¿Se posterga la Ley 21.719 a 2027? Qué dice el Boletín 18.623-07

El 1 de septiembre de 2026 el Gobierno ingresó al Senado un proyecto para mover la entrada en vigencia de la Ley 21.719 un año, al 1 de diciembre de 2027. Desde entonces muchas empresas preguntan lo mismo: ¿podemos pausar la adecuación? La respuesta corta es no. Al 12 de octubre de 2026 el proyecto no es ley, y mientras no se publique en el Diario Oficial la fecha que manda sigue siendo el 1 de diciembre de 2026.

En este artículo resumimos qué propone el proyecto, en qué estado está, qué dice hoy el texto legal y cómo aprovechar estas semanas sin apostar a un resultado legislativo incierto.

Qué propone el Boletín 18.623-07

Según el Ministerio de Economía (1 de septiembre de 2026) y la cobertura de Diario Financiero, el mensaje presidencial tiene tres ejes:

• Nueva fecha de vigencia: la Ley 21.719 regiría desde el 1 de diciembre de 2027, para dar un año adicional a la instalación de la Agencia de Protección de Datos Personales y a la adaptación del Estado y del sector privado.
• Consejo Directivo más grande: la Agencia pasaría de tres a cinco consejeros, con quórum de tres y renovación parcial cada dos años.
• Designación anticipada: el primer Consejo debería nombrarse a más tardar 12 meses antes de la nueva fecha, para que la Agencia alcance a dictar regulación secundaria y criterios antes de empezar a fiscalizar.

Por qué el Gobierno lo propone

El origen está en el Senado. El 19 de mayo de 2026 la Sala rechazó la terna propuesta para el Consejo Directivo de la Agencia, porque no alcanzó los dos tercios exigidos. La ley original pedía que ese primer Consejo estuviera designado seis meses antes de la entrada en vigencia, es decir, a comienzos de junio de 2026. Ese plazo pasó sin consejeros nombrados, y el proyecto de postergación es la respuesta del Ejecutivo.

En qué estado está el proyecto

La ficha de tramitación del Senado lo muestra "en tramitación", en primer trámite constitucional. Para convertirse en ley debe aprobarse en el Senado y en la Cámara de Diputados (y eventualmente en comisión mixta), promulgarse y publicarse. La suma urgencia acelera la discusión, pero no garantiza ni el resultado ni el texto final: el Congreso puede aprobarlo con cambios, por ejemplo con una postergación menor o solo para ciertas obligaciones.

Qué dice hoy la ley

El artículo primero transitorio de la Ley 21.719 (texto en BCN) establece que las modificaciones a la Ley 19.628 "entrarán en vigencia el día primero del mes vigésimo cuarto posterior a la publicación de esta ley en el Diario Oficial". La ley se publicó el 13 de diciembre de 2024, así que esa fecha es el 1 de diciembre de 2026. No hace falta un decreto ni un anuncio adicional: si el proyecto no se publica antes, la ley rige ese día tal como está.

Hay otro punto que se repite poco. El artículo sexto transitorio ya contempla un año de transición: durante los primeros doce meses de vigencia, cuando proceda una sanción contra una empresa de menor tamaño (según la Ley 20.416), la Agencia puede aplicar una amonestación por escrito en vez de multa. Esa amonestación igual queda registrada. Es un alivio, no una exención, y no alcanza a las grandes empresas.

Lo que no cambia con o sin postergación

Aunque el proyecto se aprobara mañana, varias cosas siguen igual:

• La Ley 19.628 vigente sigue rigiendo hasta que entre la reforma. Ya contiene deberes de cuidado, secreto y derechos de los titulares que se pueden reclamar judicialmente.
• Los incidentes no esperan. Las filtraciones de este año en el sector salud y en organismos públicos muestran que el riesgo reputacional y judicial existe hoy, con o sin Agencia.
• Los clientes y licitaciones ya lo piden. Grandes empresas y organismos están exigiendo cláusulas de tratamiento de datos (Art. 15 bis) y evidencia de cumplimiento a sus proveedores.
• El trabajo de fondo es el mismo: inventario de datos, bases de licitud, contratos con encargados, protocolo de brechas y respuesta a derechos. Hacerlo en 2026 o en 2027 cuesta lo mismo; hacerlo apurado cuesta más.

Cómo usar estas semanas: un plan en cuatro pasos

Recomendamos planificar como si la fecha fuera el 1 de diciembre de 2026 y tratar una eventual postergación como holgura, no como plan.

1. Diagnóstico de brechas (semana 1-2): compara lo que haces hoy contra las obligaciones de la Ley 21.719. Prioriza datos sensibles, datos de niños, niñas y adolescentes, y datos financieros, que son los que activan deberes reforzados.
2. Registro de actividades de tratamiento (semana 2-4): un inventario de qué datos tratas, para qué, con qué base de licitud, quién accede, a quién se ceden y cuánto tiempo se guardan. Es la base de todo lo demás. Puedes partir con nuestra guía de RAT.
3. Documentos mínimos (semana 3-6): política de privacidad actualizada, cláusulas con proveedores (DPA Art. 15 bis), procedimiento de derechos y protocolo de vulneraciones.
4. Gobierno (continuo): define quién responde por los datos. Designar un delegado de protección de datos es voluntario, pero es parte del modelo de prevención de infracciones que el Decreto 662, publicado el 9 de septiembre de 2026, ya reglamentó.

Qué vigilar en las próximas semanas

• El primer informe de la Comisión de Constitución del Senado y las indicaciones que se presenten.
• Si el texto mantiene la postergación completa o la limita a ciertas materias (por ejemplo, fiscalización y sanciones).
• Una nueva propuesta de consejeros para la Agencia, que es la otra pieza pendiente.

Actualizaremos este artículo cuando haya votaciones. Si quieres saber cuánto le falta a tu organización, en LeySeguraDigital hacemos un diagnóstico inicial sin costo y te entregamos un roadmap priorizado.

Nota: este artículo es informativo y no constituye asesoría legal. Fuentes consultadas el 12 de octubre de 2026.