Ley 21.663 · Ley 19.628
Sufrió una filtración de datos en Chile: ¿a quién tiene que notificar?
Depende de qué se vio comprometido y de a qué régimen está sujeta su organización. Puede ser hasta tres destinatarios distintos, con plazos y formatos distintos, activados por el mismo hecho.
Tres relojes
Un incidente, hasta tres obligaciones de reporte
Un mismo hecho —una base de datos expuesta, un acceso no autorizado, un ransomware— puede activar simultáneamente el deber de reportar al CSIRT Nacional, el deber de notificar a la Agencia de Protección de Datos Personales y, si opera en un sector regulado, el deber de informar a su autoridad sectorial. Cada uno con plazo, destinatario y formato propios.
| Destinatario | Cuándo se activa | Plazo | Fundamento |
|---|---|---|---|
| CSIRT Nacional | Si su organización es sujeto obligado de la Ley 21.663 (OIV u otro sujeto regulado) y el incidente tiene efectos significativos. | Alerta temprana: 3 horas. Actualización: 72 horas (24 si es OIV con servicio esencial afectado). Informe final: 15 días corridos. | Ley 21.663, art. 9 |
| Agencia de Protección de Datos Personales | Siempre que la vulneración afecte datos personales y exista un riesgo razonable para los derechos y libertades de los titulares. | Sin plazo fijo en horas: «por los medios más expeditos posibles y sin dilaciones indebidas». | Ley 19.628 (texto reformado), art. 14 sexies |
| Autoridad sectorial | Cuando su regulador (CMF, Superintendencia de Salud, otros) tenga un régimen propio de reporte de incidentes. | Según la normativa del regulador. Puede prevalecer sobre el reporte a la ANCI cuando sus efectos sean al menos equivalentes. | Ley 21.663, art. 26 |
La mayoría de las organizaciones tiene un procedimiento pensado para uno solo de los tres. A las tres de la mañana de un incidente real, eso no alcanza.
Art. 9
Si reporta al CSIRT Nacional: los cuatro hitos del artículo 9
| Hito | Plazo máximo |
|---|---|
| Alerta temprana | 3 horas desde que se toma conocimiento del incidente. |
| Actualización | 72 horas, con evaluación inicial de gravedad, impacto e indicadores de compromiso. Se reduce a 24 horas si el operador es OIV y se ve afectada la prestación de sus servicios esenciales. |
| Plan de acción | Obligación adicional del OIV. Se informa apenas se adopta, y en ningún caso después de 7 días corridos. |
| Informe final | 15 días corridos desde el envío de la alerta temprana, o desde que el incidente quedó gestionado si seguía en curso. |
Detalle completo de a quién obliga este artículo y de las multas asociadas en la página de Operadores de Importancia Vital.
Art. 14 sexies
Si notifica a la Agencia de Protección de Datos: sin plazo en horas, pero sin dilación
El artículo 14 sexies de la Ley 19.628, en su texto reformado por la Ley 21.719, no fija un número de horas. Exige comunicación «por los medios más expeditos posibles y sin dilaciones indebidas» cuando exista un riesgo razonable para los derechos y libertades de los titulares.
«Artículo 14 sexies.- Deber de reportar las vulneraciones a las medidas de seguridad. El responsable deberá reportar a la Agencia, por los medios más expeditos posibles y sin dilaciones indebidas, las vulneraciones a las medidas de seguridad que ocasionen la destrucción, filtración, pérdida o alteración accidental o ilícita de los datos personales que trate o la comunicación o acceso no autorizados a dichos datos, cuando exista un riesgo razonable para los derechos y libertades de los titulares.»
Inciso primero — Ley 19.628, texto reformado por la Ley 21.719 · Ver en BCN (versión vigente 01-12-2026)
La ley agrega dos obligaciones que se olvidan con frecuencia:
- Registro completo. El responsable debe registrar todas las vulneraciones que sufra, describiendo su naturaleza, efectos, categorías de datos y número aproximado de titulares afectados, y las medidas adoptadas — no solo las que terminó reportando a la Agencia.
- Comunicación directa a los titulares cuando la vulneración afecte datos sensibles, datos de niños y niñas menores de catorce años, o datos de obligaciones económicas, financieras, bancarias o comerciales. En lenguaje claro y sencillo, singularizando los datos afectados, las posibles consecuencias y las medidas de resguardo adoptadas.
Art. 26
Si además responde a un regulador sectorial
La Ley 21.663 reconoce que ciertos sectores —banca, salud, valores, entre otros— ya tienen regímenes propios de reporte de incidentes. El artículo 26 permite que ese régimen sectorial prevalezca sobre el reporte a la ANCI cuando sus efectos sean al menos equivalentes. En la práctica, eso no elimina la obligación: obliga a mapear cuál de los dos regímenes aplica primero, y a veces ambos en paralelo.
Lo que falla a las tres de la mañana
El plazo de tres horas del CSIRT Nacional es el que más incumplimientos genera, porque casi ningún procedimiento interno está diseñado para reportar sin autorización previa de un comité. Un protocolo que funciona por escrito y falla en el simulacro no sirve.
Lo que hacemos: un protocolo único de incidentes que cubre los tres destinatarios, con plantillas de reporte, matriz de decisión sobre efecto significativo y ensayo previo con el equipo que va a ejecutarlo.
frecuentes
Preguntas frecuentes
- ¿Cuánto tiempo tengo para reportar una brecha de datos al CSIRT Nacional?
- 3 horas para la alerta temprana desde que se toma conocimiento del incidente, según el artículo 9 de la Ley 21.663. Aplica a los sujetos obligados por esa ley, entre ellos los Operadores de Importancia Vital.
- ¿La Ley 21.719 fija un plazo en horas para notificar a la Agencia?
- No. El artículo 14 sexies de la Ley 19.628 reformada exige comunicación «por los medios más expeditos posibles y sin dilaciones indebidas», sin fijar un número de horas.
- ¿Cuándo hay que avisar directamente a las personas afectadas, no solo a la autoridad?
- Cuando la vulneración afecte datos sensibles, datos de menores de catorce años, o datos de obligaciones económicas, financieras, bancarias o comerciales. La comunicación debe ser en lenguaje claro, identificando los datos afectados y las medidas adoptadas.
- ¿Puedo reportar solo al CSIRT Nacional si ya lo hice y evitarme el reporte a la Agencia?
- No. Son obligaciones independientes con fundamentos legales distintos (Ley 21.663 y Ley 19.628 reformada). Un mismo incidente puede activar ambas, y además la de su regulador sectorial si corresponde.
Ley 21.719 (D.O. 13-12-2024) y Ley 19.628 en su texto reformado, versión BCN. Ley 21.806 (D.O. 05-02-2026). Resolución Exenta 202503748 del Ministerio de Economía (D.O. 19-12-2025) sobre cláusulas contractuales tipo para transferencias internacionales. Circular IF/N° 514 de la Superintendencia de Salud (D.O. 05-11-2025). Valor UTM del Servicio de Impuestos Internos.
Este artículo tiene fines informativos y no constituye asesoría legal para un caso concreto.
Volver al índice de publicaciones · Ver la guía completa de la Ley 21.719