El 24 de junio de 2026, la Contraloría General de la República publicó en el Diario Oficial la Resolución Exenta N° 1.400, que regula el procedimiento para que los titulares de datos personales ejerzan sus derechos de acceso, rectificación, supresión, oposición y bloqueo temporal ante ese organismo. La norma fue dictada en el marco de la Ley N° 19.628 modificada por la Ley N° 21.719 y entra en vigor el 1 de diciembre de 2026, fecha en que comienza a operar la nueva Ley de Datos Personales. Para las empresas privadas, la señal es directa. Lo que el Estado ya está implementando, tú también deberás tenerlo listo antes de diciembre.
Qué cambió
La Contraloría publicó la Resolución Exenta N° 1.400 el 24 de junio de 2026 en el Diario Oficial. La resolución entra en vigor el 1 de diciembre de 2026 y fija el procedimiento mediante el cual los ciudadanos podrán ejercer sus derechos de datos personales ante esa institución.
Las solicitudes se presentan a través de la Ventanilla Única de la Contraloría o en su Oficina de Partes. El Oficial de Datos designado por la institución evalúa la admisibilidad de cada solicitud. Si faltan antecedentes, el titular tiene cinco días hábiles para subsanar las deficiencias. Una vez declarada admisible, la institución tiene treinta días corridos para responder, contados desde el ingreso de la solicitud, plazo prorrogable por una vez mediante resolución que se notifica al solicitante. Si la respuesta es un rechazo total o parcial, el titular puede presentar un recurso de reposición dentro de los cinco días hábiles siguientes.
La resolución también regula el procedimiento disciplinario interno para sancionar a los funcionarios que infrinjan la normativa de protección de datos al interior de la Contraloría.
La norma no aplica directamente a las empresas privadas, pero anticipa el estándar procedimental que la Agencia de Protección de Datos Personales y los tribunales utilizarán para evaluar el cumplimiento del sector privado a partir del 1 de diciembre de 2026.
Qué puede significar para tu empresa
La Ley N° 21.719 obliga a todos los responsables del tratamiento de datos personales — privados y públicos — a habilitar canales para que los titulares ejerzan sus derechos. La resolución de la Contraloría ilustra cómo se ve un procedimiento que cumple con esa obligación. Canal de recepción identificado, Oficial de Datos designado, plazos fijos para responder y recurso de reposición disponible. Ese es el estándar.
Si tu empresa trata datos de personas naturales — y casi todas lo hacen, desde bases de clientes hasta registros de empleados — debes tener un procedimiento equivalente operativo antes del 1 de diciembre de 2026. No tenerlo es una infracción desde el primer día de vigencia de la ley.
Dos escenarios concretos para dimensionar el riesgo. Si un cliente te pide acceder a sus datos y no tienes un canal formal para atenderlo, incurres en infracción desde el día uno. Si un ex trabajador solicita la supresión de sus datos y no respondes dentro de los treinta días corridos que fija la ley, también.
La zona gris relevante para las pymes es que la Ley N° 21.719 no distingue entre grandes empresas y pequeñas en materia de obligaciones. La Agencia podría considerar la capacidad operativa al graduar una sanción, pero asumir que por ser pequeña empresa el riesgo es bajo es exactamente lo que no debes hacer.
Qué puedes hacer
- Identificar qué datos personales trata tu empresa y en qué sistemas están almacenados. Sin ese inventario no puedes responder a ninguna solicitud de titular de forma confiable. La Ley N° 21.719 exige documentar los tratamientos y ese registro es tu primer escudo.
- Diseñar e implementar un canal formal de solicitudes de titulares antes del 1 de diciembre de 2026. Puede ser un formulario web, un correo dedicado o una ventanilla física, pero debe tener acuse de recibo automático y un flujo interno claro para evaluar admisibilidad y responder dentro del plazo legal de treinta días corridos.
- Designar un punto de contacto interno responsable del procedimiento de atención a titulares. La ley exige que el responsable del tratamiento sea identificable para los titulares, lo que implica que ese contacto debe estar publicado y disponible, no ser un buzón genérico sin persona responsable detrás. (Nota: no confundir con el "encargado del tratamiento", que en la Ley N° 21.719 es el tercero que procesa datos por cuenta del responsable.)
- Revisar los contratos con proveedores que traten datos en tu nombre. Los contratos vigentes deberán adecuarse para incluir cláusulas de protección de datos compatibles con la Ley N° 21.719 antes de que entre en vigor la norma.
Conversemos
Si necesitas evaluar el estado de cumplimiento de tu empresa con la Ley N° 21.719 o diseñar el procedimiento para gestionar derechos de titulares antes del 1 de diciembre de 2026, agenda una reunión con nuestro equipo.
Este contenido es de carácter informativo y no constituye asesoría legal .