Qué es la APDP y por qué todavía no está constituida
La Agencia de Protección de Datos Personales (APDP) es el organismo público que la Ley 21.719 crea para fiscalizar el cumplimiento, sancionar las infracciones y dictar la normativa sobre datos personales en Chile. Es el equivalente funcional de las autoridades de control europeas. Hoy, sin embargo, no está constituida: el Senado rechazó a los integrantes propuestos para su consejo y venció el plazo del 1 de junio de 2026 sin que la Agencia entrara en funciones. Que la APDP no exista todavía no suspende la ley: las obligaciones del responsable, los derechos ARCOP y el deber de notificar brechas rigen igual desde el 1 de diciembre de 2026. Lo que sí queda en pausa es lo que depende de la Agencia, como certificar un Modelo de Prevención de Infracciones (art. 49). Conviene prepararse ahora y no esperar al regulador, porque el plazo de entrada en vigencia es firme.
La Ley 21.719 crea la Agencia de Protección de Datos Personales como organismo encargado de velar por el cumplimiento de la ley, con facultades para fiscalizar, sancionar e interpretar administrativamente sus normas.
Qué es la APDP
La Agencia de Protección de Datos Personales (APDP) es el nuevo organismo público que la Ley 21.719 crea como autoridad de control en materia de datos personales. En la práctica es el regulador que faltaba: hasta ahora Chile tenía la vieja Ley 19.628 sin un órgano dedicado a hacerla cumplir. La 21.719 reforma esa ley y, entre otras cosas, levanta esta institucionalidad.
La APDP es una corporación autónoma, con personalidad jurídica y patrimonio propio, que se relaciona con el Ejecutivo a través del ministerio correspondiente. Se dirige por un consejo cuyos integrantes deben ser designados con acuerdo del Senado. Ese es, precisamente, el paso que hoy está trabado.
Qué facultades tendrá
La Agencia concentra las funciones que una autoridad de datos necesita para ser algo más que un texto legal. Sus atribuciones principales son:
- Fiscalizar el cumplimiento de la ley por parte de responsables y encargados del tratamiento, público y privado.
- Sancionar las infracciones, que la ley clasifica en leves (hasta 5.000 UTM), graves (hasta 10.000 UTM) y gravísimas (hasta 20.000 UTM o un porcentaje de los ingresos).
- Dictar instrucciones y estándares técnicos, guías y normas de aplicación general para interpretar cómo se cumple la ley.
- Llevar registros públicos, como el registro nacional de sanciones y cumplimiento.
- Certificar los Modelos de Prevención de Infracciones (MPI) y acreditar a las entidades que los certifican (art. 49).
- Atender reclamos de titulares por el ejercicio de sus derechos y cooperar con autoridades de otros países.
Por qué aún no está constituida
El punto que conviene tener claro: la Agencia existe en la ley, pero no existe todavía como institución en funcionamiento. Para constituir su consejo, el Senado debía aprobar a los integrantes propuestos, y los rechazó. El plazo legal para dejarla instalada venció el 1 de junio de 2026 sin que se completara ese trámite.
Esto no es un detalle menor de calendario. Sin consejo constituido, la Agencia no puede dictar sus instrucciones, no puede acreditar certificadores y no puede ejercer plenamente su rol. Es un vacío temporal, no una derogación: la ley sigue vigente y su fecha de entrada en vigor no se movió. Si quieres el detalle al día, revisa el estado de la Ley 21.719 y cuánto tiempo queda hasta la fiscalización.
Qué significa hoy que la APDP no exista
Que la Agencia no esté constituida cambia lo que se puede y lo que no se puede hacer en este momento, pero no cambia tus obligaciones de fondo. Conviene separar las dos cosas.
- No se puede certificar un MPI hoy. La certificación del Modelo de Prevención de Infracciones (art. 49) depende de la Agencia y de sus acreditadores. Sin APDP constituida, ese sello no está disponible. Desconfía de cualquiera que te ofrezca certificarlo ahora.
- El DPO sigue sin ser obligatorio. La ley dice que se "podrá designar" un delegado de protección de datos (art. 50), y solo pasa a ser exigible si adoptas voluntariamente un MPI (art. 49). Lo explicamos en detalle en DPO obligatorio en Chile.
- La fecha del 1 de diciembre de 2026 sigue firme. La entrada en vigor no se aplazó con el retraso de la Agencia. Las empresas sobre 100.000 UF de ingresos no tienen periodo de gracia PYME.
| Obligación | ¿Rige sin la APDP constituida? |
|---|---|
| Derechos ARCOP de los titulares | Sí, desde el 1 de diciembre de 2026 |
| Notificación de brechas sin dilaciones indebidas | Sí, es deber directo del responsable |
| EIPD en tratamientos de alto riesgo (art. 15 ter) | Sí, obligación autoejecutable |
| Certificar un Modelo de Prevención de Infracciones (art. 49) | No, requiere a la Agencia constituida |
| Dictar reglamentos y estándares de la Agencia | No, en pausa hasta su constitución |
Qué conviene hacer mientras tanto
La ausencia de la Agencia es una razón para avanzar, no para esperar. Las obligaciones que no dependen del regulador ya están definidas en la ley y son las que toman tiempo real de implementar. La certificación de un MPI es opcional y hoy imposible; el resto del cumplimiento es exigible igual.
Lo más concreto por hacer ahora: dejar lista la EIPD (Evaluación de Impacto) donde la ley la exige (tratamiento de alto riesgo, datos sensibles, gran escala, decisiones automatizadas o videovigilancia sistemática de espacios públicos, art. 15 ter) y ordenar los contratos con tus proveedores. La brecha más común y menos visible no es la política de privacidad del sitio, sino los DPA que faltan con los SaaS que ya usas; para eso está el pack de remediación de DPA. Nada de esto depende de que la APDP esté constituida, y todo se puede tener resuelto antes de diciembre de 2026.
Preguntas frecuentes
¿Qué es la Agencia de Protección de Datos Personales (APDP)?
Es el organismo público autónomo que la Ley 21.719 crea como autoridad de control de datos personales en Chile. Fiscaliza el cumplimiento, aplica sanciones, dicta instrucciones y estándares, lleva registros y certifica los Modelos de Prevención de Infracciones.
¿Por qué la APDP todavía no está constituida?
Porque su consejo directivo requiere el acuerdo del Senado y los integrantes propuestos fueron rechazados. El plazo legal para dejarla instalada venció el 1 de junio de 2026 sin completarse. Es un retraso institucional; la ley sigue vigente.
¿Puedo certificar mi Modelo de Prevención de Infracciones ahora?
No. La certificación del MPI (art. 49) depende de la Agencia y de las entidades que ella acredite. Como la APDP aún no está constituida, hoy no es posible certificarlo. El MPI, además, es voluntario, no obligatorio.
¿El retraso de la Agencia aplaza la entrada en vigor de la ley?
No. La Ley 21.719 entra en vigencia el 1 de diciembre de 2026 y esa fecha no se movió por el retraso de la APDP. Las empresas sobre 100.000 UF de ingresos no tienen periodo de gracia. Conviene avanzar sin esperar al regulador.