Notificar una brecha de datos bajo la Ley 21.719: el mito de las 72 horas
No. La Ley 21.719 no fija un plazo de 72 horas para notificar una brecha de datos. Exige comunicarla sin dilaciones indebidas, un estándar de diligencia que se evalúa caso a caso, no un reloj exacto. El responsable debe avisar a la Agencia y, cuando la brecha afecta los derechos de los titulares, también a las personas afectadas, describiendo qué ocurrió, qué datos se vieron comprometidos y qué medidas se tomaron. Las 72 horas provienen de otra norma: la Ley 21.663 Marco de Ciberseguridad, que obliga a operadores de servicios esenciales e importantes a reportar incidentes al CSIRT Nacional. Son dos leyes con destinatarios y plazos distintos que conviene no confundir. Lo práctico es preparar hoy un procedimiento de respuesta: detectar, contener, registrar y notificar. Tener el playbook listo antes de la brecha reduce el daño y demuestra la diligencia que la ley exige. Todo rige desde el 1 de diciembre de 2026.
La Ley 21.719 obliga al responsable a notificar las brechas de seguridad sin dilaciones indebidas, no dentro de un plazo fijo de 72 horas. Ese plazo de 72 horas pertenece a otra norma, la Ley 21.663 Marco de Ciberseguridad, que rige el reporte de incidentes al CSIRT Nacional.
Dos leyes, dos relojes distintos
La confusión es entendible: en Chile conviven dos normas que hablan de brechas de seguridad casi al mismo tiempo. La Ley 21.719 protege datos personales y entra en vigencia el 1 de diciembre de 2026. La Ley 21.663, marco de ciberseguridad, ya rige y crea la Agencia Nacional de Ciberseguridad y el CSIRT Nacional.
El plazo de 72 horas que muchos repiten pertenece a la Ley 21.663, no a la de datos personales. Aplica a operadores de importancia vital y a ciertos servicios calificados como esenciales, que deben reportar incidentes al CSIRT. Si su empresa no está en ese grupo, ese reloj de 72 horas simplemente no es el suyo.
El GDPR europeo también fija 72 horas para notificar a la autoridad de control, y de ahí viene buena parte de la confusión en las consultoras que copian modelos extranjeros. Chile eligió otra fórmula.
| Criterio | Ley 21.719 (datos) | Ley 21.663 (ciberseguridad) |
|---|---|---|
| Plazo | Sin dilaciones indebidas | Hasta 72 horas |
| A quién se notifica | Agencia (APDP) y titulares afectados | CSIRT Nacional |
| A quién aplica | Todo responsable de datos personales | Operadores de servicios esenciales e importantes |
Qué exige realmente la Ley 21.719 al responsable
La Ley 21.719 obliga al responsable del tratamiento a notificar las vulneraciones de seguridad que afecten datos personales. La notificación va dirigida a la Agencia de Protección de Datos Personales (APDP) y, cuando la brecha entrañe un riesgo relevante para los derechos de las personas, también a los titulares afectados.
El estándar temporal es sin dilaciones indebidas. No es un número de horas: es un deber de actuar con prontitud razonable una vez que usted toma conocimiento del incidente. En la práctica significa que no puede sentarse sobre la información, pero tampoco lo condenan por no haber notificado en una ventana rígida mientras aún contenía el ataque.
Un matiz honesto sobre el presente: la APDP todavía no está constituida. El Senado rechazó la conformación de su consejo y el plazo venció el 1 de junio de 2026. Eso no cambia sus obligaciones a partir de diciembre, pero sí implica que el canal formal de notificación y sus instrucciones de detalle aún están por definirse. Prepárese para cumplir el estándar legal, no para esperar una plantilla oficial.
De dónde viene el mito: la Ley 21.663 de ciberseguridad
La Ley 21.663 sí contempla plazos concretos de reporte al CSIRT Nacional para las entidades que regula. Ese es el origen real de las 72 horas en el debate chileno. El error consiste en trasladar ese plazo, pensado para la seguridad de infraestructuras críticas, al terreno de la protección de datos personales.
Las dos leyes pueden aplicarle a la vez. Una clínica o un retailer grande podría, ante un mismo incidente, tener que reportar al CSIRT bajo la 21.663 y notificar a la APDP y a los titulares bajo la 21.719. Son obligaciones paralelas con destinatarios y lógicas diferentes, y conviene mapearlas antes de que ocurra la brecha, no durante.
Playbook operativo del responsable ante una brecha
Este es el enfoque desde la trinchera del responsable, distinto del enfoque de derechos del titular. Cuando detecta una vulneración, el orden importa:
- Contener primero. Aísle el sistema comprometido, corte accesos y detenga la fuga. Notificar sin haber contenido solo multiplica el daño.
- Registrar la hora cero. Documente cuándo y cómo tomó conocimiento. Ese momento marca el inicio de las dilaciones indebidas y será su respaldo si la APDP pregunta.
- Evaluar el riesgo. Qué datos, de cuántas personas, con qué sensibilidad. Recuerde que en Chile la situación socioeconómica es dato sensible: una brecha que la exponga sube el riesgo y la exigencia de notificar a titulares.
- Notificar a la APDP sin dilaciones indebidas, describiendo naturaleza del incidente, datos afectados, consecuencias probables y medidas adoptadas.
- Notificar a los titulares cuando el riesgo sea relevante, en lenguaje claro y con recomendaciones concretas para que se protejan.
- Remediar y documentar el cierre. Corrija la causa raíz y deje evidencia de todo el proceso. La diligencia demostrada es su mejor defensa.
Prepararse antes de la brecha reduce el daño
Responder bien a una brecha no se improvisa el día del incidente. Si ya tiene su registro de actividades de tratamiento, sabe qué datos guarda y dónde, evalúa el riesgo en horas en lugar de días. Si sus contratos con proveedores SaaS incluyen cláusulas de encargo, sabe a quién exigir cooperación cuando la fuga ocurre en un tercero.
Estos son justamente los cimientos que dejamos armados en cómo cumplir la Ley 21.719. Y cuando su tratamiento es de alto riesgo, la EIPD que exige el artículo 15 ter ya lo obliga a mapear vulnerabilidades y medidas antes de que algo falle, lo que acorta drásticamente su tiempo de respuesta ante una brecha.
Brecha del responsable frente a derechos del titular
Conviene no mezclar dos planos. Este artículo trata el deber del responsable de notificar. El otro plano es el de la persona afectada: qué puede exigir el titular cuando sus datos se filtran, cómo se articula esto con sus derechos ARCOP y qué reclamos puede presentar.
Ese ángulo, el de la persona y sus derechos ante una filtración, lo desarrollamos por separado en derechos ARCOP y brechas. Verlos juntos le da la foto completa: una misma brecha genera obligaciones para usted y derechos para quienes confiaron sus datos.
Preguntas frecuentes
¿La Ley 21.719 exige notificar una brecha en 72 horas?
No. La Ley 21.719 exige notificar sin dilaciones indebidas, un estándar de diligencia y no un plazo fijo. Las 72 horas provienen de la Ley 21.663 de ciberseguridad, que rige para el reporte de incidentes al CSIRT Nacional por parte de ciertos servicios esenciales.
¿A quién debo notificar una brecha de datos personales?
A la Agencia de Protección de Datos Personales (APDP) siempre, y además a los titulares afectados cuando la brecha implique un riesgo relevante para sus derechos. Considere que hoy la APDP aún no está constituida, por lo que el canal formal está por definirse, pero la obligación rige igual desde el 1 de diciembre de 2026.
¿Qué significa notificar sin dilaciones indebidas?
Significa actuar con prontitud razonable desde que usted toma conocimiento de la brecha, sin retrasos injustificados. No hay un número exacto de horas. Se evalúa caso a caso, considerando el tiempo necesario para contener el incidente y evaluar el riesgo. Documentar cuándo supo del incidente y qué hizo es clave para acreditar diligencia.
¿Puede aplicarme a la vez el plazo de 72 horas de la Ley 21.663?
Sí, si su empresa califica como operador de importancia vital o servicio esencial bajo la Ley 21.663. En ese caso, un mismo incidente puede obligarlo a reportar al CSIRT Nacional bajo esa ley y, en paralelo, a notificar a la APDP y a los titulares bajo la Ley 21.719. Son obligaciones distintas que conviene mapear con anticipación.