¿Postergan la Ley 21.719? Qué sabemos y qué hacer mientras tanto

La pregunta cambió. Hasta julio nos preguntaban cuánto falta para el 1 de diciembre; ahora nos preguntan si esa fecha va a existir. La respuesta honesta, al 23 de octubre de 2026: el 1 de diciembre de 2026 sigue siendo el calendario legal vigente (Ley 21.719, art. primero transitorio), y al mismo tiempo hay un proyecto de ley en el Senado para moverlo un año.

La cronología, sin adjetivos

• 13 de diciembre de 2024. Se publica la Ley 21.719 en el Diario Oficial. Vigencia diferida: 1 de diciembre de 2026.
• Mayo de 2026. El Senado rechaza la terna presentada para el Consejo Directivo de la Agencia de Protección de Datos Personales.
• Junio de 2026. Vence el plazo legal para nombrar a los consejeros — seis meses antes de la entrada en vigencia.
• Agosto de 2026. El Ejecutivo reconoce que evalúa postergar. Queda por definir algo no menor: si el aplazamiento alcanza a toda la ley o solo a la puesta en marcha de la Agencia.
• 31 de agosto de 2026. El Ejecutivo ingresa un Mensaje (Boletín 18.623-07) que propone mover la entrada en vigencia al 1 de diciembre de 2027.
• Septiembre y octubre de 2026. El proyecto está en primer trámite en el Senado (Comisión de Constitución). Al 21 de octubre de 2026 tiene urgencia de discusión inmediata.
• Hoy. El proyecto no es ley. Mientras no se apruebe y publique, el 1 de diciembre de 2026 sigue siendo la fecha vigente.

La asociación de profesionales de protección de datos (AGPD) pidió públicamente que, si se posterga, el aplazamiento sea acotado a seis meses y que el Consejo Directivo quede designado a más tardar el 1 de diciembre de 2026.

Por qué esto no es una prórroga de tu plan

Tres razones, en orden de urgencia:

1. El otro regulador ya está fiscalizando. La Ley 21.663 creó la Agencia Nacional de Ciberseguridad (ANCI), que opera desde enero de 2025, ya publicó instrucciones generales sobre registro, delegado de ciberseguridad y gestión de incidentes, y en julio de 2026 cerró el primer proceso de calificación de Operadores de Importancia Vital: 1.154 instituciones. Si tu empresa quedó en esa nómina, tienes obligaciones exigibles hoy, con multas de hasta 40.000 UTM. Lo desarrollamos en Ley 21.719 y Ley 21.663: dos regímenes, una sola operación.

2. Tus clientes no esperan a la Agencia. Las cláusulas de protección de datos ya están entrando en los contratos y en las bases de licitación. Un encargado que no puede exhibir su registro de actividades de tratamiento pierde el contrato antes de que exista un fiscalizador.

3. Nada de lo que hay que hacer se pierde. El registro de actividades de tratamiento, la revisión de las bases de licitud, los contratos con encargados, el procedimiento de brechas y el ciclo de vida de los datos sensibles son trabajo interno que no depende de que exista la Agencia. Si la fecha se mueve, ese trabajo sigue hecho; si no se mueve, llegaste a tiempo.

La única decisión que sí conviene revisar

Si tenías un gasto grande calzado exactamente contra el 30 de noviembre — una certificación externa, una contratación de DPO a jornada completa, un despliegue de herramienta — vale la pena secuenciarlo: primero lo que sirve igual (levantamiento, registro, contratos, brechas), después lo que solo tiene sentido con una Agencia funcionando (por ejemplo, la interlocución formal y los procedimientos de notificación ante ella).

Qué vamos a hacer en este sitio

Mantenemos el contador y la fecha del 1 de diciembre de 2026 porque es la norma vigente, y publicamos junto a él el estado real del calendario, con fecha de revisión. El proyecto ya fue ingresado: seguimos su tramitación y actualizamos esta página cuando cambie de etapa o se publique como ley.

Fuentes. Senado, ficha del Boletín 18.623-07 · Actualidad Jurídica / DOE, 4-ago-2026 · Diario Financiero · trendTIC, 18-ago-2026 · AGPD, vía ESG Hoy · ANCI, cierre del primer proceso de calificación de OIV