Una ley vigente sin fiscalizador: por qué la ausencia de la Agencia no protege a nadie

El 1 de diciembre de 2026 entra en vigencia la reforma a la Ley N° 19.628 introducida por la Ley N° 21.719. Ese día nacen, entre otras, la obligación de acreditar una base de licitud para cada tratamiento, el deber de responder las solicitudes de derechos de los titulares, la exigencia de consentimiento expreso para el tratamiento de datos biométricos (artículo 16 ter) y el deber de reportar a la autoridad las vulneraciones a las medidas de seguridad «sin dilaciones indebidas» (artículo 14 sexies).

El problema es que, al día de hoy, esa autoridad no existe.

El artículo 30 quáter dispone que el Consejo Directivo de la Agencia de Protección de Datos Personales estará integrado por tres consejeros designados por el Presidente de la República con acuerdo del Senado, adoptado por los dos tercios de sus miembros en ejercicio. En mayo, la Sala del Senado desechó la terna propuesta precisamente por no alcanzar ese quórum. A inicios de junio venció el plazo que las disposiciones transitorias de la Ley N° 21.719 fijaban para la designación, seis meses antes de la entrada en vigencia. Especialistas han advertido que, bajo una interpretación estricta, agotado ese plazo no existiría habilitación legal para repetir el procedimiento, y que la salida más robusta sería una ley corta que regularice la designación. Una ley corta que, aun tramitada con urgencia, podría no estar resuelta antes de diciembre.

El escenario que se dibuja es inédito: una ley plenamente vigente, con un catálogo de obligaciones exigibles a todos los responsables y encargados de tratamiento del país, y sin autoridad constituida capaz de fiscalizar, sancionar ni dictar las instrucciones generales que la propia ley le encomienda.

He conversado con gerentes y asesores que leen este cuadro como un permiso tácito para postergar. El razonamiento es comprensible y, a mi juicio, equivocado por tres razones.

La primera es jurídica. La vigencia de la ley no depende de la instalación de la Agencia. Las obligaciones nacen el 1 de diciembre para todos, con o sin fiscalizador. Lo que se posterga no es el deber, sino la consecuencia. Y las infracciones que se cometan durante el intervalo no desaparecen: quedan disponibles para una autoridad que llegará tarde, con presión pública por demostrar que existe, y con un universo de incumplimientos visibles donde elegir sus primeros casos. Apostar a la demora del fiscalizador es acumular pasivo, no eliminarlo.

La segunda es contractual, y me parece la más subestimada. La exigibilidad de la ley no descansa únicamente en la Agencia. Descansa también en los contratos. Los responsables de tratamiento que encargan datos a terceros (proveedores tecnológicos, plataformas de gestión de flotas, servicios de nómina, operadores logísticos) deberán garantizar que sus encargados cumplen, y lo harán del único modo que conocen: exigiéndolo por contrato, con cláusulas de auditoría, garantías y responsabilidad. Un proveedor que en diciembre no pueda acreditar cumplimiento no será multado por la Agencia; será descartado por su cliente. Esa fiscalización privada ya comenzó y no necesita ley corta.

La tercera es operativa. Un programa serio de cumplimiento (levantamiento de tratamientos, bases de licitud, contratos de encargo, medidas de seguridad, procedimientos de derechos y de reporte de vulneraciones) toma entre seis y doce meses en una empresa mediana. Quien espere a que el Senado ratifique consejeros para empezar, ya llegó tarde. La incertidumbre institucional es real, pero afecta la fecha de la primera multa, no la fecha de la primera obligación.

Queda, por cierto, una crítica legítima al proceso: la instalación tardía de la autoridad debilita justamente lo que la reforma prometía corregir, la histórica falta de fiscalización de la ley vigente. Es de esperar que la ley corta no solo habilite un nuevo procedimiento de designación, sino que asegure a la Agencia el tiempo y los recursos para instalarse antes de que las obligaciones la sobrepasen. Mientras tanto, conviene decirlo con claridad: el vacío institucional es un problema del Estado, no una defensa del regulado. La ley no espera a su fiscalizador, y los contratos tampoco.

Juan José Valenzuela Alcántara

Delegado de Protección de Datos (Universidad Diego Portales).

CEO y fundador de Valar Technologies, consultora de cumplimiento en protección de datos personales.