Notificación de brechas de datos en Chile: guía 2026

Son las 20:40 de un viernes y alguien escribe en el chat interno: «creo que entraron al sistema». En ese momento, además de contener el ataque, empieza a correr un reloj legal. La notificación de brechas de datos dejó de ser una buena práctica y pasó a ser una obligación con sanciones concretas en Chile. Y casi todo lo que se lee sobre ella —empezando por el famoso plazo de «72 horas»— está a medias o derechamente mal.

Este artículo ordena el tema para una empresa real: qué es una brecha, qué exige la Ley 21.719 de protección de datos, qué exige la Ley 21.663 de ciberseguridad, cuál de las dos te aplica y cuál es el protocolo paso a paso para responder sin improvisar.

Qué es una brecha de datos (y por qué no es lo mismo que un incidente)

Una brecha de datos personales es cualquier evento que provoque la destrucción, pérdida, alteración, divulgación o el acceso no autorizado a datos personales que tu empresa custodia. La clave está en la última parte: lo que gatilla la obligación no es el daño técnico, sino la exposición —real o potencial— de datos de personas.

Por eso conviene separar dos conceptos que suelen confundirse:

• Incidente de seguridad: cualquier evento que afecta tus sistemas (una caída, un malware contenido, un intento de intrusión). Puede no tocar datos personales.
• Brecha de datos: el subconjunto de incidentes que sí compromete información que identifica a una persona.

Un mismo hecho —un ransomware, por ejemplo— puede ser las dos cosas a la vez. Y ahí aparece el enredo, porque en Chile esas dos dimensiones las regulan dos leyes distintas.

Dos leyes, una misma brecha: 21.719 y 21.663

No son alternativas, son complementarias. Una mira a las personas; la otra, a los sistemas.

Un incidente que cifra tus servidores y de paso expone la base de clientes puede activar las dos: reportas a la ANCI bajo la 21.663 (si eres PSE u OIV) y notificas a la Agencia de Protección de Datos bajo la 21.719. Dos autoridades, dos formularios, una sola brecha. Si quieres el panorama general de cada norma, lo cubrimos en la guía de la Ley 21.719 y en la ley de ciberseguridad para pymes.

El mito de las «72 horas»: qué dice realmente cada ley

Casi todas las guías que circulan afirman que la Ley 21.719 obliga a notificar «en 72 horas». No es así. Ese número no aparece en el texto de la ley chilena de datos: proviene del Reglamento europeo (el RGPD, artículo 33) y de la Ley 21.663, que sí fija plazos en horas. El detalle importa, porque construir tu protocolo sobre un plazo equivocado es un problema en sí mismo.

Lo que exige la Ley 21.719: el responsable debe informar a la Agencia de Protección de Datos las vulneraciones a las medidas de seguridad que impliquen un riesgo razonable para los derechos de los titulares, y hacerlo «por los medios más expeditos posibles» y sin dilaciones indebidas (BCN). Es un estándar de conducta, no un cronómetro: la ley no te concede 72 horas, te exige actuar rápido y poder demostrar cuándo supiste y cuándo avisaste.

Lo que exige la Ley 21.663: para los incidentes de efecto significativo, el Reglamento de Reporte de Incidentes (Decreto Supremo N°295) sí define un procedimiento escalonado, con plazos en horas (BCN).

El reporte se hace al CSIRT Nacional a través del portal de la Agencia Nacional de Ciberseguridad (portal.anci.gob.cl), y la inscripción previa es un requisito: sin ella, no tienes por dónde reportar cuando llega el minuto uno.

¿A tu empresa cuál le aplica?

Aquí está la parte que más malentendidos genera.

Si tu empresa es un Prestador de Servicios Esenciales u Operador de Importancia Vital —energía, banca, salud, telecomunicaciones, transporte, agua y sus proveedores críticos—, te aplican los plazos en horas de la Ley 21.663.

Si eres una pyme «normal» —comercio, servicios, una consultora, un ecommerce—, lo más probable es que no seas PSE ni OIV, así que el reloj de 3 horas de la 21.663 no te obliga de forma directa. Pero la Ley 21.719 sí te aplica: alcanza a cualquier empresa que trate datos personales, sin excepción por tamaño.

Dos matices que conviene no ignorar. Primero, si prestas servicios dentro de la cadena de un servicio esencial, puedes quedar arrastrado a las exigencias de la 21.663 por contrato o por regulación. Segundo, aunque la ley de datos no te entregue un número, fijar un plazo interno propio —por ejemplo, alinear tu protocolo a 72 horas como meta de cumplimiento— es la forma más defendible de demostrar diligencia ante la Agencia.

El protocolo de notificación de brechas, paso a paso

La notificación no es el primer movimiento: es el resultado de un proceso. Estos son los seis pasos que debería tener cualquier empresa, sea o no PSE/OIV.

1. Detectar. Identificar el evento mediante alertas, monitoreo o un reporte interno, y confirmar que hay una anomalía que podría afectar datos personales.
2. Contener. Aislar equipos, revocar accesos, cortar integraciones. La velocidad de contención determina el tamaño de la brecha —y a veces, si hay que notificar o no.
3. Evaluar el riesgo. Determinar qué datos se vieron involucrados, cuántos titulares y si existe riesgo razonable para sus derechos. Aquí pesan el tipo de dato (sensible, financiero, de menores), el volumen y si la información estaba cifrada.
4. Decidir la notificación. Con la evaluación en mano, definir si corresponde informar a la Agencia y a los titulares. No todas las brechas se notifican, pero todas se evalúan y se registran.
5. Notificar. Enviar el reporte a la autoridad y, cuando corresponda, a las personas afectadas.
6. Registrar y mejorar. Documentar todo —incluso cuando se decide no notificar— para poder probarlo después y cerrar el hueco que permitió la brecha.

A quién y cómo notificar

A la Agencia de Protección de Datos se le reporta la naturaleza de la vulneración, el tipo y el volumen aproximado de datos y titulares afectados, y las medidas adoptadas para contenerla.

A los titulares la notificación es obligatoria cuando la brecha compromete datos sensibles, datos de niñas y niños menores de 14 años, o información sobre obligaciones financieras, bancarias o comerciales. Debe hacerse en lenguaje claro, indicando qué datos se expusieron, las posibles consecuencias y qué pueden hacer para protegerse. Si notificar uno por uno no es técnicamente viable, se recurre a avisos de alcance nacional.

Qué arriesgas si no notificas

Bajo la Ley 21.719, omitir la notificación de una brecha se ubica entre las infracciones graves y gravísimas, con multas que pueden llegar a 20.000 UTM por hecho. Bajo la Ley 21.663, no reportar a tiempo es una infracción grave, con topes de 10.000 UTM para un PSE y 20.000 UTM para un OIV.

Pero el número grande no es lo importante para una pyme. Lo relevante es el patrón: la fiscalización casi nunca parte por el techo de la multa; parte por un titular que reclama o por una brecha que se hizo pública. Y en ese momento, lo que la autoridad mira no es solo qué pasó, sino si puedes demostrar cómo lo evaluaste, cuándo avisaste y qué hiciste. La empresa que documenta se defiende; la que improvisa, no. Si quieres el detalle del régimen sancionatorio, lo desglosamos en la guía de multas de la Ley 21.719.

Cómo preparar tu empresa antes de que suene la alarma

Responder en horas no se logra el día del incidente: se construye antes. En la práctica, una empresa preparada tiene cuatro cosas:

• Un registro de actividades de tratamiento (RAT) actualizado, para saber en minutos qué datos tienes y a quién afectarían. Es el punto de partida del checklist de adecuación a la Ley 21.719.
• Trazabilidad técnica: registros de acceso, monitoreo y respaldos que permitan reconstruir qué se tocó y contener rápido.
• Un protocolo de brechas escrito y ensayado, con roles claros y un plazo interno de notificación definido de antemano.
• La capacidad de generar la evidencia que la notificación exige, sin depender de que alguien recuerde dónde estaba cada cosa.

En Softdigital ayudamos a las empresas chilenas a dejar esa base montada: desde el diagnóstico de adecuación hasta el software a medida que registra accesos, centraliza la información y automatiza el rastro que hoy vive en planillas sueltas. Trabajamos con precio fijo sin sorpresas, entregamos una propuesta en menos de 24 horas y el código queda siempre tuyo, con un equipo de más de 8 años de experiencia.

Empieza por saber dónde estás parado

La notificación de brechas premia a quien se preparó y castiga a quien improvisa. Si hoy no tienes claro qué datos tratas, quién respondería ni en qué plazo, ese es el trabajo que conviene hacer ahora —no en medio de un incidente.

Podemos ayudarte a ordenarlo. Revisa nuestro servicio de adecuación a la Ley 21.719, mide tu punto de partida con el diagnóstico gratuito de la Ley 21.719 o agenda un diagnóstico de 15 minutos para revisar tu caso. Y si ya tuviste un incidente y necesitas ordenar la respuesta, escríbenos directamente.