco mecanismos concretos:

3.1. El anuncio no es ley — y la fecha legal sigue siendo el 1 de diciembre de 2026

Ya lo vimos: el boletín no está votado. Pero además, aunque se apruebe mañana, el proyecto introduce una condición que debería helar la sangre de cualquier gerente: la primera designación del Consejo de la Agencia debe hacerse a más tardar doce meses antes de la nueva vigencia — es decir, el 1 de diciembre de 2026 — o dentro de diez días si la ley se publica con menos de un año de margen. O sea: la nueva fecha (1-dic-2027) y el plazo para nombrar al regulador (1-dic-2026) están diseñados para que la Agencia exista y fiscalice desde el día uno de la nueva vigencia. Quien lea "2027" como "tiempo de sobra" va a recibir 2027 con la Agencia funcionando y su empresa sin RAT.

3.2. La incertidumbre congela la decisión que ya venía congelada

Este es el mecanismo psicológico central. Las empresas que estaban "por partir" — las que habían contratado al abogado, pedido la cotización del diagnóstico, o agendado la primera reunión con un consultor — son exactamente las que ahora van a pausar todo: "esperemos a que se resuelva la prórroga". El problema es que "esperemos a que se resuelva" es la frase que ya usaron en 2024, en 2025 y en el primer semestre de 2026. La prórroga no crea un nuevo plazo: perpetúa el no-decidir que creó el problema. Cada semana de incertidumbre legislativa es una semana que el mercado no invierte en adecuación — y la adecuación, recuerden, toma 9 a 12 meses.

3.3. La mayoría no tiene roadmap — y el año extra se consume sin plan

El dato del 13% "muy preparada" y el 74% sin visibilidad ya lo cuentan: la mayoría de las empresas chilenas ni siquiera tiene un roadmap claro de cumplimiento. No hay cronograma, no hay dueño, no hay presupuesto asignado. Para esa mayoría, el anuncio de la prórroga no significa "tenemos un año más para ejecutar el plan": significa "tenemos un año más antes de que la urgencia nos obligue a hacer el plan". Y un año — igual que los dos de vacancia, igual que los ocho de tramitación — se consume sin plan en un abrir y cerrar de ojos. El plazo no es el recurso escaso. La decisión sí lo es.

3.4. La amonestación del primer año: el placebo institucionalizado

Hay un detalle del boletín 18.623-07 que casi nadie está comentando y que dice más que toda la discusión: el proyecto abre la amonestación del primer año a todas las empresas. Hoy, la ley vigente permite que la Agencia reemplace la multa por una amonestación escrita durante los primeros doce meses, pero solo para empresas de menor tamaño. El proyecto elimina esa restricción y la hace aplicable a cualquier responsable de datos.

Lean eso despacio: el propio Ejecutivo está reconociendo, en el texto de la prórroga, que el primer año de la ley nadie va a estar listo — y por eso pide que el regulador pueda perdonar a todos, no solo a los chicos. Es un placebo institucionalizado: "no se preocupen, el primer año no muerde". El problema es que un placebo no cura — y el segundo año llega igual, con la Agencia ya caminando, los casos emblemáticos buscándose, y la jurisprudencia empezando a formarse con los que sí confiaron en el placebo.

3.5. La asimetría: el año extra premia a los que ya partieron y castiga a los que esperaron

Y aquí está la ironía más fina de toda la historia. ¿Quiénes se benefician realmente de un año adicional? Los que ya están cumpliendo. Claro Chile lleva más de un año trabajando en la adecuación de forma transversal — con Registros de Actividades de Tratamiento levantados en todas sus áreas y un DPO dedicado. Banco Bci trabaja sistemáticamente en protección de datos desde 2023, creando una gerencia especializada y un equipo multidisciplinario. Para ellos, el año extra es tiempo para consolidar ventaja: certificar sus modelos de prevención de infracciones, afinar contratos con proveedores, y usar el cumplimiento como argumento comercial frente a clientes que empiezan a preguntar.

4. El costo real de esperar (cuando el reloj se mueve, no se detiene)

Pongamos números a lo que cuesta "esperar a ver qué pasa". Un proyecto serio de adecuación a la Ley 21.719 toma, según los plazos que maneja la industria, entre 9 y 12 meses: diagnóstico y RAT (2-3 meses), diseño de brechas y priorización (2-3), implementación de controles técnicos y contractuales (3-4), y pruebas/capacitación/gobernanza (2). Las empresas que empezaron en el primer semestre de 2026 llegaban justas a diciembre. Las que empezaron en el segundo semestre, ya no llegaban. Las que empiecen "cuando se resuelva la prórroga" — si se resuelve en octubre o noviembre — no van a llegar al 1 de diciembre de 2027 con un proyecto terminado: van a llegar con un proyecto a medias, justo cuando la Agencia (recién constituida) empiece a mirar.

Y hay un segundo costo, menos obvio pero igual de real: el costo de oportunidad en la relación comercial. La ley no solo trae multas — trae exigencias contractuales. Los clientes enterprise y las empresas matrices van a empezar a pedir a sus proveedores evidencia de cumplimiento: contratos de encargado de tratamiento (DPA), registro de actividades, políticas de retención. Las empresas que "esperaron" van a llegar a esas negociaciones sin papeles — y van a perder contratos no por una multa, sino porque el cumplimiento se está convirtiendo en un requisito de habilitación comercial, no en una obligación legal lejana. La prórroga no posterga eso: lo acelera, porque concentra toda la presión en la ventana final.

5. Qué hacer con el año (si es que llega): el plan que no depende del Congreso

Aquí está la parte constructiva. Porque hay una forma de usar esta incertidumbre que convierte la prórroga en lo que debería ser: una ventaja competitiva para los que deciden hoy. El plan no depende de lo que vote el Senado. Funciona si la ley entra en diciembre de 2026. Funciona si entra en diciembre de 2027. Funciona si la amonestación del primer año se aprueba. Funciona si no se aprueba. Porque no es un plan contra la ley: es un plan a favor de tu empresa.

1. Empieza por el autodiagnóstico, no por el miedo. El primer entregable de la ley es el RAT: el inventario de qué datos tienes, dónde viven, quién los toca, con quién se comparten y por cuánto tiempo se guardan. Es 80% trabajo interno de descubrimiento, 20% legal. Y es exactamente lo que el 74% de las empresas no tiene. Hacerlo hoy — con la urgencia apagada — sale la mitad y sale mejor que hacerlo en pánico en octubre de 2027.
2. Asigna un dueño y un presupuesto, aunque sea mínimo. La diferencia entre el 13% y el 87% no es tamaño de empresa: es que alguien es responsable del tema. Un DPO dedicado o externo, un presupuesto de adecuación, y una reunión mensual de avance. Eso es todo lo que separa "estamos viendo el tema" de "estamos ejecutando el plan".
3. Usa la tecnología para lo que la tecnología sirve. El RAT, los derechos ARCO, el registro de solicitudes, el mapeo de flujos de datos: son procesos de datos. Los procesos de datos se automatizan. Un agente de IA con acceso a tus sistemas puede levantar el inventario de tratamientos, responder solicitudes de titulares en segundos (en vez de los 15 días que exige la ley), y mantener el registro vivo — no un PDF que nace desactualizado. La ley no es solo un problema legal: es un problema de ingeniería de datos, y los que lo traten como tal van a cumplir a una fracción del costo de los que contraten solo abogados.
4. Convierte el cumplimiento en argumento comercial. Las empresas que certifiquen sus modelos de prevención de infracciones (el reglamento ya fue tomado de razón por Contraloría en agosto) van a poder decir "nosotros sí" en cada licitación, en cada contrato con cliente grande, en cada due diligence. En 2027, tener el RAT y los contratos DPA en regla va a ser un diferenciador tan fuerte como tener ISO 27001 lo fue para la ciberseguridad.

Nótese lo que tienen en común estos cuatro pasos: ninguno espera al Congreso. Y ese es exactamente el punto. La incertidumbre legislativa es real — pero es una excusa perfecta para no hacer lo único que depende de ti. La Ley 21.719 se aprobó en 2024. Se prorrogó (quizás) en 2026. Y aunque se prorrogara de nuevo en 2027, el problema de fondo no es la fecha: es que la mayoría de las empresas chilenas no sabe qué datos tiene, y prefiere no saberlo hasta que la ley la obligue.

El 31 de agosto de 2026, el Gobierno le regaló a las empresas chilenas un año más. Las que ya estaban nadando lo van a usar para llegar más lejos. Las que estaban en la orilla mirando el agua van a usar ese mismo año para convencerse de que la marea no sube. La marea sube. Sube el 1 de diciembre de 2026 si el boletín se cae, y sube el 1 de diciembre de 2027 si se aprueba. La única variable que la prórroga no mueve es la que decide todo: si tú ya empezaste.

No ganaste un año. Ganaste la oportunidad de no ser el que esperó.