Newsletter
Suscríbete a nuestro Newsletter y entérate de las últimas novedades.
https://centrocompetencia.com/wp-content/themes/Ceco
Con la entrada en vigencia de la Ley N° 21.719 que regula la protección y el tratamiento de los datos personales y crea la agencia de protección de datos personales (LPDP) en diciembre, Chile estrenará una nueva regulación de datos personales. La normativa presenta varias características que implicarán un cambio significativo en nuestro ordenamiento jurídico.
En cuanto a su alcance, la LPDP pasará a ser una de las normativas existentes más transversales. La nueva ley se aplicará a entidades públicas y privadas, ya sean personas naturales o jurídicas, que realicen cualquier tipo de tratamiento de datos personales. Al seguir de cerca el Reglamento General de Protección de Datos europeo (GDPR), la LPDP también incorpora requisitos estrictos para el tratamiento de datos, cuyo incumplimiento podría acarrear multas de hasta 20.000 UTM (que pueden aumentar en caso de reincidencia) y la suspensión total del procesamiento de datos.
A su vez, la LPDP crea la primera agencia autónoma dedicada exclusivamente a la protección de datos personales en Chile. La Agencia será dirigida por un Consejo Directivo integrado por tres consejeros, designados por el Ejecutivo, con el acuerdo del Senado. Esta cumplirá funciones clave, como fiscalizar y sancionar el incumplimiento de la normativa, dictar normas y lineamientos interpretativos necesarios para su aplicación, certificar programas de cumplimiento y coordinar y asesorar a otros organismos públicos respecto del tratamiento de datos personales.
Desde la perspectiva de la libre competencia, la implementación del nuevo régimen de protección de datos resulta fundamental. Los datos son hoy un factor competitivo central, sobre todo en los mercados digitales. La nueva agencia de datos y la FNE terminarán observando los mismos fenómenos desde ángulos distintos: por ejemplo, en casos de fusiones que disminuyan la competencia en materia de privacidad o de conductas explotativas relativas al tratamiento de datos personales (ver Diálogos CeCo).
Sin embargo, a menos de 5 meses de la entrada en vigencia de la ley, el consejo directivo de la Agencia aún no ha sido nombrado. Esto, a pesar de que el art. 4º transitorio de la LPDP exige que los consejeros estén nombrados seis meses antes de su entrada en vigencia.
El proceso de nombramiento ha sido complejo. En abril, el Gobierno presentó su primera terna, pero la retiró días después y decidió nombrar nuevos candidatos. El Ejecutivo aludió a la falta de respaldo político respecto de sus primeros candidatos y a la necesidad de sumar ingenieros, y no solo abogados, al consejo.
Luego, en mayo, el Senado rechazó la segunda terna propuesta por el Ejecutivo, por falta de quórum (dos tercios). Antes del rechazo, la discusión en comisión ya se había retrasado debido a un debate que contrapuso posibles conflictos de interés de los candidatos (dados sus vínculos con empresas ligadas al tratamiento de datos), por un lado, y la necesidad de contar con consejeros con experiencia práctica en la materia, por el otro.
Respecto al rechazo de la segunda terna, el Gobierno argumentó que la dificultad para encontrar consejeros se debe a las bajas rentas fijadas por ley (en comparación con lo que se paga en la industria de datos), lo cual se suma a la incompatibilidad del cargo con otras actividades remuneradas.
Los riesgos de este retraso son concretos. La ley podría entrar en vigencia antes de que exista la agencia llamada a aplicarla e interpretarla. Esto no solo podría generar incertidumbre entre quienes deberán someterse a una reglamentación altamente compleja y técnica, sino también entorpecer una serie de otros pasos necesarios para la adecuada instalación institucional de la agencia a largo plazo.
Ante esto, diversos expertos en datos han coincidido en que se necesita una ley corta que habilite un nuevo proceso de nombramientos.
La experiencia comparada ayuda a dimensionar el desafío. En Brasil, donde en 2018 se aprobó una ley tipo GDPR europea, la instalación de la Agencia de Protección de Datos (ANPD) también fue accidentada. En 2019, el Ejecutivo vetó la creación de la ANPD por considerarla una prerrogativa del gobierno y no del Congreso. La solución fue dictar una ley provisional para crear una agencia con mandato temporal y dependiente del gobierno de turno. Recién en 2025, la ANPD se convirtió en una autoridad reguladora independiente. Desde entonces, Brasil le ha encomendado funciones cada vez más amplias a la ANPD, como la supervisión de la moderación de contenidos en plataformas digitales y la protección de la mujer contra la violencia en espacios digitales.
La lección brasileña parece indicar que el verdadero desafío no es replicar una ley al estilo del GDPR, sino adaptar esta norma a las realidades locales de cada país.
Esto, puesto que, aunque las leyes de Brasil y Chile siguen sustancialmente el GDPR, el diseño y el contexto institucional de estos países difieren considerablemente del europeo. En Europa, el GDPR es aplicado por autoridades de datos independientes en cada Estado miembro. A diferencia del contexto latinoamericano, las autoridades europeas llevaban décadas operando antes de que se publicara el GDPR. Además, las autoridades europeas no operan en el vacío, sino que se someten a la coordinación del Directivo de Protección de Datos de la UE, integrado por los directores de las agencias nacionales y por el Supervisor Europeo de Protección de Datos de la UE.
Por otra parte, a pesar de que la agencia chilena cumplirá funciones similares a las de sus homólogas europeas, los recursos asignados al organismo chileno (en proporción al PIB) son considerablemente menores que los de las agencias europeas (ver Informe de la Comisión Ministerial 2025).
Las dificultades para nombrar a los consejeros de la Agencia de Datos reflejan algunos de los problemas institucionales más desafiantes para este nuevo régimen jurídico.
Primero, un problema de recursos. En Europa se ha reportado que las autoridades de datos operan con recursos y facultades limitados para investigar infracciones al GDPR, incluso cuando sus presupuestos son mucho más abultados que los asignados a la agencia chilena. Una agencia de datos que nace tarde y con sueldos poco competitivos arriesga agravar estas limitaciones de base.
A ello se suma la tendencia del regulador regional a ampliar las facultades de las agencias de datos a nuevos ámbitos. Esto ya es apreciable en el caso de Brasil, y en Chile, podría concretarse con el avance del proyecto de ley de inteligencia artificial, que, de convertirse en ley, delegaría la supervisión de un complejo sistema de regulación por riesgos en la agencia de datos.
Segundo, una paradoja de diseño. Tal como indica la ley, la agencia necesita expertos con experiencia profesional en datos. Pero es justamente esa experiencia la que genera conflictos de interés y una brecha salarial difícil de cerrar. En los hechos, el regulador compite por el mismo talento que las empresas que debe fiscalizar.
Tercero, un riesgo institucional. Resolver el bloqueo con una “ley corta” puede ser inevitable, pero también conlleva un riesgo (y un potencial precedente a futuro): transformar en negociación política los nombramientos de un órgano diseñado como técnico y autónomo.
Regístrate de forma gratuita para seguir leyendo este contenido
Contenido exclusivo para los usuarios registrados de CeCo
