Medidas de seguridad Ley 21.719: qué controles técnicos y organizativos debe adoptar tu empresa

La Ley 21.719 moderniza el marco chileno de protección de datos y, entre sus principios, consagra el de seguridad: el responsable y el encargado del tratamiento deben adoptar medidas adecuadas para proteger los datos personales frente a su destrucción, pérdida, filtración o alteración. Con la entrada en vigencia plena prevista para diciembre de 2026 y la creación de la Agencia de Protección de Datos Personales como autoridad de control y fiscalización, la seguridad deja de ser una buena intención para convertirse en una obligación exigible y fiscalizable. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.

La buena noticia para los equipos de TI y seguridad es que la ley no impone un catálogo técnico rígido ni obliga a certificarse en una norma específica. La contraparte es que traslada la responsabilidad a tu organización: eres tú quien debe evaluar el riesgo, decidir qué controles son proporcionales y poder demostrar que esa decisión fue razonable. Ese es el corazón del enfoque basado en riesgo y de la responsabilidad proactiva.

En esta guía separamos con claridad las medidas técnicas de las organizativas, explicamos cómo calibrarlas según el riesgo y te damos una estructura concreta para documentar el cumplimiento. El objetivo no es asustarte con sanciones, sino darte un marco accionable para llegar a diciembre de 2026 con una postura de seguridad defendible.

Qué exige realmente el principio de seguridad

El principio de seguridad de la Ley 21.719 establece un deber general: tanto el responsable como el encargado del tratamiento deben adoptar medidas de seguridad adecuadas al riesgo para proteger los datos personales. Ese objetivo se traduce, en la práctica, en preservar tres propiedades clásicas de la información: la confidencialidad (que solo accedan quienes deben), la integridad (que los datos no se alteren de forma indebida) y la disponibilidad (que estén accesibles cuando se necesitan).

Es importante entender lo que la ley no dice. No entrega una lista taxativa de controles obligatorios, no fija un tamaño de clave de cifrado, no exige una tecnología concreta y no te obliga a obtener una certificación determinada. Estándares como ISO 27001 o marcos como NIST pueden ser referencias valiosas y buenas prácticas voluntarias, pero ninguno es un requisito legal por sí mismo. Adoptarlos ayuda a demostrar diligencia; no adoptarlos no es, en sí, una infracción.

Esta flexibilidad es deliberada: una startup que trata correos de contacto y un prestador de salud que maneja historias clínicas no pueden regirse por la misma vara técnica. Lo que la ley te pide es que las medidas sean adecuadas y proporcionales al riesgo real de tu tratamiento, y que puedas explicar y sostener esa adecuación.

Medidas técnicas frente a medidas organizativas

La protección de datos se sostiene sobre dos capas que se refuerzan mutuamente. Las medidas técnicas son los controles que viven en tus sistemas e infraestructura; protegen los datos por diseño y por defecto. Las medidas organizativas son las reglas, roles y procesos que gobiernan cómo las personas tratan esos datos. Un cifrado impecable no sirve de nada si cualquier empleado puede exportar la base completa sin control; y la mejor política interna es papel mojado si los sistemas no la hacen cumplible.

Como referencia práctica, estos son ejemplos habituales de cada capa (no es una lista legal obligatoria, sino un menú del que eliges según tu riesgo):

La clave está en la combinación: casi todo incidente real combina una falla técnica con una organizativa. Por eso una postura de seguridad madura nunca invierte solo en herramientas ni solo en políticas, sino en ambas capas de forma coordinada.

• Técnicas — Cifrado de datos en tránsito y en reposo; control de acceso basado en roles y mínimo privilegio; autenticación robusta (MFA); respaldos periódicos y probados; registro de accesos y trazabilidad (logs); seudonimización o anonimización cuando sea posible; segmentación de redes y gestión de parches.
• Organizativas — Políticas internas de tratamiento y seguridad; definición de roles y responsabilidades (incluido el encargado de protección de datos si aplica); capacitación y concientización periódica del personal; gestión y contratos con proveedores o encargados; plan de respuesta a incidentes; controles de acceso físico y gestión del ciclo de vida del dato.

El enfoque basado en riesgo y la proporcionalidad

El enfoque basado en riesgo es el mecanismo que la ley te da para decidir cuánto invertir en seguridad. En lugar de aplicar los mismos controles a todo, evalúas cada tratamiento según la probabilidad de que ocurra un incidente y la gravedad del daño que causaría a los titulares. A mayor riesgo, medidas más exigentes; a menor riesgo, controles proporcionalmente más livianos.

Varios factores elevan el riesgo y, con él, el nivel de protección esperado: el tratamiento de datos sensibles (que en Chile incluyen, entre otros, la salud, los datos biométricos, el origen racial o étnico, la afiliación política o sindical, las creencias o convicciones, la vida sexual y la orientación sexual, y —de forma distintiva en Chile— la situación socioeconómica), el volumen de titulares afectados, el uso de tecnologías intrusivas o de perfilamiento, y las transferencias a terceros. Un tratamiento de datos de salud a gran escala exige un estándar muy superior al de una lista de suscriptores a un boletín.

La proporcionalidad funciona en ambos sentidos y ese matiz es liberador para el negocio: no estás obligado a implementar cada control imaginable ni a gastar sin límite. Estás obligado a implementar lo que es razonable para tu riesgo, y a poder justificar dónde trazaste la línea. Documentar esa justificación es lo que convierte una decisión de recursos en una decisión de cumplimiento defendible.

Cómo documentar el cumplimiento (responsabilidad proactiva)

La responsabilidad proactiva —accountability— cambia la pregunta de fondo. Ya no basta con estar seguro: tienes que poder demostrar que tomaste decisiones razonables de seguridad. Frente a la Agencia, ante un cliente o después de un incidente, la evidencia documental es lo que separa a una organización diligente de una expuesta. Si no está escrito, en la práctica es como si no existiera.

Una carpeta de cumplimiento razonable no necesita ser un monumento burocrático. Estos son los componentes que conviene mantener vivos y actualizados:

Dos consejos prácticos. Primero, fecha y versiona todo: el valor probatorio de un documento depende de poder mostrar cuándo se decidió qué. Segundo, trata esta documentación como un ciclo, no como un proyecto de una sola vez; revísala al menos una vez al año y cada vez que cambie un sistema, un proveedor o un tratamiento relevante.

• Un inventario o registro de las actividades de tratamiento (qué datos tratas, con qué finalidad, con qué base de licitud y por cuánto tiempo).
• Un análisis de riesgo por tratamiento, con las medidas técnicas y organizativas escogidas y su justificación.
• Las políticas y procedimientos internos aprobados (seguridad, control de accesos, gestión de incidentes, respaldos).
• Los contratos con encargados y proveedores, con cláusulas de seguridad y confidencialidad.
• Registros operativos: capacitaciones realizadas, pruebas de respaldo, revisiones de accesos y bitácora de incidentes.
• Las evaluaciones de impacto para los tratamientos de mayor riesgo, cuando correspondan.

Cómo la seguridad conecta con brechas y evaluación de impacto

Las medidas de seguridad no viven aisladas: son la primera línea de defensa frente a las brechas y el insumo directo de la evaluación de impacto. Una brecha es, precisamente, una vulneración de tus medidas de seguridad que ocasiona la destrucción, filtración, pérdida o alteración de datos personales. Cuanto más sólidos sean tus controles, menos probable es que ocurra y menor será su alcance cuando ocurra.

Cuando se produce una brecha, la Ley 21.719 establece el deber de notificar a la Agencia de Protección de Datos Personales las vulneraciones a las medidas de seguridad que ocasionen la destrucción, filtración, pérdida o alteración de los datos, y de comunicar a los titulares afectados cuando el incidente pueda afectar sus derechos. La ley exige hacerlo sin dilaciones indebidas y por el medio más expedito posible. Conviene subrayar algo para evitar confusiones importadas de otros marcos: la norma chilena no fija el plazo de 72 horas propio del reglamento europeo; el estándar aplicable es el de la prontitud razonable que exige la propia ley. Aquí es donde tu plan de respuesta a incidentes deja de ser un documento y se vuelve crítico: detectar, contener, evaluar y notificar a tiempo depende de haberlo ensayado antes.

La evaluación de impacto cierra el círculo por el otro extremo. Es el ejercicio de analizar, antes de iniciar un tratamiento de alto riesgo, qué podría salir mal y qué medidas de seguridad mitigan ese riesgo. Dicho de otro modo: la evaluación de impacto ayuda a definir qué controles necesitas, las medidas de seguridad los implementan, y la gestión de brechas es la red que se activa cuando algo falla pese a todo. Los tres procesos se alimentan entre sí y conviene diseñarlos como un sistema, no como trámites separados.

Primeros pasos: un checklist para empezar hoy

Si tu organización todavía no tiene una postura formal de seguridad de datos, no necesitas resolverlo todo de golpe. El camino sensato es priorizar por riesgo y avanzar en iteraciones. Este checklist ordena los primeros movimientos de mayor impacto de cara a diciembre de 2026.

El error más común es empezar comprando herramientas antes de entender qué datos tienes y qué riesgo representan. Invierte primero en el diagnóstico; la tecnología llega después, guiada por el riesgo que hayas identificado.

• Levanta el inventario de tratamientos: qué datos personales tratas, dónde viven, quién accede y con qué finalidad.
• Clasifica por sensibilidad y riesgo, marcando los datos sensibles y los tratamientos de alto volumen o alto impacto.
• Revisa los controles técnicos básicos: cifrado, MFA, gestión de accesos por rol, respaldos probados y registro de accesos.
• Formaliza lo organizativo: designa responsables, aprueba una política de seguridad y programa capacitación del personal.
• Ordena a tus encargados y proveedores: identifica quién trata datos por ti y verifica que existan contratos con cláusulas de seguridad.
• Prepara un plan de respuesta a incidentes con roles, pasos de contención y criterios de notificación a la Agencia y a los titulares.
• Documenta cada decisión y agenda una revisión periódica: el cumplimiento es un ciclo, no un hito.

Preguntas frecuentes

¿La Ley 21.719 obliga a certificarse en ISO 27001 o alguna norma técnica?

No. La ley establece un principio de seguridad basado en el riesgo, pero no exige ninguna certificación específica ni impone una lista técnica cerrada de controles. Normas como ISO 27001 o marcos como NIST son buenas prácticas voluntarias que pueden ayudarte a demostrar diligencia, pero adoptarlas es una decisión tuya, no una obligación legal. Lo exigible es contar con medidas adecuadas y proporcionales al riesgo, y poder justificarlas.

¿Qué diferencia hay entre una medida técnica y una organizativa?

Las medidas técnicas viven en tus sistemas: cifrado, control de acceso, respaldos, registro de accesos, seudonimización, autenticación robusta. Las organizativas viven en tus procesos y personas: políticas internas, roles y responsabilidades, capacitación, contratos con proveedores y plan de respuesta a incidentes. Ambas son necesarias y se complementan; la mayoría de los incidentes reales combina una falla técnica con una organizativa, por lo que no basta con invertir solo en una capa.

¿Tengo un plazo de 72 horas para notificar una brecha, como en Europa?

No. El plazo de 72 horas pertenece al reglamento europeo (RGPD), no a la ley chilena. La Ley 21.719 exige notificar a la Agencia de Protección de Datos Personales sin dilaciones indebidas y por el medio más expedito posible, y comunicar a los titulares afectados cuando el incidente pueda afectar sus derechos. El estándar es la prontitud razonable; por eso conviene tener un plan de respuesta a incidentes probado que permita detectar y notificar con rapidez.

¿Cómo demuestro ante la Agencia que cumplo con el principio de seguridad?

Con documentación viva y fechada. Lo razonable incluye un registro de actividades de tratamiento, un análisis de riesgo por tratamiento con las medidas escogidas y su justificación, las políticas internas aprobadas, los contratos con encargados, registros operativos (capacitaciones, pruebas de respaldo, revisiones de acceso, bitácora de incidentes) y las evaluaciones de impacto cuando correspondan. Bajo la responsabilidad proactiva, si no está documentado, en la práctica es difícil demostrar que ocurrió.

¿Las medidas de seguridad también aplican a mis proveedores?

Sí. Tanto el responsable como el encargado del tratamiento tienen el deber de seguridad. Si un proveedor trata datos personales por ti (por ejemplo, un hosting, un CRM o un servicio de nube), debe existir un contrato que regule ese tratamiento e incluya obligaciones de seguridad y confidencialidad. La gestión de encargados es en sí misma una medida organizativa clave: sigues siendo responsable de los datos aunque el tratamiento operativo lo ejecute un tercero.

Somos una PyME con recursos limitados, ¿cuánto debemos invertir en seguridad?

Lo proporcional a tu riesgo. La ley no espera que una PyME que trata datos de bajo riesgo aplique los mismos controles que una gran institución de salud. Debes implementar medidas razonables para el tipo y volumen de datos que manejas, y poder justificar dónde trazaste la línea. Empieza por el diagnóstico —qué datos tienes y cuál es su riesgo— y prioriza los controles de mayor impacto: accesos, respaldos, cifrado básico, capacitación y un plan de incidentes.