La Ley 21.719 de Chile no tiene un reglamento único. El artículo segundo transitorio ordenó dictar los reglamentos de la ley dentro de los seis meses siguientes a su publicación en el Diario Oficial, y dejó uno aparte: el del artículo 26, que vence seis meses después de la entrada en vigencia y requiere informe previo de la Agencia.
Lo esencial en 30 segundos
- No existe “el reglamento” en singular: la ley contempla varios instrumentos distintos.
- El artículo segundo transitorio dio seis meses desde la publicación (13 de diciembre de 2024).
- El reglamento del artículo 26 corre por separado: seis meses desde la entrada en vigencia.
- Ese reglamento cubre dos cosas concretas: cesión de datos entre organismos y anonimización.
- Las obligaciones del responsable rigen desde el 1 de diciembre de 2026 exista o no reglamento.
Cuando una empresa chilena pregunta por “el reglamento de la Ley 21.719”, casi siempre está pidiendo una cosa: el manual que le diga exactamente qué medidas de seguridad implementar, con qué formato documentar el registro de actividades y cuántos días tiene para cada trámite. Ese documento no existe, y entender por qué evita perder meses. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.
La Ley 21.719 sigue la técnica del Reglamento General de Protección de Datos europeo: define principios, deberes y estándares en el propio texto legal, y deja a la potestad reglamentaria solo aquello que necesita detalle operativo o coordinación entre servicios del Estado. La mayor parte del cumplimiento se lee directamente en la ley.
Este artículo separa tres cosas que se confunden todo el tiempo: qué reglamentos manda dictar la ley, qué plazos les puso, y qué instrumentos ya se dictaron y sí conviene revisar hoy.
¿La Ley 21.719 tiene un reglamento único?
No. La Ley 21.719 de Chile no se desarrolla mediante un reglamento general que detalle artículo por artículo cómo cumplirla. Lo que hay es un conjunto de instrumentos distintos, cada uno con su propio objeto, su propio ministerio responsable y, en un caso, su propio plazo.
Esta es la primera fuente de confusión. Varias guías publicadas en Chile hablan de “el reglamento de la ley” como si fuera un solo texto pendiente de firma. La consecuencia práctica de esa idea es peligrosa: lleva a postergar decisiones que no dependen de ningún reglamento.
La lógica de la Ley 21.719 es la contraria. Los principios del artículo 3, los derechos del titular, el deber de seguridad del artículo 14 quinquies, el reporte de brechas del artículo 14 sexies y el régimen sancionatorio están todos desarrollados en el texto legal. Son exigibles por sí mismos.
- Los principios y deberes del responsable están en la ley, no en un reglamento.
- La potestad reglamentaria se reservó para materias operativas y de coordinación estatal.
- No hay un texto único pendiente que “complete” la ley antes de diciembre de 2026.
¿Qué plazo fijó la ley para dictar los reglamentos?
El artículo segundo transitorio de la Ley 21.719 es explícito y establece dos relojes distintos. El primero: los reglamentos referidos en la ley “deberán dictarse dentro de los seis meses siguientes a la publicación de esta ley en el Diario Oficial”. La publicación ocurrió el 13 de diciembre de 2024, de modo que ese plazo se cuenta desde esa fecha.
El segundo reloj es el que casi nadie menciona. El mismo artículo segundo transitorio agrega que el reglamento del artículo 26 “deberá dictarse dentro de los seis meses desde la entrada en vigencia de la presente ley, una vez evacuado el respectivo informe de la Agencia”. Es decir, corre desde el 1 de diciembre de 2026, no desde la publicación.
La diferencia no es un detalle burocrático. Significa que ese instrumento en particular no puede existir antes de que la ley entre en vigencia, porque requiere el informe previo de una Agencia que todavía debe estar en funcionamiento para emitirlo.
| Instrumento | Desde cuándo se cuenta | Plazo | Requisito previo |
|---|---|---|---|
| Reglamentos referidos en la ley (regla general) | Publicación en el Diario Oficial (13 de diciembre de 2024) | 6 meses | Ninguno indicado en la ley |
| Reglamento del artículo 26 | Entrada en vigencia de la ley (1 de diciembre de 2026) | 6 meses | Informe previo de la Agencia |
¿Qué regula exactamente el reglamento del artículo 26?
El artículo 26 de la ley acota su objeto con precisión, y conviene leerlo literal porque es más estrecho de lo que se suele suponer. Regula “las condiciones, modalidades e instrumentos para la comunicación o cesión de datos personales entre organismos públicos y con personas u organismos privados”.
El mismo artículo 26 agrega una segunda materia que sí interesa a cualquier empresa: “En este mismo reglamento se regularán los procedimientos de anonimización de los datos personales, especialmente los datos personales sensibles”. Ese es el punto que vale la pena seguir de cerca.
La anonimización importa porque la propia ley, en el artículo 2 letra k), define que un dato anonimizado deja de ser un dato personal. Un procedimiento de anonimización validado saca esos datos del ámbito de la ley por completo. Mientras el reglamento no fije el estándar, esa decisión queda bajo responsabilidad de cada empresa y debe poder acreditarse.
El reglamento lo expide el Ministerio Secretaría General de la Presidencia, con firma del Ministro de Hacienda y del Ministro de Economía, Fomento y Turismo. No se aplica a las cesiones en que participe alguno de los órganos del Título VIII de la ley.
- Objeto 1: cesión de datos entre organismos públicos y con privados.
- Objeto 2: procedimientos de anonimización, en especial de datos sensibles.
- Lo firman tres ministerios: Segpres, Hacienda y Economía.
- Excluye las cesiones con órganos del Título VIII.
¿Qué instrumentos ya se dictaron y conviene revisar hoy?
Aunque el reglamento del artículo 26 aún no puede existir, sí hay normativa complementaria ya publicada que afecta decisiones concretas de cumplimiento en Chile, y que muchas empresas desconocen porque están esperando un texto que no va a llegar antes de diciembre de 2026.
El primero es el decreto supremo que regula el Modelo de Prevención de Infracciones y su certificación, la figura de los artículos 48 a 53 de la ley. Es relevante porque un modelo certificado incide en la ponderación de la responsabilidad ante la Agencia.
El segundo son las cláusulas contractuales modelo para transferencias internacionales, publicadas en el Diario Oficial en diciembre de 2025. Ese instrumento es el que habilita la vía más simple para transferir datos al extranjero sin negociar garantías caso a caso.
Antes de dar por definitivo el estado de cualquiera de estos instrumentos, conviene verificarlo en el Diario Oficial, porque el escenario normativo se sigue moviendo a medida que se acerca la entrada en vigencia.
¿Qué debe hacer una empresa mientras el reglamento no se dicta?
Lo mismo que tendría que hacer si el reglamento ya existiera, porque el grueso de las obligaciones no cambia. La Ley 21.719 exige al responsable acreditar la licitud de su tratamiento, y esa carga probatoria no se suspende por la ausencia de normativa reglamentaria.
El punto de partida es el registro de actividades de tratamiento. Sin saber qué datos trata la empresa, con qué finalidad y bajo qué base de licitud, ninguna de las decisiones siguientes se puede tomar bien, y ningún reglamento futuro va a resolver ese inventario por nadie.
La única área donde la falta de reglamento genera incertidumbre real es la anonimización. Si el modelo de negocio depende de tratar datos anonimizados como si estuvieran fuera de la ley, esa decisión debe documentarse con criterios técnicos defendibles y revisarse cuando el reglamento del artículo 26 se publique.
- Levantar el registro de actividades de tratamiento no depende de ningún reglamento.
- Definir la base de licitud de cada tratamiento tampoco.
- Las medidas de seguridad se rigen por el artículo 14 quinquies, que ya está escrito.
- Documenta los criterios de anonimización que uses y revísalos cuando salga el reglamento.
¿Estás esperando el reglamento para empezar?
En 30 minutos revisamos qué obligaciones de la Ley 21.719 ya te aplican hoy y cuáles dependen realmente de normativa pendiente.
Solicitar diagnósticoPreguntas frecuentes
¿La Ley 21.719 tiene reglamento?
No tiene un reglamento único que la desarrolle completa. La ley contempla varios instrumentos reglamentarios distintos. El más citado es el del artículo 26, que regula la cesión de datos entre organismos y los procedimientos de anonimización, y cuyo plazo corre desde la entrada en vigencia de la ley.
¿Cuándo debía dictarse el reglamento de la Ley 21.719?
El artículo segundo transitorio fijó seis meses desde la publicación en el Diario Oficial, que ocurrió el 13 de diciembre de 2024, para los reglamentos referidos en la ley. El reglamento del artículo 26 tiene un plazo distinto: seis meses desde la entrada en vigencia, previo informe de la Agencia.
¿Puedo esperar el reglamento para empezar a cumplir la Ley 21.719?
No conviene. Los principios del artículo 3, los derechos del titular, el deber de seguridad y el régimen de sanciones están desarrollados en la propia ley y son exigibles desde el 1 de diciembre de 2026, exista o no reglamento. Esperar solo reduce el tiempo disponible para implementar.
¿Qué pasa si el reglamento no se dicta a tiempo?
La ley entra en vigencia igual. El incumplimiento del plazo reglamentario no suspende las obligaciones del responsable ni la competencia sancionatoria de la Agencia de Protección de Datos Personales. Solo deja sin detalle operativo las materias específicas que el reglamento debía cubrir.
¿El reglamento del artículo 26 aplica a empresas privadas?
En parte. Su objeto principal es la comunicación o cesión de datos entre organismos públicos y con personas u organismos privados, así que alcanza a privados que reciben datos del Estado. Además regula los procedimientos de anonimización, que interesan a cualquier empresa en Chile.
¿Quién dicta el reglamento del artículo 26?
Lo expide el Ministerio Secretaría General de la Presidencia, suscrito por el Ministro de Hacienda y por el Ministro de Economía, Fomento y Turismo, previo informe de la Agencia de Protección de Datos Personales, según indica el propio artículo 26 de la ley.
¿La anonimización queda regulada por el reglamento?
Sí. El artículo 26 dispone que en ese mismo reglamento se regularán los procedimientos de anonimización de datos personales, especialmente de los datos sensibles. Es la materia reglamentaria con mayor impacto directo en empresas que trabajan con analítica o datos agregados.
¿Un dato anonimizado sigue siendo dato personal en Chile?
No. El artículo 2 letra k) de la ley define la anonimización como un procedimiento irreversible y señala expresamente que un dato anonimizado deja de ser un dato personal. Distinto es la seudonimización de la letra l), que sí mantiene los datos dentro del ámbito de la ley.
¿Hay otra normativa complementaria ya publicada?
Sí. Están el decreto que regula el Modelo de Prevención de Infracciones y su certificación, y las cláusulas contractuales modelo para transferencias internacionales publicadas en el Diario Oficial en diciembre de 2025. Conviene verificar su estado vigente antes de apoyarse en ellas.
¿Dónde se publica el reglamento cuando salga?
En el Diario Oficial de la República de Chile, y queda disponible en el sistema Ley Chile de la Biblioteca del Congreso Nacional. Ese es el único lugar donde conviene verificar su texto y su fecha de entrada en vigencia.
Fuentes oficiales
- Ley 21.719 — texto oficial, Biblioteca del Congreso Nacional
- Ley 19.628 consolidada con las modificaciones de la Ley 21.719
- Diario Oficial de la República de Chile
Este artículo tiene fines informativos y no constituye asesoría legal para un caso particular.