La Ley 21.719 entra en vigor el 1 de diciembre y expone vacíos en regulación de pequeñas empresas

Chile tendrá a partir del 1 de diciembre de 2026 su primera ley de protección de datos con autoridad fiscalizadora real. La Ley 21.719 crea la Agencia de Protección de Datos Personales y reemplaza íntegramente un marco regulatorio que existía solo en papel durante veinticinco años, posicionando al ciudadano como titular efectivo de derechos sobre sus datos personales.

La normativa permite a los ciudadanos conocer qué se hace con sus datos, exigir su eliminación y ejercer otros derechos de acceso y portabilidad. Sin embargo, su entrada en vigencia expone un punto ciego crítico: el cumplimiento normativo en el sector de pequeñas y medianas empresas.

Múltiples prácticas comerciales habituales en pymes podrían convertirse en incumplimientos bajo la nueva regulación. Casos como el envío de promociones por WhatsApp Business, el uso de sistemas biométricos para registro de asistencia, el traspaso de bases de clientes a terceros sin consentimiento documentado, o la cesión de facturas a empresas de factoring sin protocolos formales de protección de datos, se encuentran en una zona gris respecto de sus obligaciones legales.

La brecha de conocimiento es evidente: muchas pequeñas empresas que operan con prácticas consolidadas durante años desconocen que sus procedimientos rutinarios requerirán ajustes operacionales y de consentimiento informado. La ausencia de claridad sobre cómo la Agencia fiscalizará a este segmento empresarial —particularmente a microempresas con pocos recursos para cumplimiento normativo— plantea interrogantes sobre si la implementación será gradual, educativa o sancionatoria desde el primer día.

La ley representa un avance sustantivo en derechos de privacidad, uno de los estándares más altos de América Latina. No obstante, su efectividad dependerá de cómo se concrete la transición. La implementación sin capacitación masiva a pymes corre el riesgo de generar un escenario donde pequeños empresarios, ajenos a la existencia de la nueva regulación, incurran en violaciones sin intención. La Agencia de Protección de Datos tendrá ante sí el desafío de balancear la protección de derechos con la viabilidad de cumplimiento en el tejido empresarial más vulnerable.