On 28 October 2026, Chile’s Senate approved Bill No. 18,623-07 in general terms —by 33 votes in favour, 6 against and 11 not voting – amending Law No. 21,719 on the protection and processing of personal data. The bill moves its entry into force from 1 December 2026 to 15 October 2027; the Government had initially proposed postponement until 1 December 2027.
Law No. 21,719 establishes new obligations for public and private entities processing personal data, including lawful bases for processing, information duties, data-subject rights, security measures, breach notification and impact assessments. The Personal Data Protection Agency will be an autonomous, technical and decentralised body responsible for safeguarding privacy and supervising compliance with the law.
The proposal also expands the Personal Data Protection Agency’s governing council from three to five members, adjusts its quorum and changes the rules for its first appointment. The bill remains under consideration in the Chamber of Deputies; until the amendment is published, the law’s original entry-into-force date remains 1 December 2026.
The postponement may create a prolonged period of regulatory uncertainty and leave protection gaps concerning data breaches, surveillance, abusive commercial use of data, and state or private processing without adequate oversight. For small, community-based and human rights organisations, the absence of a fully operational regulator may reduce effective avenues to seek redress for privacy violations.
El 28 de octubre de 2026, el Senado de Chile aprobó en general —por 33 votos a favor, 6 en contra y 11 abstenciones— el Proyecto de Ley n.º 18.623-07, que modifica la Ley n.º 21.719 sobre protección y tratamiento de datos personales. El proyecto traslada su entrada en vigor del 1 de diciembre de 2026 al 15 de octubre de 2027; inicialmente, el Gobierno había propuesto aplazarla hasta el 1 de diciembre de 2027.
La Ley n.º 21.719 establece nuevas obligaciones para las entidades públicas y privadas que tratan datos personales, entre ellas, la determinación de bases de licitud para el tratamiento, los deberes de información, los derechos de los titulares de los datos, las medidas de seguridad, la notificación de brechas de seguridad y las evaluaciones de impacto. La Agencia de Protección de Datos Personales será un organismo autónomo, técnico y descentralizado, encargado de salvaguardar la privacidad y supervisar el cumplimiento de la ley.
La propuesta también amplía el Consejo Directivo de la Agencia de Protección de Datos Personales, que pasará de tres a cinco integrantes, ajusta su cuórum y modifica las normas relativas a su primer nombramiento. El proyecto continúa en tramitación en la Cámara de Diputadas y Diputados. Hasta que la modificación sea publicada, se mantiene la fecha original de entrada en vigor de la ley: el 1 de diciembre de 2026.