Prórroga de la Ley de Datos: ni un año extra ni un año perdido

Una ley que no se fiscaliza no vale ni el papel en que está escrita.

Es lo primero que se me viene a la cabeza cuando analizo la situación que atraviesa la Ley 21.719, más conocida como la nueva Ley de Datos, cuya entrada en vigencia sigue prevista, por ahora, para el 1 de diciembre de 2026.

Digo “por ahora” porque la prórroga dejó de ser un rumor. A comienzos de agosto, el Gobierno confirmó que evaluaba postergarla por razones que a estas alturas ya son de conocimiento público, y septiembre comenzó con el ingreso del proyecto de ley que propone aplazar su entrada en vigencia hasta el 1 de diciembre de 2027.

Sin autoridad constituida no hay fiscalización real. Y sin fiscalización, la fecha pierde buena parte de su poder y de su sentido.

Tampoco pretendo caer en el cliché de que ahora tendremos “un año más para prepararnos” o que esta será “una segunda oportunidad que no debemos desaprovechar”. Seamos realistas: si una organización iba a implementar la ley a última hora, o no implementarla, esta eventual prórroga no cambiará esa conducta. Solo cambiará la fecha del pánico.

Y hasta cierto punto está bien reconocerlo: las empresas tienen clientes, ventas, inversiones y decenas de prioridades compitiendo por los mismos escasos recursos, donde el negocio seguirá marcando la cadencia.

La prórroga tampoco es absurda

Lamentarse por todo lo que no se hizo respecto a la ley hasta ahora tampoco sirve.

A menos de tres meses de la fecha inicialmente prevista, Chile todavía no cuenta con su Agencia plenamente constituida, y la protección de datos tiene conceptos que sobre el papel parecen sencillos pero cuya aplicación práctica es menos evidente. Ante esas zonas grises, la frase que más se repite es “debemos esperar los lineamientos de la Agencia”.

No parece razonable, entonces, exigir certeza absoluta al regulado cuando el propio sistema encargado de entregarla todavía está en construcción.

Desde esa perspectiva, postergar la entrada en vigencia no es necesariamente un sinsentido.

Pero tampoco es inocuo.

El costo de haber hecho las cosas bien

Una prórroga tiene un efecto bastante menos comentado: castiga, al menos en el papel, a quien sí se adelantó.

A la empresa que contrató a su DPO, destinó presupuesto a asesorías, ajustó sus procesos o adquirió herramientas tecnológicas para poder cumplir con la ley: gestionar consentimientos, cookies, realizar integraciones o automatizar la ejecución de derechos.

Es una sensación parecida a la de esa prueba de matemáticas del colegio, para la que unos pocos estudiaron durante semanas y que el día anterior, el profesor decide postergar. Quien no estudió celebra, quien estudió queda con más inquietudes que respuestas.

Al menos quien estudió no pierde lo aprendido: llega con ventaja a la próxima prueba. Los contratos revisados, los datos ordenados y los consentimientos al día ya están produciendo efectos y ninguno de ellos se posterga.

Entonces, ¿para qué hacerlo antes?

Quizás esa es la pregunta que deberíamos estar respondiendo. No cómo seguir asustando a las empresas con multas que eventualmente llegarán más adelante, sino qué valor obtiene hoy una organización por gestionar correctamente los datos de sus clientes.

El primer fenómeno que aparece es la fatiga del consentimiento. Si tengo relación con treinta o cuarenta empresas y todas comienzan simultáneamente a enviarme correos, mostrarme banners y pedirme que revise políticas para entregar mi consentimiento, cada nueva solicitud estará compitiendo por una cantidad cada vez menor de mi atención. Y puede que las últimas las termine ignorando o, derechamente, rechazando.

Y acá es donde los consumidores también tienen un rol protagónico: premiar o castigar el comportamiento de las empresas, igual que la Ley de Etiquetado de Alimentos que empujó a la industria a terminar reformulando sus productos antes de cargar con múltiples sellos. Con los datos puede ocurrir lo mismo: la nueva ley puede empujar a las empresas a construir una relación más sana con los datos de sus clientes.

Entregar datos al final es una relación de confianza y la ley viene a poner un rayado de cancha mínimo en esa relación. Ese espacio de confianza todavía da alternativas para diferenciarse de la competencia y generar ventaja competitiva.

El estudio de privacidad de Cisco de 2025 lo cuantifica: el 96% de las organizaciones declara que los beneficios de invertir en privacidad superan los costos, con un retorno mediano de 1,6 veces lo invertido. Menos fricción en los procesos comerciales, menos dudas de clientes y prospectos, menor impacto de incidentes, eficiencias operacionales y mayores niveles de confianza.

En el mundo B2B es más evidente: cada vez más organizaciones preguntan a sus proveedores cómo protegen la información, dónde almacenan los datos, qué medidas de seguridad tienen, dónde residen sus datos y cómo responden frente al ejercicio de derechos. Tener esa casa ordenada puede significar responder mejor una licitación, superar más rápido un proceso de due diligence o simplemente eliminar una objeción antes de cerrar una venta.

La ley debería rayar la cancha, no marcar el ritmo

Hay, además, algo que ninguna prórroga posterga: los incidentes no leen el Diario Oficial. Las filtraciones, la responsabilidad frente a clientes y contrapartes, y la Ley 19.628 que sigue vigente no dependen de la fecha que finalmente se apruebe.

Por eso la invitación frente a esta eventual prórroga no debería ser “aprovechemos el año extra”. Tampoco “sigamos como si nada hubiera pasado”. Debería ser algo bastante más simple: preguntarnos dónde la protección de datos resuelve hoy un problema real de nuestro negocio.

• ¿Reduce fricción en ventas? Hagámoslo.
• ¿Nos ayuda a participar en una licitación? Hagámoslo.
• ¿Ordena información que hoy nadie sabe de dónde salió? Hagámoslo.
• ¿Permite conocer realmente las preferencias de nuestros clientes? Hagámoslo.
• ¿Reduce riesgos que llevamos años escondiendo debajo de la alfombra? Probablemente también sea un buen momento para hacerlo.

La Ley 21.719 no debería convertirse ni en el único motivo para proteger datos ni en aquello que marque el ritmo de cada decisión de la empresa. Su función es otra: rayar una cancha razonable para una relación que ya existe entre empresas y personas y que, en esencia, está construida sobre confianza.