Notificación de brechas de datos bajo la Ley 21.719: guía paso a paso

Una brecha de seguridad no distingue entre empresas grandes y pequeñas. Un correo enviado al destinatario equivocado, un notebook robado, un ransomware o una mala configuración en la nube pueden exponer datos personales de tus clientes, trabajadores o proveedores. Con la Ley 21.719, que actualiza el marco chileno de protección de datos y entra en plena vigencia en diciembre de 2026, la notificación de brechas de datos deja de ser una buena práctica opcional y pasa a ser una obligación concreta para tu organización. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.

La diferencia entre una empresa que responde bien y una que se complica no está en si sufre o no un incidente, porque tarde o temprano casi todas lo enfrentan. Está en si sabe reconocerlo a tiempo, contenerlo, documentarlo y notificarlo a quien corresponde de forma oportuna y con la información adecuada. Improvisar en medio de la crisis suele agravar el daño reputacional y legal.

En esta guía recorremos, paso a paso, qué se considera una brecha bajo la Ley 21.719, cuándo y a quién debes notificar, qué información conviene incluir en esa notificación, cómo contener y documentar el incidente, y cómo prepararte con un plan de respuesta que puedas activar el día que lo necesites.

Qué es una brecha de seguridad de datos personales

Bajo la Ley 21.719, una brecha es toda vulneración de las medidas de seguridad que ocasione la destrucción, filtración, pérdida o alteración de datos personales, ya sea de forma accidental o intencional. La clave está en el efecto sobre los datos, no solo en la intención de quien lo provoca. Por eso un error interno cuenta tanto como un ataque externo.

Es un error frecuente pensar que solo hay brecha cuando hay un hacker de por medio. En la práctica, muchos incidentes nacen dentro de la propia organización: un archivo con datos de clientes enviado por error, credenciales compartidas, un respaldo mal protegido o la pérdida de un dispositivo. Todos ellos pueden constituir una brecha si comprometen la confidencialidad, integridad o disponibilidad de los datos.

Ayuda a ordenar el análisis distinguir tres tipos de afectación posible. La afectación de la confidencialidad, cuando los datos son accedidos o divulgados sin autorización. La de integridad, cuando los datos son alterados de forma indebida. Y la de disponibilidad, cuando se pierden o se vuelven inaccesibles, por ejemplo tras un ransomware que cifra tus sistemas.

• Confidencialidad: acceso o divulgación no autorizada de datos (filtración, correo mal dirigido).
• Integridad: alteración o modificación indebida de datos personales.
• Disponibilidad: pérdida o imposibilidad de acceder a los datos (borrado, cifrado por ransomware).

Cuándo y a quién debes notificar

Hay dos destinatarios posibles y no siempre coinciden. El primero es la Agencia de Protección de Datos Personales, la nueva autoridad de control que crea la Ley 21.719. Como responsable del tratamiento, debes notificarle las vulneraciones a las medidas de seguridad que ocasionen la destrucción, filtración, pérdida o alteración de datos personales. Esta comunicación debe hacerse sin dilaciones indebidas y por el medio más expedito posible una vez que tomas conocimiento del incidente.

El segundo destinatario son los titulares afectados, es decir, las personas cuyos datos se vieron comprometidos. Debes comunicarles la brecha cuando el incidente pueda afectar sus derechos, y con especial razón cuando están involucrados datos sensibles. En Chile los datos sensibles incluyen, entre otros, la salud, los datos biométricos, el origen racial o étnico, las creencias o convicciones, la vida sexual y la orientación sexual, y, de forma distintiva, la situación socioeconómica de la persona.

Un punto importante sobre los plazos: la ley chilena no fija un plazo rígido en horas como el conocido límite de 72 horas del reglamento europeo (RGPD), que no forma parte de la legislación chilena. La fórmula que usa la Ley 21.719 es notificar sin dilaciones indebidas y por el medio más expedito posible. En la práctica esto significa actuar con urgencia razonable, sin esperar a tener el análisis forense completo para dar el primer aviso a la Agencia.

• A la Agencia: cuando la brecha destruya, filtre, pierda o altere datos personales.
• A los titulares: cuando el incidente pueda afectar sus derechos, en especial si hay datos sensibles.
• Plazo: sin dilaciones indebidas y por el medio más expedito; no esperes a cerrar la investigación para el primer aviso.

Qué información debe contener la notificación

Una notificación útil es clara, honesta y accionable. Aunque al comienzo no tengas todos los detalles, sí conviene comunicar lo que ya sabes y comprometerte a actualizar la información a medida que avanza la investigación. Es preferible una primera notificación oportuna y parcial que un silencio prolongado a la espera de certeza total.

Como criterio general y buena práctica, la comunicación a la Agencia debería describir la naturaleza del incidente, las categorías y el volumen aproximado de datos y titulares afectados, las posibles consecuencias, y las medidas que ya adoptaste o piensas adoptar para contener el problema y mitigar sus efectos. También conviene indicar un punto de contacto, típicamente el delegado de protección de datos o el responsable designado, para que la autoridad pueda solicitar más información.

La comunicación a los titulares tiene otro propósito: darles herramientas para protegerse. Por eso debe escribirse en lenguaje claro, evitando tecnicismos, explicando qué datos suyos se vieron afectados, qué riesgos concretos enfrentan y qué pueden hacer, por ejemplo cambiar contraseñas, vigilar movimientos o desconfiar de comunicaciones sospechosas.

• Naturaleza del incidente y cuándo se detectó.
• Categorías y volumen aproximado de datos y de titulares afectados.
• Posibles consecuencias para las personas.
• Medidas de contención y mitigación ya adoptadas o previstas.
• Datos de contacto del delegado o responsable para seguimiento.

Cómo contener, documentar y evaluar el incidente

Antes de notificar, tu prioridad operativa es frenar el daño. La contención busca cortar la propagación: aislar sistemas comprometidos, revocar accesos o credenciales sospechosas, forzar cambios de contraseña y preservar evidencia sin destruirla. Un error común es apagar o formatear equipos de inmediato, lo que puede borrar rastros claves para entender qué pasó.

En paralelo, documenta todo desde el minuto uno. El principio de responsabilidad proactiva que reconoce la Ley 21.719 implica que debes poder demostrar cómo actuaste. Lleva un registro con la línea de tiempo del incidente: cuándo se detectó, quién lo reportó, qué sistemas y datos se vieron afectados, qué decisiones se tomaron y en qué momento. Ese registro es tu respaldo frente a la Agencia y una fuente de aprendizaje para el futuro.

Con la contención en marcha, evalúa la gravedad para decidir el alcance de las notificaciones. Pondera el tipo de datos (recuerda el peso de los datos sensibles), el volumen de personas afectadas, la facilidad con que esos datos podrían usarse para dañar a alguien y las consecuencias probables. Esa evaluación ayuda a definir si basta con notificar a la Agencia o si también debes comunicar a los titulares.

• Contener: aislar sistemas, revocar accesos, cambiar credenciales y preservar evidencia.
• Documentar: línea de tiempo, sistemas y datos afectados, decisiones y responsables.
• Evaluar: tipo de datos, volumen, probabilidad de daño y consecuencias para los titulares.

Checklist de respuesta en las primeras horas

Cuando el incidente ya ocurrió, tener una secuencia clara evita que el pánico dicte las decisiones. Este checklist resume, en orden, los pasos que tu equipo debería poder ejecutar sin improvisar. La idea no es memorizarlo, sino tenerlo escrito y ensayado dentro de tu plan de respuesta.

Ten en cuenta que varios de estos pasos ocurren en paralelo, no de forma estrictamente lineal. Mientras el área de TI contiene el incidente, el delegado de protección de datos y el área legal preparan la evaluación y la eventual notificación. La coordinación entre esas áreas es justamente lo que se ensaya antes de que ocurra la crisis.

• 1. Detectar y registrar: deja constancia de fecha, hora y cómo se detectó el incidente.
• 2. Activar el equipo: convoca a TI, delegado de protección de datos, legal y gerencia.
• 3. Contener: aisla sistemas, corta accesos y preserva la evidencia.
• 4. Evaluar el alcance: qué datos, cuántas personas y qué nivel de riesgo.
• 5. Notificar a la Agencia: sin dilaciones indebidas y por el medio más expedito.
• 6. Comunicar a los titulares: si sus derechos pueden verse afectados, en especial con datos sensibles.
• 7. Documentar y cerrar: consolida el registro, corrige la causa raíz y ajusta tus controles.

Cómo prepararte con un plan de respuesta a incidentes

La mejor notificación de brechas de datos es la que ya tienes preparada antes de necesitarla. Un plan de respuesta a incidentes es un documento vivo que define roles, responsabilidades, canales de comunicación y pasos concretos para actuar cuando algo sale mal. Sin él, cada incidente se resuelve improvisando, y la improvisación en materia de datos suele salir cara.

Un buen plan asigna con nombre y apellido quién lidera la respuesta, quién habla con la Agencia, quién coordina con TI y quién comunica a los titulares o a la prensa si hace falta. También define umbrales claros para decidir cuándo un evento escala a incidente notificable, y mantiene plantillas de notificación listas para completar, de modo que redactar la comunicación no consuma horas valiosas durante la crisis.

Finalmente, un plan solo sirve si se prueba. Realiza simulacros periódicos, capacita a tu personal para que sepa reportar un incidente apenas lo detecta, y revisa el plan después de cada evento real o simulado. Prepararte de esta forma es parte del principio de responsabilidad proactiva que exige la Ley 21.719, y es lo que convierte una obligación legal en una capacidad real de tu organización.

• Define roles claros: quién lidera, quién notifica a la Agencia, quién comunica a los titulares.
• Establece umbrales para decidir cuándo un evento es un incidente notificable.
• Mantén plantillas de notificación listas para completar.
• Ensaya con simulacros y actualiza el plan tras cada incidente real o de práctica.

Preguntas frecuentes

¿Cuál es el plazo exacto para notificar una brecha en Chile?

La Ley 21.719 no fija un plazo rígido en horas como las 72 horas del reglamento europeo (que no aplica en Chile). Establece que debes notificar a la Agencia sin dilaciones indebidas y por el medio más expedito posible. En la práctica, esto exige actuar con urgencia razonable apenas tomas conocimiento del incidente, sin esperar a completar toda la investigación para dar el primer aviso.

¿Tengo que avisar siempre a los titulares afectados?

No en todos los casos. La comunicación a los titulares corresponde cuando el incidente pueda afectar sus derechos, y con especial razón cuando están involucrados datos sensibles como salud, datos biométricos o situación socioeconómica. La notificación a la Agencia, en cambio, procede cuando la brecha destruye, filtra, pierde o altera datos personales.

¿Un correo enviado al destinatario equivocado es una brecha?

Puede serlo. Si ese correo contenía datos personales y llegó a alguien que no debía recibirlos, se compromete la confidencialidad de esos datos, lo que puede constituir una brecha. La gravedad y la necesidad de notificar dependerán del tipo de datos expuestos, del volumen y del riesgo para las personas afectadas.

¿Qué pasa si no notifico una brecha que debía notificar?

No cumplir con el deber de notificación es una infracción a la Ley 21.719 y puede exponer a tu empresa a sanciones ante la Agencia, además del daño reputacional. La ley contempla infracciones de distinta gravedad, con las multas que correspondan según el caso. Por eso conviene documentar bien cada decisión: incluso cuando concluyes que un evento no era notificable, ese registro respalda tu criterio.

¿Quién dentro de la empresa debe liderar la respuesta a una brecha?

Idealmente un equipo coordinado, no una sola persona. El delegado o responsable de protección de datos suele liderar y ser el punto de contacto con la Agencia, apoyado por TI para la contención técnica, por el área legal para evaluar obligaciones y por la gerencia para las decisiones de comunicación. Todo esto debe estar definido de antemano en tu plan de respuesta a incidentes.

¿Necesito tener listo esto ahora o puedo esperar a diciembre de 2026?

Conviene prepararse ahora. Aunque la plena vigencia de la Ley 21.719 llega en diciembre de 2026, construir un plan de respuesta, capacitar al equipo y ordenar tus medidas de seguridad toma tiempo. Llegar a la fecha con procesos ya probados es mucho más seguro que intentar armarlos a último minuto o en medio de un incidente real.