En octubre de 2026 el Senado aprobó postergar la Ley 21.719 al 15 de octubre de 2027; el proyecto sigue en la Cámara y, mientras no se publique, la fecha legal es el 1 de diciembre de 2026. Afuera, Uber recibió una multa de 825 millones de euros, Meta una condena de 25.000 millones de dólares y Japón enfrentó una ola de filtraciones.
Lo esencial en 30 segundos
- Estado de la prórroga revisado al 5 de noviembre de 2026: aprobada por el Senado, en la Cámara de Diputados. No es ley.
- Las noticias internacionales se contrastaron con más de una fuente. Donde las cifras no coinciden, lo decimos.
Este resumen apareció primero en el boletín mensual de alayIAtrust en LinkedIn. Aquí lo publicamos con los datos revisados contra las fuentes y con una pregunta extra para cada noticia: qué cambia para una empresa que trata datos personales en Chile. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos personales en Chile.
El Senado aprobó postergar la Ley 21.719 al 15 de octubre de 2027
El 28 de octubre de 2026 el Senado aprobó en general y en particular el Boletín 18.623-07, que traslada la entrada en vigencia de la Ley 21.719 desde el 1 de diciembre de 2026 al 15 de octubre de 2027. El Ejecutivo había propuesto el 1 de diciembre de 2027; el Senado acortó ese plazo.
El proyecto también cambia la Agencia de Protección de Datos Personales. Su Consejo Directivo pasa de tres a cinco consejeros, con mandatos de seis años sin posibilidad de un nuevo período y renovación parcial cada dos años, y el quórum para sesionar sube de dos a tres consejeros. La propuesta de la primera designación deberá enviarse al Senado a más tardar nueve meses antes de la entrada en vigencia, en vez de seis. Los consejeros tendrán remuneración y dedicación exclusiva desde su nombramiento, y el mayor gasto del primer año se financiará con el presupuesto del Ministerio de Economía, Fomento y Turismo y, en lo que falte, con el Tesoro Público.
El proyecto está ahora en la Cámara de Diputados, con urgencia de «discusión inmediata». En el Senado, la senadora Paulina Vodanovic pidió que el plazo extra venga con un cronograma verificable y no sea «un cheque en blanco». Mientras no se publique como ley, la fecha que obliga sigue siendo el 1 de diciembre de 2026. El detalle del texto, artículo por artículo, está en nuestro seguimiento de la prórroga.
Multa de 825 millones de euros a Uber por desactivar conductores de forma automatizada
La autoridad de protección de datos de los Países Bajos (Autoriteit Persoonsgegevens) multó a Uber con 825 millones de euros, unos 966 millones de dólares, por desactivar cuentas de conductores mediante decisiones totalmente automatizadas, sin una revisión humana previa, y por no informarles adecuadamente sobre esas decisiones. La resolución se dio a conocer en agosto de 2026.
Es la segunda mayor multa en la historia del Reglamento General de Protección de Datos (RGPD) europeo, solo detrás de los 1.200 millones de euros que recibió Meta en 2023. Uber anunció que apelará y sostiene que nunca automatizó las desactivaciones permanentes. La autoridad, por su parte, constató que esas prácticas ya terminaron.
Qué mirar desde Chile. La Ley 21.719 reconoce el derecho a no ser objeto de decisiones basadas en el tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos o afecten significativamente a la persona (artículo 8 bis). Incluso cuando la decisión automatizada está permitida, el responsable debe asegurar el derecho a obtener una explicación, a la intervención humana, a expresar su punto de vista y a pedir la revisión. Si tu empresa usa reglas o modelos que aprueban, rechazan o bloquean a personas, ese flujo necesita una persona capaz de revisar el caso. Lo explicamos en inteligencia artificial y protección de datos.
Meta deberá pagar 25.000 millones de dólares a Nuevo México
El 21 de octubre de 2026, un juez de Nuevo México (Estados Unidos) ordenó a Meta pagar 25.000 millones de dólares al estado. La orden sigue a un veredicto de septiembre en que un jurado halló a la compañía responsable de más de 43 millones de infracciones a la ley estatal de prácticas desleales, por declaraciones engañosas sobre cómo manejaba los datos personales de sus usuarios. La causa nació del caso Cambridge Analytica.
El estado pedía más de 35.000 millones de dólares y Meta planteaba como máximo unos 3.450 millones. La compañía anunció que apelará.
Qué mirar desde Chile. El caso no se juzgó con una ley de protección de datos, sino con una de protección del consumidor: lo que se castigó fue la distancia entre lo que la empresa decía y lo que hacía. La política de privacidad es una declaración pública y conviene que describa lo que de verdad ocurre con los datos. Desde la Ley 21.719, su contenido mínimo está en el artículo 14 ter; tenemos un ejemplo de política de privacidad ordenado según esa lista.
La Unión Europea propone cambiar su reglamento de datos: el Digital Omnibus
En noviembre de 2025 la Comisión Europea presentó un paquete de cambios a varias normas digitales, conocido como Digital Omnibus, que incluye modificaciones al RGPD. Entre las más concretas:
- La notificación de brechas a la autoridad pasaría de 72 a 96 horas y solo sería obligatoria cuando la brecha implique un riesgo alto.
- Se aclararía que el interés legítimo puede servir de base legal para desarrollar y operar sistemas de inteligencia artificial con datos personales, con resguardos como la minimización y un derecho de oposición.
- La definición de dato personal pasaría a depender de quién trata la información: un dato no sería personal para una entidad que no puede identificar a la persona con medios razonablemente disponibles.
Son propuestas. Siguen en tramitación en el Parlamento Europeo y el Consejo y pueden cambiar o no aprobarse; mientras tanto, el RGPD rige con su texto actual, incluido el plazo de 72 horas.
Qué mirar desde Chile. La Ley 21.719 no fija un número de horas para reportar una brecha a la Agencia: el artículo 14 sexies exige hacerlo «sin dilaciones indebidas» cuando exista un riesgo razonable para los derechos de los titulares. Lo que se discute en Europa no cambia esa regla. La comparación completa está en Ley 21.719 vs. RGPD.
Ola de filtraciones en Japón y directrices de emergencia
Entre septiembre y octubre de 2026, más de veinte empresas japonesas informaron ataques. Entre los casos más citados están Times Car, el servicio de autos compartidos, que reportó una filtración asociada a unos 6,6 millones de socios (incluidas imágenes de licencias de conducir), y el ataque de ransomware a IDC Frontier, proveedor de nube de SoftBank, que alcanzó a cerca de 495 organizaciones clientes. JR East también informó datos expuestos; las cifras publicadas sobre su caso no coinciden entre fuentes.
El 9 de octubre, Masaaki Taira, responsable de la estrategia de ciberseguridad del partido de gobierno, habló de un «estado de emergencia en el ciberespacio». Ese mismo día, la Oficina Nacional de Ciberseguridad emitió directrices de emergencia para las empresas con grandes volúmenes de datos personales: aplicar parches con rapidez, exigir autenticación multifactor, auditar a los proveedores y reducir y cifrar los datos que guardan. Algunos medios presentaron la frase como una declaración formal de emergencia del gobierno; no lo fue.
Además, el 1 de octubre comenzaron a regir las medidas de la ley japonesa de ciberdefensa activa, que permite a la policía y a las fuerzas de autodefensa acceder a servidores atacantes y neutralizarlos, con autorización y supervisión.
Qué mirar desde Chile. El patrón se repite: un proveedor comprometido arrastra a cientos de clientes. Bajo la Ley 21.719, el responsable sigue respondiendo por los datos que entrega a un encargado, y por eso importan el contrato con el encargado y las medidas de seguridad. Si además tu empresa presta un servicio esencial, el incidente también se reporta al CSIRT Nacional según la Ley 21.663.
El mes en una tabla
Lo esencial de cada noticia y su estado a la fecha de esta publicación.
| Noticia | Dato clave | Estado | Qué revisar en Chile |
|---|---|---|---|
| Prórroga de la Ley 21.719 | Vigencia al 15 de octubre de 2027 | Aprobada por el Senado; en la Cámara | Seguir con la adecuación: hoy la fecha es el 1-dic-2026 |
| Multa a Uber (Países Bajos) | 825 millones de euros | Uber apelará | Revisión humana en decisiones automatizadas (art. 8 bis) |
| Fallo contra Meta (Nuevo México) | 25.000 millones de dólares | Meta apelará | Que la política de privacidad describa lo que se hace |
| Digital Omnibus (Unión Europea) | Brechas: de 72 a 96 horas | Propuesta en tramitación | Nada cambia en la ley chilena |
| Filtraciones en Japón | Times Car: 6,6 millones de socios | Directrices de emergencia del 9-oct | Contratos y seguridad de los encargados |
¿Qué hacer con el tiempo extra, si la prórroga se aprueba?
En un diagnóstico de 30 minutos revisamos dónde está tu empresa frente a la Ley 21.719 y qué conviene adelantar, con o sin prórroga.
Solicitar diagnósticoPreguntas frecuentes
¿Se postergó la Ley 21.719?
Todavía no. El Senado aprobó el 28 de octubre de 2026 el proyecto que traslada su entrada en vigencia al 15 de octubre de 2027, pero falta la Cámara de Diputados. Mientras no se publique como ley, la fecha legal sigue siendo el 1 de diciembre de 2026.
¿Qué cambia el proyecto de prórroga en la Agencia de Protección de Datos?
El Consejo Directivo pasa de tres a cinco consejeros, con mandatos de seis años sin un nuevo período y renovación parcial cada dos años, y el quórum para sesionar sube a tres. La primera designación deberá proponerse al Senado a más tardar nueve meses antes de la vigencia.
¿Por qué multaron a Uber con 825 millones de euros?
La autoridad neerlandesa concluyó que Uber desactivó cuentas de conductores con decisiones totalmente automatizadas, sin revisión humana previa, y que no les informó adecuadamente. Es la segunda mayor multa del RGPD. Uber apelará.
¿La Ley 21.719 regula las decisiones automatizadas?
Sí. El artículo 8 bis da derecho a no ser objeto de decisiones basadas en tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos o afecten significativamente a la persona, con excepciones. En todos los casos hay derecho a explicación, intervención humana y revisión.
¿Por qué condenaron a Meta en Nuevo México?
Un jurado la halló responsable de más de 43 millones de infracciones a la ley estatal de prácticas desleales por declaraciones engañosas sobre el manejo de datos, en un caso nacido de Cambridge Analytica. El 21 de octubre de 2026 el juez fijó el pago en 25.000 millones de dólares. Meta apelará.
¿Qué es el Digital Omnibus?
Es un paquete de cambios a normas digitales europeas que la Comisión Europea presentó en noviembre de 2025. Incluye llevar la notificación de brechas de 72 a 96 horas solo para las de riesgo alto y aclarar el uso del interés legítimo para inteligencia artificial. Sigue en tramitación.
¿Cambia el plazo para reportar brechas en Chile?
No. La Ley 21.719 no fija horas: el artículo 14 sexies exige reportar a la Agencia sin dilaciones indebidas cuando exista un riesgo razonable para los titulares. El plazo de 72 horas es del RGPD europeo, no de la ley chilena.
¿Japón declaró el estado de emergencia por ciberataques?
No formalmente. La expresión la usó el 9 de octubre de 2026 un dirigente del partido de gobierno. Ese día la Oficina Nacional de Ciberseguridad emitió directrices de emergencia para empresas con grandes volúmenes de datos personales.
Fuentes oficiales
- Oficio N° 355/SEC/26 del Senado: texto aprobado del Boletín 18.623-07
- Pauta: Senado aprueba prórroga de la Ley de Protección de Datos Personales hasta octubre de 2027
- Ley 19.628 con las modificaciones de la Ley 21.719 (versión desde el 1-dic-2026) — Biblioteca del Congreso Nacional
- Pearl Cohen: Dutch Data Protection Authority fines Uber €825 million for fully automated deactivation of drivers
- Courthouse News: New Mexico judge orders Meta to pay $25 billion over data privacy
- Parlamento Europeo, Observatorio Legislativo: Digital Omnibus
- The Next Web: Japan steps up cyber warnings as data leaks hit millions of customers
Este artículo tiene fines informativos y no constituye asesoría legal para un caso particular.