En corto: en febrero de 2026, la Ley 21.806 reformó la Ley 21.719 antes incluso de entrar en vigor. No cambió ninguna de las reglas que tu web tiene que cumplir, ni la fecha: la Ley 21.719 sigue entrando en vigor el 1 de diciembre de 2026. Lo que cambió es el calendario de montaje de la Agencia —se instala antes—, y eso comprime el tiempo real que te queda para adecuarte.
Cuando una ley se modifica antes de entrar en vigor, lo normal es asustarse: "¿ahora tengo que volver a empezar?". Con la Ley 21.806 —publicada en febrero de 2026— la respuesta es tranquilizadora en el fondo y exigente en la forma. No toca las obligaciones. Toca el reloj.
Qué cambió de verdad
La Ley 21.806 reformó el artículo cuarto transitorio de la Ley 21.719 —es decir, las disposiciones sobre cómo y cuándo se pone en marcha la nueva Agencia de Protección de Datos Personales, no las reglas que regulan tu tratamiento de datos. En concreto:
- Adelanta la instalación de la Agencia y el nombramiento de su Consejo Directivo, para que esté operativa a tiempo.
- Corrige los plazos del proceso de nombramiento, para evitar bloqueos institucionales.
- Desbloqueo por silencio: si el Senado no se pronuncia sobre la propuesta de consejeros dentro del plazo, esta se entiende aprobada "por el solo ministerio de la ley".
- Funciones anticipadas: el Consejo podrá dictar instrucciones generales y ejercer funciones esenciales antes de diciembre de 2026, aunque esas instrucciones solo serán obligatorias desde diciembre de 2026.
Traducido: la reforma no cambia qué debes cumplir, sino que se asegura de que el árbitro esté en la cancha —y preparado— cuando empiece el partido.
Qué NO cambió (lo importante para ti)
Esto es lo que conviene subrayar, porque es donde podría cundir el pánico sin motivo:
- La fecha de entrada en vigor sigue intacta: 1 de diciembre de 2026.
- El estándar de consentimiento —libre, informado, específico, inequívoco y revocable— no se tocó.
- Las reglas de cookies y rastreadores, igual: nada que cargue datos antes del "sí" cambia de criterio.
- El Delegado de Protección de Datos, las multas y el deber de notificar brechas siguen exactamente como estaban.
Si ya estabas trabajando con la Ley 21.719 en la mano, no tienes que rehacer nada. Tu hoja de ruta sigue siendo válida.
La Ley 21.806 no cambió las reglas técnicas, así que el diagnóstico sigue siendo el mismo punto de partida. Escaneamos las señales públicas de tu sitio frente a la Ley 21.719 —sin instalar nada.
Entonces, ¿por qué te afecta?
Porque la Ley 21.806 cambió una cosa silenciosa pero decisiva: el momento en que empiezas a tener referencias concretas de qué se va a exigir.
Hasta ahora, muchas empresas operaban con la estrategia de "espero a ver cómo fiscalizan". Con la Agencia montándose antes, esa estrategia se queda sin aire: el Consejo Directivo podrá publicar criterios e instrucciones generales antes de diciembre de 2026. Vas a saber con antelación cómo va a interpretar la autoridad cada obligación —y eso significa que, llegado diciembre, ya nadie podrá alegar que no sabía.
La ventana real de adecuación no es "hasta diciembre de 2026". Es "hasta que la Agencia empiece a marcar la cancha", que será antes. El tiempo cómodo se acortó.
Qué vigilar de la Agencia de aquí a diciembre
Si la reforma adelantó el montaje de la Agencia, lo lógico es seguirle la pista: cuanto antes empieces a leer sus señales, más tiempo tienes para reaccionar. Tres cosas que conviene tener en el radar entre hoy y el 1 de diciembre de 2026:
- El nombramiento del Consejo Directivo. Es el órgano que dirige la Agencia. Que esté constituido marca el momento en que la autoridad pasa de existir en el papel a tener manos.
- Las primeras instrucciones generales. El Consejo puede dictarlas antes de diciembre. Aunque solo sean obligatorias desde la entrada en vigor, son la mejor pista de cómo va a interpretar cada obligación —y, por tanto, de qué te van a mirar a ti.
- Los reglamentos y criterios técnicos. Detalles como los umbrales para designar un DPO, el formato de notificación de brechas o las garantías para transferencias internacionales se concretarán en normativa de aplicación. Ahí está la letra pequeña que hoy todavía es genérica.
No hace falta obsesionarse: basta con que alguien en tu organización tenga el encargo de mirar esto una vez al mes. El que llega a diciembre habiendo leído los criterios de la Agencia juega con ventaja sobre el que se entera ese día.
Qué hacer ahora
La conclusión práctica no cambia respecto al resto de la preparación; solo se vuelve más urgente: el orden correcto empieza por saber dónde estás.
- Diagnostica primero: qué trata tu web, qué rastreadores dispara, cómo captura el consentimiento, qué expone. No puedes priorizar lo que no has medido.
- Ordena por impacto: los arreglos de mayor efecto y menor coste —el banner, los formularios, los trackers— primero.
- Documenta: porque, como en toda la Ley 21.719, lo que no puedes demostrar es como si no existiera.
Adelantarse a la Agencia no es paranoia: es la forma más barata de cumplir. Lo caro es llegar a diciembre con la web igual que hoy, cuando los criterios ya llevaban meses publicados. El primer paso —y no es contratar a un abogado— es entender qué tiene tu sitio.
Escaneamos las señales públicas de tu web e identificamos los hallazgos frente a la Ley 21.719. El punto de partida para llegar a diciembre con deberes hechos —gratis y sin compromiso.
Lectura relacionada: Estudio: 7 brechas recurrentes en 50 webs chilenas auditadas — los datos reales de qué falla, medidos por el escáner de AGLAYA.
Preguntas frecuentes
¿Qué es la Ley 21.806?
Es la ley, publicada en febrero de 2026, que reformó el artículo cuarto transitorio de la Ley 21.719. Ajusta el calendario de instalación de la Agencia de Protección de Datos Personales —no las obligaciones de fondo— para que la autoridad esté operativa a tiempo.
¿La Ley 21.806 cambió la fecha de entrada en vigor de la Ley 21.719?
No. La Ley 21.719 sigue entrando en vigor el 1 de diciembre de 2026. La reforma adelanta el montaje de la Agencia, pero no mueve la fecha en que las obligaciones empiezan a regir.
¿Cambió las reglas de consentimiento, cookies, el DPO o las multas?
No. La Ley 21.806 tocó solo las disposiciones transitorias sobre la Agencia. El estándar de consentimiento, las reglas de cookies y rastreadores, la figura del Delegado de Protección de Datos, las sanciones y el deber de notificar brechas siguen igual.
Si no cambió las reglas, ¿por qué me importa?
Porque la Agencia se instala antes y su Consejo podrá publicar criterios e instrucciones generales antes de diciembre de 2026. Sabrás con antelación cómo se interpretará cada obligación, así que la ventana real para adecuarte sin prisas se acorta.
Marco legal · fuente oficial: Ley N.º 21.719 — texto íntegro, Biblioteca del Congreso Nacional de Chile.
Este artículo se publica con fines informativos y de divulgación técnica respecto a la Ley N.º 21.719 de la República de Chile. Los análisis de AGLAYA corresponden a diagnósticos técnicos preliminares basados en las capas tecnológicas visibles de los sitios web evaluados. No constituyen asesoría jurídica, defensa legal, dictamen de cumplimiento formal ni certificación de adecuación normativa. Para la aplicación legal específica de estas normas a su organización, se recomienda la contratación de asesoría jurídica especializada.