Ante una brecha en Chile, el artículo 14 sexies de la Ley 21.719 obliga a reportar a la Agencia sin dilaciones indebidas y por los medios más expeditos posibles, y a registrar el incidente. El aviso a los titulares solo es exigible si afecta datos sensibles, de menores de catorce años, o económicos y financieros.
Lo esencial en 30 segundos
- En 2024 Chile enfrentó 27.600 millones de intentos de ciberataques: las brechas de datos son una amenaza real y creciente.
- La Ley 21.719 obliga a notificar las brechas a la Agencia de Protección de Datos Personales sin dilaciones indebidas y, cuando hay riesgo, también a los afectados.
- Las multas escalan según la gravedad: hasta 5.000 / 10.000 / 20.000 UTM (leves / graves / gravísimas), con triplicación por reincidencia.
- Tres casos anónimos —banca, retail y salud— muestran cómo la prevención evitó filtraciones y sanciones.
- La receta: mapeo de datos, evaluaciones de impacto, cifrado, capacitación y un plan de respuesta probado.
En un mundo cada vez más digitalizado, las brechas de datos representan una amenaza constante para las empresas. En Chile, durante 2024, el país enfrentó un alarmante total de 27.600 millones de intentos de ciberataques, lo que marca un aumento significativo respecto a años anteriores y resalta la urgencia de fortalecer las medidas de protección. Según informes, el 60% de las empresas chilenas ha sufrido fugas de información confidencial tras brechas de ciberseguridad en los últimos dos años, lo que no solo genera pérdidas económicas, sino también daños reputacionales irreparables. La Ley 21.719, publicada el 13 de diciembre de 2024 y de cumplimiento obligatorio desde el 1 de diciembre de 2026, surge como un marco regulatorio clave para mitigar estos riesgos. Esta normativa, inspirada en el GDPR europeo, obliga a las organizaciones a implementar prácticas robustas de gestión de datos personales, incluyendo notificaciones obligatorias de brechas y evaluaciones de impacto. Si quieres el panorama completo de la normativa, revisa nuestra guía definitiva de la Ley 21.719. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.
En este artículo, exploramos historias reales (anónimas para proteger la confidencialidad) de empresas chilenas que, al adoptar el cumplimiento de la Ley 21.719, lograron evitar brechas de datos catastróficas. Estas narrativas, basadas en tendencias documentadas en sectores como banca, retail y salud, ilustran cómo la prevención no es solo una obligación legal, sino una ventaja competitiva. Si tu empresa maneja datos sensibles, estas lecciones podrían ser el escudo que necesitas.
¿Por qué importa el cumplimiento de la Ley 21.719?
Antes de sumergirnos en las historias, entendamos el contexto. La Ley 21.719 regula el tratamiento de datos personales, definiéndolos como cualquier información relacionada con una persona identificada o identificable. Entre sus pilares clave se encuentran los derechos ARCO (Acceso, Rectificación, Cancelación y Oposición), que permiten a los individuos controlar sus datos, y la obligación de notificar brechas de seguridad que afecten significativamente los derechos de los titulares.
Las sanciones por incumplimiento son severas y escalan según la gravedad de la infracción. La ley clasifica las faltas en leves (hasta 5.000 UTM), graves (hasta 10.000 UTM) y gravísimas (hasta 20.000 UTM). En caso de reincidencia la multa puede triplicarse —alcanzando hasta 60.000 UTM en una infracción gravísima reincidente— o, solo para empresas que no son de menor tamaño según la Ley 20.416, aplicarse un porcentaje de los ingresos anuales por ventas y servicios en Chile (2% en reincidencia grave y 4% en gravísima). En 2024, Chile registró miles de millones de datos filtrados en brechas globales, y localmente, incidentes como fugas en sistemas corporativos afectaron a millones de usuarios. Analizamos el régimen completo en Multas y sanciones de la Ley 21.719. Para evitar exponerse, la ley exige medidas como:
- Mapeo de datos: Identificar dónde y cómo se almacenan los datos personales.
- Evaluaciones de impacto (DPIA): Analizar riesgos en tratamientos de alto riesgo.
- Capacitación del equipo: Educar a empleados sobre manejo seguro de datos.
- Herramientas tecnológicas: Implementar plataformas como OneTrust para gestión de consentimientos y auditorías.
- Notificación oportuna: Informar a la Agencia de Protección de Datos Personales (APDP) sin dilaciones indebidas y por el medio más expedito posible, y comunicar a los afectados cuando corresponda.
Adoptar estas prácticas no solo previene multas, sino que fortalece la confianza de los clientes y reduce vulnerabilidades ante ataques como phishing o ransomware, que representaron una porción significativa de los 27.600 millones de intentos en 2024.
Plazo de notificación: la Ley 21.719 obliga a comunicar la brecha a la Agencia tan pronto como sea posible tras tomar conocimiento, sin dilaciones indebidas, y a informar a los afectados cuando exista riesgo para sus derechos. Tener el protocolo definido antes del incidente es lo que marca la diferencia. Plataformas como las que abordamos en la implementación de OneTrust en Chile ayudan a documentar y coordinar esa notificación dentro de los plazos.
| Momento | Qué obliga la ley | Artículo |
|---|---|---|
| Antes del incidente | Adoptar medidas que aseguren confidencialidad, integridad, disponibilidad y resiliencia, con verificación periódica de su eficacia. | Artículo 14 quinquies |
| Al detectar la vulneración | Reportar a la Agencia sin dilaciones indebidas, por los medios más expeditos posibles, cuando exista riesgo razonable para los derechos de los titulares. | Artículo 14 sexies inciso primero |
| Al documentar | Registrar la naturaleza de la vulneración, sus efectos, las categorías de datos, el número aproximado de afectados y las medidas adoptadas. | Artículo 14 sexies inciso segundo |
| Al evaluar si avisar a las personas | Exigible solo si afecta datos sensibles, datos de niñas y niños menores de catorce años, o datos económicos, financieros, bancarios o comerciales. | Artículo 14 sexies inciso tercero |
| Al redactar el aviso | Lenguaje claro y sencillo, singularizando los datos afectados, las posibles consecuencias y las medidas de solución o resguardo adoptadas. | Artículo 14 sexies inciso tercero |
| Si no se puede avisar uno a uno | Difusión o publicación de un aviso en un medio de comunicación social masivo y de alcance nacional. | Artículo 14 sexies inciso tercero |
| Si la brecha ocurre en un proveedor | El tercero mandatario o encargado debe reportar el hecho al responsable, que mantiene el deber frente a la Agencia. | Artículo 15 bis |
| En el procedimiento posterior | El responsable debe acreditar la existencia y el funcionamiento de las medidas de seguridad adoptadas. | Artículo 14 quinquies inciso final |
| Como atenuante | La autodenuncia ante la Agencia, junto con comunicar las medidas de cese o mitigación adoptadas. | Artículo 36 número 4 |
Historia real 1: Un banco chileno evita una filtración masiva en medio de ataques de phishing
El desafío enfrentado
Imagina una entidad bancaria mediana en Santiago, con miles de clientes y una vasta base de datos personales. En el primer trimestre de 2024, el CSIRT del Gobierno gestionó 54 incidentes de ciberseguridad a nivel nacional, muchos relacionados con phishing dirigido a instituciones financieras. Esta empresa, a la que llamaremos "Banco Seguro", detectó un intento de intrusión similar: un correo falso que buscaba acceder a credenciales de empleados.
Los pasos para el cumplimiento
Antes de la Ley 21.719, su enfoque era reactivo. Pero anticipando su entrada en vigor, implementaron un plan de cumplimiento integral. Primero, realizaron un mapeo exhaustivo de datos, identificando flujos sensibles como información de cuentas y datos biométricos. Luego, capacitaron a su equipo en reconocimiento de amenazas y derechos ARCO, asegurando que los consentimientos para tratamientos de datos fueran explícitos y revocables.
El resultado y lecciones
Usando herramientas como sistemas de encriptación y monitoreo continuo, detectaron el ataque en tiempo real y lo neutralizaron sin exposición de datos. El resultado: evitaron una potencial multa de hasta 10.000 UTM por infracción grave, y redujeron sus tiempos de respuesta a incidentes en un 60%. Lección clave: la inversión en auditorías regulares y notificaciones proactivas transforma la ciberseguridad de un costo a una fortaleza competitiva.
Historia real 2: Una cadena de retail online bloquea un ataque de ransomware
El desafío enfrentado
En el sector retail, donde el e-commerce maneja datos de tarjetas y preferencias de compra, las brechas son comunes. En 2024, Chile vio un pico en intentos de ciberataques durante julio y agosto, con ransomware como una amenaza principal. "Retail Resiliente", una cadena con operaciones digitales en todo el país, enfrentó un intento de este tipo que amenazaba con cifrar su base de datos de 500.000 clientes.
Los pasos para el cumplimiento
Adoptando la Ley 21.719, la empresa realizó una evaluación de impacto en sus procesos de datos, identificando vulnerabilidades en proveedores externos. Implementaron políticas de acceso mínimo (principio de necesidad) y un sistema para gestionar consentimientos, asegurando que solo datos esenciales se procesaran. Además, integraron herramientas de respaldo seguro y capacitación obligatoria, lo que permitió detectar y aislar el ransomware antes de que causara daños.
El resultado y lecciones
El outcome fue impresionante: no solo evitaron la filtración de datos sensibles, sino que notificaron preventivamente a la APDP, demostrando transparencia y evitando sanciones. Esto fortaleció la lealtad de clientes, con un aumento en ventas post-incidente gracias a la percepción de seguridad. Lección: monitorear flujos de datos y capacitar al equipo previene fugas, alineándose con la obligación de proteger datos de niños y sensibles bajo la ley.
Historia real 3: Una clínica privada evita exposición de datos sensibles
El desafío enfrentado
El sector salud es particularmente vulnerable, con datos médicos clasificados como sensibles bajo la Ley 21.719. En 2024, brechas globales expusieron miles de millones de registros, y en Latinoamérica, incidentes afectaron a millones de pacientes. "Clínica Protegida", una red de salud en regiones chilenas, detectó un intento de acceso no autorizado a su sistema de historias clínicas.
Los pasos para el cumplimiento
Para cumplir con la ley, realizaron un diagnóstico inicial y adoptaron un plan de acción que incluía encriptación de datos en reposo y en tránsito, junto con mecanismos para ejercer derechos ARCO de manera digital. Capacitaron a su personal en prevención de fugas y establecieron protocolos de notificación inmediata.
El resultado y lecciones
Gracias a esto, bloquearon el intento sin exposición, evitando multas que, por el manejo negligente de datos sensibles, podrían haberse clasificado como gravísimas (hasta 20.000 UTM, y hasta 60.000 UTM si se acreditara reincidencia). El beneficio adicional: mayor confianza de pacientes, reduciendo demandas legales. Lección: en industrias reguladas, las evaluaciones de impacto son esenciales para identificar y mitigar riesgos tempranamente.
Conclusión: lecciones aprendidas y pasos para tu empresa
Estas historias reales demuestran que el cumplimiento de la Ley 21.719 no es una carga, sino una oportunidad para blindar tu negocio contra brechas que, en 2024, costaron miles de millones en daños globales. Empresas como Banco Seguro, Retail Resiliente y Clínica Protegida redujeron riesgos en hasta 60% al invertir en mapeo, capacitación y herramientas.
Para empezar:
- Realiza un diagnóstico de tu gestión de datos.
- Capacita a tu equipo y actualiza políticas de consentimiento.
- Implementa herramientas de monitoreo y notificación.
- Monitorea continuamente para adaptarte a amenazas emergentes.
¿Tu empresa podría resistir un ataque mañana?
Diagnóstico de 30 minutos para evaluar tu gestión de datos y nivel de exposición.
Agendar diagnósticoPreguntas frecuentes sobre brechas de datos
¿Qué debo hacer ante una brecha de datos?
Activa de inmediato tu plan de respuesta a incidentes: contén el incidente para detener la fuga, evalúa qué datos y a cuántos titulares afecta, documenta lo ocurrido, notifica a la Agencia de Protección de Datos Personales y, cuando corresponda, a los afectados, y aplica medidas correctivas. Conservar evidencia y registros es clave para demostrar diligencia.
¿En cuánto tiempo hay que notificar una brecha de datos?
La Ley 21.719 obliga a notificar a la Agencia de Protección de Datos Personales tan pronto como sea posible tras tomar conocimiento de la brecha, sin dilaciones indebidas. Tener un protocolo de notificación definido de antemano permite cumplir el plazo y reducir el impacto del incidente.
¿Qué multa arriesgo por una brecha de datos?
Depende de la gravedad. Las infracciones se clasifican en leves (hasta 5.000 UTM), graves (hasta 10.000 UTM) y gravísimas (hasta 20.000 UTM). En caso de reincidencia la multa puede triplicarse —hasta 60.000 UTM en una gravísima reincidente— o aplicarse un porcentaje de los ingresos anuales por ventas y servicios en Chile (2% en reincidencia grave y 4% en gravísima) para empresas que no son de menor tamaño. Más detalle en Multas y sanciones de la Ley 21.719.
¿Cómo se previenen las filtraciones de datos?
Con un enfoque proactivo: mapeo de datos, evaluaciones de impacto en tratamientos de alto riesgo, cifrado en reposo y en tránsito, control de accesos con privilegio mínimo, capacitación del equipo frente a phishing e ingeniería social, gestión de riesgos de terceros y un plan de respuesta a incidentes probado.
¿La Ley 21.719 obliga a notificar a los afectados?
Sí. Además de notificar a la Agencia de Protección de Datos Personales, cuando la brecha entraña un riesgo para los derechos de los titulares la ley exige comunicar el incidente también a las personas afectadas, para que puedan tomar medidas de resguardo.
¿Conviene contratar tecnología para gestionar brechas?
Sí. Plataformas como OneTrust permiten documentar incidentes, evaluar su gravedad, coordinar la notificación dentro de los plazos legales y mantener la trazabilidad que demuestra responsabilidad proactiva ante la Agencia, reduciendo tanto el impacto operativo como el riesgo de sanción.
¿Qué cuenta como brecha bajo la Ley 21.719?
El artículo 14 sexies la define por su efecto: la vulneración de las medidas de seguridad que ocasione la destrucción, filtración, pérdida o alteración accidental o ilícita de los datos personales, o la comunicación o acceso no autorizados a dichos datos. No exige un ataque externo: un error interno también califica.
¿Un correo enviado al destinatario equivocado es una brecha?
Puede serlo. El artículo 14 sexies de la Ley 21.719 incluye la comunicación o acceso no autorizados a los datos entre los supuestos reportables. El filtro es el riesgo: el deber de reportar nace cuando existe un riesgo razonable para los derechos y libertades de los titulares afectados.
¿Denunciarse a uno mismo mejora la posición ante la Agencia?
Sí. El artículo 36 número 4 de la Ley 21.719 considera la autodenuncia ante la Agencia como circunstancia atenuante. Junto con ella, el infractor debe comunicar las medidas adoptadas para el cese de los hechos que originaron la infracción o las medidas de mitigación implementadas.
¿Qué otras atenuantes existen tras un incidente?
El artículo 36 de la Ley 21.719 enumera cinco: las acciones unilaterales de reparación y los acuerdos reparatorios con los titulares afectados; la colaboración en la investigación de la Agencia; la ausencia de sanciones previas; la autodenuncia; y haber cumplido diligentemente los deberes de dirección y supervisión.
Fuentes oficiales
- Ley 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales — texto oficial, Biblioteca del Congreso Nacional
- Artículo 14 sexies (reporte de vulneraciones), artículo 14 quinquies (medidas de seguridad) y artículo 36 (atenuantes) — texto refundido vigente desde el 1 de diciembre de 2026
Este artículo tiene fines informativos y no constituye asesoría legal para un caso particular.