¿Una marcha blanca de más de cinco años? El nuevo proyecto que modifica la Ley de Protección de Datos Personales

Por Lucas MacClure*

Introducción

Ya son varios los proyectos que buscan modificar la regulación sobre protección de datos personales de la Ley 21.719 de 2024 (ver MacClure 2026). El Presidente Kast acaba de sumar uno más (Boletín 18623-07). El proyecto busca modificar la implementación de la Ley sobre Protección de los Datos Personales (LPDP).

Si se aprueba el proyecto, ¿cuánto durará en los hechos la marcha blanca de la LPDP? ¿Cuándo comenzará su implementación robusta? ¿Cuándo la institucionalidad de esta ley —la Agencia de Protección de Datos Personales y los tribunales— empezará a fiscalizar y sancionar en serio, y a exigir la compensación de quienes han sufrido infracciones y violaciones de su derecho a la privacidad?

Aquí argumento que el proyecto probablemente extenderá la marcha blanca de la LPDP —contada a partir de la publicación de la Ley 21.719 el 13 de diciembre de 2024— a cinco o más años. Las reglas del proyecto y su contexto político hacen improbable que la Agencia y los tribunales implementarán con fuerza esta ley durante el actual periodo presidencial, que termina en marzo de 2030.

Más que criticar o proponer una solución, esta columna busca aportar a la conversación que ya tenemos las y los profesionales de la privacidad sobre el futuro cercano de la LPDP (ver, e.g., Bueno 2026; Harboe 2026). En mi opinión, extender la marcha blanca de esta ley es negativo para el derecho a la privacidad de la mayoría de las personas que viven en Chile, pero no es claro que otro camino sea políticamente viable. No hay suficiente voluntad política para implementar pronto esta ley, y es probable que el Congreso apruebe el proyecto. La pregunta que abordo aquí es qué consecuencias tendrá esta decisión para la implementación de la LPDP.

1. Antecedentes

El proyecto de ley del Gobierno pretende modificar la Ley 21.719 así:

Primero, modificando el articulado permanente de la futura LPDP para ampliar el número de consejeros del Consejo Directivo de la Agencia —de tres a cinco— y su quórum mínimo para sesionar —de dos a tres— (art. único, 1.a).

Segundo, modificando las disposiciones transitorias de la Ley 21.719 en relación a la entrada en vigencia del articulado permanente de la LPDP (art. único 2 y 4; estos cambios se discuten en la próxima sección). Y respecto del tiempo de designación del primer Consejo Directivo (a más tardar el 1 de diciembre de 2027), entre otros aspectos de este órgano (art. único 3).

Además, el proyecto complementa esas modificaciones con un par de artículos transitorios. Ellos regulan la designación de los primeros consejeros y el financiamiento de la implementación del proyecto.

2. Análisis: Las consecuencias del proyecto para la marcha blanca de la LPDP

¿Cómo este proyecto de ley, de ser aprobado, afectará la marcha blanca de la LPDP? Por “marcha blanca” quiero decir tanto el periodo de adaptación de los sujetos regulados, previo a la entrada en vigencia de sus normas, como la etapa posterior en la cual la institucionalidad de la ley se enfoca en su propia instalación, en crear normas generales, y en educar a los sujetos regulados y protegidos acerca de los deberes y derechos de la ley. Una vez superadas esas dos etapas, la marcha blanca da paso a la operación ordinaria de la ley, con fiscalización y sanción plenas —a su implementación robusta—.

Para entender cómo el proyecto de ley incide en la marcha blanca de la LPDP conviene revisar con detalle cómo el primero modifica las reglas de la Ley 21.719 sobre la entrada en vigencia de la segunda, así como el contexto político en el cual operarán esas y otras normas. A la luz de estos antecedentes probablemente la marcha blanca de la LPDP se extenderá hasta principios del 2030.

2.1. Los sujetos regulados deberán cumplir con las reglas de comportamiento de la LPDP a partir del 1 de diciembre de 2027

El proyecto de ley posterga la entrada en vigencia de la gran mayoría de las disposiciones permanentes de la LPDP desde el 1 de diciembre de 2026 —la fecha en la versión actual de la Ley 21.719— al 1 de diciembre de 2027 (art. único 2). Esta nueva vigencia diferida alcanza a todas las reglas de comportamiento que obligan a responsables y encargados, y que reconocen derechos a los titulares. Así, este aspecto del proyecto extiende la marcha blanca de la ley de dos a tres años, contados desde la publicación de la Ley 21.719 en el año 2024.

2.2. La Agencia no estará obligada a imponer todas las sanciones contempladas por la ley hasta el 1 de diciembre de 2028

La mera entrada en vigencia de las reglas de conducta de la LPDP no es suficiente para incentivar a la gran mayoría de los sujetos regulados a cumplir con ella. Se necesitan incentivos adicionales. Crearlos fue una de las principales intenciones del legislador de la LPDP. Ésta contempla una autoridad de control que fiscaliza a los infractores y les impone multas potencialmente altas. Eso debería cambiar el cálculo de riesgo legal de los regulados.

Sin embargo, la aplicación completa del régimen de sanciones de la LPDP también será postergada por el proyecto de ley.

Para entenderlo es útil revisar cómo la LPDP regula las sanciones. Ella contempla un régimen de sanciones con dientes, que guía y limita la potestad sancionadora de la Agencia y el control de los tribunales (hasta cierto punto, como explico abajo en 2.3). Esta ley define 31 infracciones y las clasifica “atendida a su gravedad” en “leves”, “graves” o “gravísimas”, aparejando sanciones a los distintos tipos de infracciones: para las leves, amonestación escrita, multa de hasta 5.000 UTM, y anotación en un registro público; para las graves, multa de hasta 10.000 UTM y anotación en el registro; para las gravísimas, multa de hasta 20.000 UTM, suspensión total o parcial del tratamiento de datos personales, y anotación en el registro. La ley también agrava las sanciones para quienes no subsanan las infracciones, para quienes reinciden, y para las empresas grandes que reinciden en infracciones graves o gravísimas. Si bien estas reglas afectan a los infractores, también limitan el actuar de la Agencia. Por ejemplo, si la Agencia constata una infracción grave o gravísima ella debe imponer una multa (aunque la ley le entrega cierta discreción para definir su monto).

Sin embargo, si el proyecto se aprueba, “[d]urante los primeros doce meses luego de la entrada en vigencia de esta ley, en los casos en que proceda alguna sanción la Agencia podrá aplicar como sanción una amonestación por escrito” (art. único, 4). Es decir, el proyecto crea una facultad de la Agencia de carácter transitorio —hasta el 1 de diciembre de 2028— para sancionar con la amonestación escrita todas las infracciones —no solamente las leves, como contempla la LPDP— y respecto de cualquier tipo de infractor. El proyecto logra este efecto por la vía de modificar una disposición transitoria de la Ley 21.719 que reservaba esa facultad transitoria para las PYMES (y solo hasta el 1 de diciembre de 2027).

¿Cómo esta facultad transitoria impactará la marcha blanca de la ley? En estricto rigor, la Agencia contará con todas sus potestades sancionadoras cuando la LPDP entre en vigencia el 1 de diciembre de 2027. Jurídicamente, nada obsta a que la Agencia sancione a quienes cometen infracciones graves o gravísimas con las más altas multas contempladas por la ley. Pero también nada obsta a que la Agencia sancione las infracciones graves o gravísimas con nada más que una amonestación escrita (y su anotación en el registro). El proyecto libera significativamente a la Agencia de los límites fijados por el régimen de sanciones graduado según la gravedad de las infracciones, ampliando su discreción hasta el 1 de diciembre de 2028.

¿Cómo ocupará la Agencia esta discreción transitoria? Lo más realista es pensar que la Agencia la usará para evitar imponer multas —al menos multas altas— a los infractores. Entre el 1 de diciembre de 2027 y el 1 de diciembre de 2028 la Agencia todavía estará instalándose —será el primer año de su funcionamiento pleno—, lo cual le dejará menos recursos para fiscalizar y sancionar. Y la sensibilidad política que dominará en su Consejo Directivo motivará también una actitud cauta (como se explica abajo en 2.3).

¿Y los tribunales de justicia? Por cierto, los titulares podrán reclamar ante las Cortes de Apelaciones contra las decisiones de la Agencia para que modifiquen —aumenten— las sanciones impuestas a los infractores; también podrán acudir a los tribunales civiles para obtener de los infractores la indemnización de perjuicios. Pero tomará tiempo para que estos litigios tomen vuelo. En ambos casos —el recurso de reclamación y la acción civil— primero es necesario que la Agencia se haya pronunciado en procedimientos administrativos: para el recurso de reclamación, se necesita un acto de la Agencia que paralice el procedimiento o una resolución final o de término; para la acción civil, se requiere una resolución de la Agencia que haya acogido el reclamo del titular y que esté ejecutoriada. Es improbable que la Agencia se pronuncie así en muchos procedimientos antes del 1 de diciembre de 2028, porque los procedimientos toman tiempo y por las razones mencionadas en el párrafo anterior. Pocos casos llegarán a los tribunales y éstos tendrán un rol menor en la implementación de la LPDP, al menos en este periodo.

Así, en materia de sanciones e indemnizaciones la marcha blanca de la ley probablemente se extenderá hasta el 1 de diciembre de 2028. Lo anterior agrega un año a los tres años de marcha blanca ya discutidos.

A la misma conclusión apunta una consideración adicional, la cual a su vez da luces sobre lo que pasará después del 2028.

2.3. El contexto político sugiere que la marcha blanca de la LPDP se extenderá hasta principios del 2030

La autocontención sancionadora de la Agencia también es probable después del 1 de diciembre de 2028, cuando ya haya expirado su facultad discrecional para imponer la amonestación escrita a todos los tipos de infracciones.

Aunque después del 1 de diciembre de 2028 será aplicable todo el régimen de sanciones, en esta materia la LPDP todavía le dará bastante discreción a la Agencia. Los criterios generales de determinación del monto de las multas de la LPDP se caracterizan por su variedad y vaguedad. Las reglas que definen las infracciones son también vagas, en buena medida porque se remiten a deberes redactados en términos muy abiertos. Así, el texto de esta ley crea oportunidades para que la Agencia actúe de manera tímida o cauta, si su Consejo Directivo lo considera apropiado.

Esa actitud cauta es probable durante el actual periodo presidencial. Según el proyecto, el presente Gobierno nominará a los primeros cinco consejeros del Consejo Directivo —a más tardar el 1 de diciembre de 2026—, así como a los dos que lo renovarán parcialmente —el 1 de diciembre de 2028— . (La siguiente renovación será a fines del 2030.) El mismo Gobierno que está impulsando la postergación de la entrada en vigencia de la LPDP. Y que, en materias relevantes para la privacidad como la regulación de la IA (ver MacClure 2025), le está dando la espalda al modelo europeo en nombre de «la inversión e innovación”.

¿Podrá el Senado poner un freno con la supermayoría de 2/3 necesaria para aprobar los nombres propuestos? No es claro. Una lectura posible del aumento de consejeros que propone el proyecto —de tres a cinco— es conquistar a la oposición para evitar que, como ya ocurrió dos veces, el Senado rechace las nominaciones del Presidente. La contrapartida es que probablemente el Gobierno tendrá mayoría en el Consejo Directivo de la Agencia.

Conclusión

Si se aprueba el proyecto de ley del Gobierno que modifica la Ley 21.719, es probable que la marcha blanca de la LPDP se extienda aún más: durará desde fines del 2024 hasta principios del 2030. De acuerdo al proyecto, los sujetos regulados deberán cumplir con las reglas de comportamiento de la LPDP recién a partir del 1 de diciembre de 2027. Si bien la Agencia podrá fiscalizar e imponer sanciones a partir de esa fecha, ella no estará obligada a aplicar el régimen completo de sanciones hasta el 1 de diciembre de 2028, y es probable que opere con autocontención sancionadora por razones institucionales y políticas. El contexto político también sugiere que su Consejo Directivo actuará con cautela hasta principios del 2030.

Nos tomó casi ocho años crear la Ley sobre Protección de los Datos Personales. Pareciera que nos tomará cinco años más comenzar su implementación robusta.

*Lucas MacClure. Abogado y doctor en Derecho. Socio de Lupa Legal. Agradezco los comentarios a esta columna de Lucas Sierra. Los errores son míos.