Un estudio de LemonTech y ACEC detectó que apenas 9% de las organizaciones se declara completamente lista, mientras el Ejecutivo tramita una prórroga de un año para la entrada en vigencia de la nueva ley de datos
La cuenta regresiva para la nueva Ley de Protección de Datos Personales encuentra a una parte importante de las empresas chilenas lejos de estar preparada. Un estudio realizado entre 127 organizaciones con operaciones en el país concluyó que 72% reconoce no estar listo para cumplir las nuevas exigencias, mientras 46% admite que todavía no ha implementado ninguna de las medidas requeridas.
La cifra adquiere mayor relevancia porque la fecha legal sigue siendo, por ahora, el 1 de diciembre de 2026. El Gobierno ingresó al Congreso un proyecto para postergar la entrada en vigencia hasta diciembre de 2027, pero la iniciativa continúa su tramitación legislativa. Mientras esa modificación no sea aprobada, las empresas deben trabajar considerando el calendario actualmente establecido.
El levantamiento, desarrollado por la plataforma de tecnología legal LemonTech y la Asociación Chilena de Ética y Compliance, ACEC, muestra además que solo 9% de las organizaciones consultadas se considera completamente preparada. No se trata de un catastro de todo el universo empresarial chileno, pero sus resultados entregan una señal sobre la distancia existente entre el conocimiento de la nueva regulación y su implementación efectiva.
Pymes aparecen como el segmento más rezagado
Las mayores brechas están entre las empresas de menor tamaño. Según el estudio, 90% de las pequeñas empresas y 85% de las medianas reconoce no estar preparada, mientras entre las grandes compañías solo 36% declara encontrarse en condiciones de enfrentar adecuadamente el nuevo marco regulatorio.
La diferencia importa porque la nueva normativa no se limita a establecer principios generales sobre privacidad. Las organizaciones deberán revisar cómo recolectan, almacenan, utilizan y eliminan información de clientes, trabajadores y proveedores, además de contar con procedimientos que permitan responder a quienes soliciten acceso, rectificación, eliminación, oposición, portabilidad o bloqueo de sus datos.
El cambio se suma a una carga regulatoria que ha ido creciendo particularmente sobre compañías medianas. El Servicio de Impuestos Internos, por ejemplo, también ha reforzado durante 2026 sus mecanismos de fiscalización sobre este segmento, elevando la presión para profesionalizar sistemas de cumplimiento, trazabilidad y control interno.
Los números muestran cuánto falta por recorrer. Solo 34% de las organizaciones encuestadas cuenta con un Registro de Actividades de Tratamiento, mientras apenas 28% ha designado un delegado de Protección de Datos o un responsable institucional para conducir el proceso.
Rodrigo Reyes, presidente de ACEC, advierte que el problema ya no estaría principalmente en conocer la existencia de la regulación, sino en transformar esa información en decisiones concretas dentro de las organizaciones. “Las organizaciones saben que la ley existe, conocen las multas a las que se exponen y perciben el riesgo, pero esa percepción de amenaza no se ha traducido en decisiones”, sostiene.
Gobierno busca ganar un año para la implementación
La baja preparación empresarial coincide con la decisión del Ejecutivo de intentar modificar el calendario. El 1 de septiembre, el Gobierno presentó un proyecto que propone llevar la entrada en vigencia de la Ley 21.719 desde diciembre de 2026 hasta el 1 de diciembre de 2027.
La propuesta busca disponer de un año adicional para instalar la nueva Agencia de Protección de Datos Personales, desarrollar estándares de aplicación y facilitar que organismos públicos y privados adecuen sus estructuras. El proyecto también plantea ampliar de tres a cinco los integrantes del Consejo Directivo de la futura agencia.
La eventual prórroga, sin embargo, todavía no está aprobada. Esto obliga a las empresas a evitar que la iniciativa legislativa sea interpretada como una extensión ya resuelta, especialmente considerando el régimen sancionatorio que introduce la normativa.
Las infracciones leves podrán recibir amonestaciones o multas de hasta 5.000 UTM, las graves llegar hasta 10.000 UTM y las gravísimas hasta 20.000 UTM. La ley contempla además sanciones superiores ante reincidencias y, bajo determinadas condiciones para empresas que no sean de menor tamaño, multas que pueden relacionarse directamente con los ingresos anuales.
La brecha también está en la operación diaria
La preparación no pasa únicamente por documentos corporativos. El estudio detectó que 85% de las organizaciones gestiona actualmente estas materias mediante procesos manuales o repositorios genéricos, mientras solo 14% utiliza herramientas especializadas.
Más crítica aparece la capacidad para responder a los titulares de los datos. Solo 15% afirma contar con procedimientos documentados y mecanismos para controlar los plazos establecidos por la ley, mientras más de un tercio reconoce que todavía responde este tipo de solicitudes de manera informal y caso a caso.
La exposición aumenta ante incidentes de ciberseguridad. El 41% de las entidades consultadas carece de protocolos para reportar filtraciones o vulneraciones de datos, pese a que la nueva regulación establece obligaciones específicas frente a este tipo de eventos.
El riesgo comienza así a trasladarse desde las áreas jurídicas hacia la operación completa de las compañías. El estudio muestra que 39% de las empresas anticipa incluso un aumento de los litigios una vez que la nueva institucionalidad comience a operar.
La decisión que tome el Congreso sobre el plazo definirá cuánto tiempo tendrán finalmente las organizaciones para adaptarse. Pero incluso una postergación hasta 2027 no elimina el desafío: inventariar los datos que maneja una empresa, establecer responsabilidades, modificar procedimientos internos y preparar respuestas ante incidentes exige cambios que difícilmente pueden resolverse al final del calendario.
