La bola de nieve ya está corriendo

A comienzos de agosto, el ministro de Economía, Daniel Mas, confirmó que el Gobierno está evaluando postergar la entrada en vigencia de la Ley 21.719 de Protección de Datos Personales. Para hacerlo se necesita una ley corta y, por ahora, todavía no hay una definición.

El origen del problema es institucional. En mayo, el Senado rechazó la terna de consejeros propuesta por el Ejecutivo para dirigir la Agencia de Protección de Datos Personales. La propuesta obtuvo 19 votos a favor y 12 en contra, cuando se necesitaban 33. El plazo legal para constituir el Consejo Directivo venció el 1 de junio sin que se lograra. Mientras no haya una modificación legal, la fecha de entrada en vigencia de la ley sigue siendo el 1 de diciembre de 2026.

Cambia la fecha y el fiscalizador, no el estándar

Un aplazamiento cambiaría dos cosas: cuándo empieza a regir la ley y quién fiscaliza su cumplimiento. Lo que no cambia es el estándar que las empresas ya están empezando a exigir, y vale la pena entender por qué. 

Chile no está inaugurando nada, en la región ya hay países con marcos de protección de datos funcionando. Brasil opera con la LGPD desde hace años y en 2026 formalizó a la ANPD como agencia independiente. México tiene una nueva ley desde marzo de 2025, aunque su institucionalidad todavía está en reconstrucción después del traspaso de las funciones del INAI a la Secretaría Anticorrupción y Buen Gobierno.

La instalación de una autoridad puede retrasarse. El problema que la ley busca resolver. Las brechas de seguridad, las cesiones de datos sin control y la información almacenada sin una finalidad clara ya existían antes de que hubiera una ley que las regulara.

De requisito legal a requisito comercial

Sea que la ley rija en diciembre o a comienzos del próximo año, hay algo que ya está pasando. Las grandes empresas están exigiendo seguridad y protección de datos a sus proveedores. Los DPAs y los cuestionarios de seguridad dejaron de ser un trámite exclusivo de empresas reguladas, y hoy son parte del estándar de mercado y aparecen en licitaciones, procesos de onboarding y renovaciones de contratos donde hace tres años nadie los pedía.

Qué hay que preparar

Prepararse no significa esperar a que salga el reglamento. El núcleo de la 21.719 es el mismo para una pyme que para una empresa grande:

• Registro de las actividades de tratamiento: qué datos hay, dónde están, para qué se usan y por cuánto tiempo se guardan.
• Base de licitud para cada tratamiento: tener claro por qué se pueden tratar esos datos e informar al titular antes de recolectarlos.
• Contratos con encargados y subprocesadores: cualquier tercero que trate datos por cuenta de la empresa debe estar cubierto contractualmente.
• Procedimiento para brechas: saber qué hacer ante un incidente y cómo notificar a la autoridad y a los titulares afectados.
• Respuesta a los derechos de los titulares: acceso, rectificación, supresión, oposición y portabilidad, dentro de plazos acotados.
• Evaluaciones de impacto: aplicarlas cuando se trate de tratamientos de alto riesgo y considerar la privacidad desde el diseño.
• Un responsable claro: alguien con nombre, atribuciones y capacidad real para hacerse cargo del tema.

El tamaño de la empresa no cambia estas obligaciones, lo que sí cambia es la forma en que puede aplicarse la sanción durante el primer año. El artículo sexto transitorio permite que, entre el 1 de diciembre de 2026 y el 1 de diciembre de 2027, la Agencia aplique una amonestación escrita en lugar de una multa a las empresas de menor tamaño definidas por la Ley 20.416.

Pero esa amonestación queda registrada y puede pesar después. Además, las sanciones accesorias no distinguen por tamaño. La Agencia puede suspender operaciones de tratamiento hasta por 30 días, lo que para un e-commerce podría significar un mes sin poder procesar datos de clientes.

Estar a la altura como proveedor

La conversación con los clientes grandes ya no es solo si la ley obliga o no, la pregunta es si el proveedor está a la altura de lo que ellos necesitan poder demostrar. Un aplazamiento no necesariamente da más tiempo para prepararse; solo cambia quién pone la fecha límite.

La diferencia entre estar preparado y no estarlo aparece cuando llega el cuestionario. Quien tiene el registro de tratamientos actualizado, los contratos firmados y un procedimiento de brechas definido puede responder en días y seguir con su negocio. Quien no tiene nada de eso termina negociando plazos, asumiendo compromisos por escrito y, en algunos casos, ofreciendo descuentos para compensar el riesgo, y lo hace desde una posición que no eligió.