El Gobierno pide un año más para la Ley 21.719: qué cambia para tu empresa y qué no

El proyecto entró al Senado con suma urgencia, que es la forma que tiene el Ejecutivo de apurar al Congreso: lo obliga a votar en plazos cortos.

Pide tres cosas. La primera es correr un año la entrada en vigencia. La segunda es agrandar el consejo que dirigirá la Agencia de Protección de Datos, de tres a cinco integrantes con dedicación exclusiva. La tercera es la que más le importa a una empresa mediana.

Hoy la ley permite que, durante el primer año, la Agencia sancione con una amonestación escrita en vez de multa — pero solo a las empresas de menor tamaño. El proyecto extiende ese trato a todas las empresas reguladas, entre diciembre de 2027 y diciembre de 2028. Traducido: un primer año de rodaje sin multas para todos.

El motivo no es que la ley esté mal escrita. Es que la Agencia que debe aplicarla todavía no existe.

Sin su consejo nombrado no hay quien dicte instrucciones, resuelva reclamos ni certifique nada. Una ley que empieza a regir sin autoridad que la administre deja a las empresas con obligaciones exigibles y sin nadie a quien preguntarle cómo cumplirlas.

Un proyecto ingresado no es una ley publicada, aunque venga con suma urgencia. Mientras el Congreso no lo despache, la fecha que rige sigue siendo el 1 de diciembre de 2026. Si tu plan ya dio por hecho el aplazamiento, estás apostando a un trámite que no ha ocurrido.

Y hay algo que el Congreso no controla. A una empresa mediana la exigencia casi nunca le llega como fiscalización: le llega como un anexo en el contrato o un cuestionario de su cliente más grande. Ese cliente no va a esperar a que la Agencia esté funcionando, porque su propia responsabilidad por los datos que te entrega no se suspende con el proyecto.

Un modelo de prevención de infracciones es, en simple, un programa interno de cumplimiento: el conjunto de medidas con las que una empresa demuestra que trata bien los datos personales.

El Decreto N.º 662 del Ministerio de Hacienda, de junio de 2025, es el reglamento que define qué debe contener ese programa. Está en toma de razón en la Contraloría — la revisión de legalidad que todo decreto debe pasar antes de poder aplicarse, y el último paso antes de su publicación.

Tenerlo es voluntario. Lo que no es voluntario es el deber de adoptar medidas para cumplir la ley. El propio reglamento lo aclara, para que nadie confunda una cosa con la otra.

El reglamento también regula una certificación, que emitirá la Agencia a pedido de la empresa y que dura tres años. Hoy no se puede pedir, justamente porque la Agencia no está constituida.

El reglamento enumera sus contenidos. Traducido a lo que una gerencia tiene que conseguir, son seis cosas:

• Un delegado de protección de datos: alguien con nombre y apellido que responda por el tema.
• Un catastro de los datos que la empresa trata: cuáles son, para qué se usan, con qué justificación legal, cuánto tiempo se guardan y si hay decisiones que se toman de forma automática.
• Una matriz de riesgo que muestre qué tratamientos son los más delicados.
• Protocolos escritos para quienes manipulan esos datos.
• Un canal interno de denuncia que proteja a quien reporta.
• Un régimen de sanciones internas para cuando alguien no cumple.

Primero, no soltar el plan. Si el aplazamiento se aprueba, lo que ganas es tiempo, no perdón: las obligaciones son las mismas y la ventana simplemente se corre.

Segundo, usar el reglamento como lista de chequeo aunque no pienses certificar. El catastro de datos, la matriz de riesgo, el delegado designado y los protocolos escritos son exactamente lo que te va a pedir un cliente corporativo, un banco o una licitación — con o sin Agencia funcionando.

Tercero, dejar registro de lo que avanzas: quién decidió, cuándo y con qué criterio. Es lo único que sirve igual, entre en vigencia la ley en 2026 o en 2027.