24 de junio de 2026 · AA&C Advisory · 5 min de lectura
El miércoles 24 de junio de 2026, la Contraloría General de la República publicó en el Diario Oficial la Resolución Exenta N°1.400, mediante la cual aprueba los procedimientos internos para aplicar los artículos 54 y 55 de la Ley N°19.628, modificada por la Ley N°21.719. Aunque la norma regula el funcionamiento interno de la propia CGR, su publicación tiene implicancias directas para todas las organizaciones que deben alinearse con la ley de protección de datos personales antes de su entrada en vigor.
La Ley N°21.719 entra en vigencia el 1 de diciembre de 2026. Faltan menos de 6 meses. Los órganos del Estado —y las empresas que tratan datos de personas— deben tener sus procedimientos listos antes de esa fecha.
¿Por qué importa esta resolución más allá de la CGR?
El artículo 54 de la Ley N°21.719 obliga a las autoridades superiores de los organismos del Estado a dictar políticas, normas e instrucciones para garantizar el ejercicio de los derechos de los titulares de datos. La CGR, como institución fiscalizadora, está entre las primeras en cumplir ese mandato: dicta sus propios procedimientos y, al hacerlo, establece un estándar de referencia que otros organismos —y el sector privado por analogía— pueden tomar como modelo.
La resolución deja en evidencia que el eje central de la ley no son solo las sanciones, sino los procedimientos racionales y justos con que las organizaciones deben responder a quienes ejercen sus derechos.
Los derechos que regula esta resolución
La CGR establece procedimientos para los siguientes cinco derechos de los titulares de datos:
A — Acceso R — Rectificación S — Supresión O — Oposición B — Bloqueo temporal
El flujo de atención de solicitudes que establece la CGR
Paso 1 – Presentación: Por Ventanilla Única (electrónico) o Oficina de Partes (físico), con código de trazabilidad asignado.
Paso 2 – Admisibilidad: El Oficial de Datos verifica requisitos. Si la solicitud está incompleta, el titular tiene 5 días hábiles para subsanarla.
Paso 3 – Análisis: Se requiere a las áreas internas los datos tratados: origen, finalidad, destinatarios y período de tratamiento.
Paso 4 – Respuesta: Plazo de 30 días corridos desde el ingreso, prorrogable por una vez mediante resolución exenta notificada al titular.
Paso 5 – Reposición: Ante rechazo total o parcial, el titular dispone de 5 días hábiles para interponer recurso de reposición.
El rol del Oficial de Datos: una figura que se vuelve central
La resolución estructura todo el flujo en torno al Oficial de Datos. Esta figura recibe, analiza, coordina con las áreas internas, elabora la respuesta y gestiona los recursos de reposición. La CGR también establece que, en caso de procedimiento disciplinario por infracción a la ley, el Fiscal deberá solicitar siempre su informe —salvo que el propio Oficial sea objeto de investigación—.
Para las organizaciones que aún no han designado un responsable de datos con atribuciones formales, esta es una señal clara: la figura no es opcional.
¿Qué deben hacer las organizaciones antes del 1 de diciembre?
La Ley N°21.719 no distingue entre organismos públicos y empresas privadas en lo que respecta a los derechos de los titulares. Ambos deben contar con procedimientos documentados, canales habilitados y responsables designados. Un diagnóstico de brechas hoy permite planificar las acciones con tiempo suficiente para cumplir.
¿Tu organización ya tiene un procedimiento para responder solicitudes de titulares de datos?
En AA&C Advisory te ayudamos a diagnosticar brechas, diseñar procedimientos y preparar a tu equipo para el cumplimiento de la Ley N°21.719. Además, descarga nuestro material sobre el uso de IA en organizaciones: diferencias entre herramientas públicas y privadas, riesgos de tratamiento de datos y medidas de mitigación.