Diciembre de 2026 suena lejano cuando se mira desde julio. No lo es. Son cinco meses (¡y le podemos restar septiembre), y para una ley que exige rediseñar procesos, capacitar equipos y levantar evidencia documentada, cinco meses es un plazo ajustado incluso para las empresas que ya empezaron.
¿Por qué esta fecha importa tanto?
La Ley 21.719 de Protección de Datos Personales entra en plena vigencia en diciembre de 2026, modernizando por primera vez en 25 años el marco de privacidad en Chile y alineándolo con estándares internacionales tipo GDPR. No es un ajuste cosmético: cambia la forma en que cualquier empresa que maneje nombres, correos o RUTs de clientes debe tratar esa información, desde el consentimiento hasta la respuesta ante una brecha.
A esto se suma que la Ley 21.663, Marco de Ciberseguridad, ya está vigente y con fiscalización activa desde marzo de 2025. Las dos leyes no operan en paralelo por separado: se complementan, y muchas empresas van a tener que cumplir ambas al mismo tiempo. Quien resuelve una sin pensar en la otra probablemente va a tener que rehacer trabajo.
Lo que “cumplir” realmente significa
No es firmar un documento y archivarlo. Las autoridades piden evidencia verificable:
- Un encargado formalmente designado, con autoridad real y funciones documentadas.
- Un registro de riesgos actualizado, con los más relevantes priorizados y un plan de tratamiento con responsables y plazos.
- Procedimientos de respuesta ante incidentes que puedan activarse — y demostrarse — dentro de los plazos que exige el regulador.
- Medidas técnicas mínimas: cifrado, autenticación robusta, gestión de accesos, monitoreo continuo.
Si su empresa no tiene hoy una carpeta con esa evidencia lista para mostrar, no está en cumplimiento, aunque tenga buenas intenciones y un firewall nuevo.
Las consecuencias de llegar tarde
Las multas no son simbólicas: pueden alcanzar montos significativos según la gravedad de la infracción, y se duplican para organizaciones calificadas como Operadores de Importancia Vital. Pero el costo real casi nunca es solo la multa. Es la pérdida de confianza de clientes y socios cuando se hace pública una brecha, y la posición de desventaja frente a competidores que sí llegaron preparados.
Qué hacer entre julio y diciembre
Ahora (julio-agosto): un diagnóstico de brecha. Sin saber dónde está parada su empresa hoy, cualquier plan es una lista de buenas intenciones. Esta etapa toma días, no meses, y define exactamente qué falta.
Corto plazo (septiembre-octubre): cerrar las brechas priorizadas. Empezar por lo que tiene mayor riesgo y menor costo de implementación — los llamados “quick wins” — antes de abordar cambios estructurales más largos.
Antes de diciembre: dejar documentada la evidencia. No solo implementar controles, sino poder demostrarlos: actas, registros, políticas firmadas, pruebas de que los planes de respuesta se probaron.
La ventana se está cerrando
Cada mes que pasa sin empezar es un mes menos para corregir sin apuro. Las empresas que arrancan en octubre o noviembre terminan improvisando bajo presión, con más errores y menos tiempo para hacerlo bien. Las que empiezan ahora llegan a diciembre con margen, no con pánico.
Si todavía no tiene claro en qué punto está su empresa frente a la Ley 21.719 y la Ley 21.663, ese es exactamente el primer paso: un diagnóstico que le diga, en concreto, qué falta y cuánto tiempo real necesita para resolverlo.