Ciber Datos
Acceso clientes
Recursos / Marco legal
Tres normas chilenas definen cómo tratar datos personales y cómo responder a un incidente. Aquí están contrastadas con el texto oficial.
Ley 21.719: la fecha legal de entrada en vigencia sigue siendo el 1 de diciembre de 2026. El proyecto que la movería a 2027 (Boletín 18.623-07) aún no es ley. Revisado el 03-11-2026.
Las tres normas
21.719
Modifica la Ley 19.628. Regula cómo se tratan los datos personales, reconoce derechos a sus titulares y crea la Agencia de Protección de Datos Personales.
21.663
Se aplica a quienes presten servicios esenciales y a los operadores de importancia vital. Entre esos servicios están energía, agua, telecomunicaciones, banca, salud y servicios de TI gestionados por terceros.
21.459
Tipifica conductas como el acceso ilícito a un sistema informático. Un incidente de seguridad, además de sus obligaciones de reporte, puede ser también un delito.
Simulación
Un ransomware en una clínica privada cifra sus sistemas y compromete fichas de pacientes. Mueva el tiempo y vea qué exige cada norma.
Si hay riesgo razonable para los titulares, por los medios más expeditos posibles. Con datos de salud, también hay que comunicarlo a los afectados.
Para servicios esenciales y operadores de importancia vital, cuando el incidente puede tener impactos significativos.
Aplica a quien además vio afectada la prestación de sus servicios esenciales.
Gravedad, impacto e indicadores de compromiso, si están disponibles. Es el plazo que a menudo se atribuye por error a la Ley 21.719.
Debe adoptarse dentro de 7 días corridos e informarse al CSIRT Nacional.
Dentro de 15 días corridos desde el envío de la alerta temprana.
Ejemplo informativo: el análisis real depende de cada caso. La Ley 21.719 rige desde su entrada en vigencia.
Contraste
Se dice«Hay 72 horas para reportar una filtración de datos personales».
DiceSin dilaciones indebidas y por los medios más expeditos posibles. Usar 72 horas como meta interna puede ser una buena práctica, pero no es el texto de esta ley.
Ley 19.628 modificada, art. 14 sexies
Se dice«Toda empresa está obligada a nombrar un delegado de protección de datos».
DiceEl delegado es un elemento del modelo de prevención de infracciones, que los responsables pueden adoptar voluntariamente.
Ley 19.628 modificada, art. 49
Se dice«Cualquier infracción arriesga el 4% de la facturación».
DiceEl 2% y el 4% de los ingresos anuales se reservan para la reincidencia grave o gravísima de empresas que no son de menor tamaño.
Ley 19.628 modificada, art. 35
Se dice«Las pymes quedan fuera».
DiceNo quedan fuera, pero la Agencia fijará estándares diferenciados. Durante los primeros 12 meses, cuando proceda una sanción a una empresa de menor tamaño, podrá aplicar una amonestación por escrito.
Ley 19.628 modificada, art. 14 septies · Ley 21.719, art. sexto transitorio
Fuentes en Ley Chile (BCN): Ley 19.628, Ley 21.719 y Ley 21.663. Consultado el 03-11-2026. Contenido informativo: no constituye asesoría jurídica para un caso particular.
Canal abierto
Cuéntenos a qué se dedica su empresa y qué le preocupa. En este primer contacto, no nos envíe datos personales de terceros.