Una brecha de seguridad en datos personales no es solo un problema técnico: es una obligación legal de comunicar. La Ley 21.719 exige que el responsable de datos notifique a la Agencia de Protección de Datos Personales cuando una vulneración ocasione riesgo para los derechos de las personas. En algunos casos, también debe informar a los titulares afectados. Y todo debe quedar registrado.
Esta guía explica qué es una brecha, cuándo corresponde notificar, qué información entregar y cómo llevar el registro interno sin improvisar el día del incidente.
Qué es una brecha de seguridad según la Ley 21.719
La ley habla de «vulneraciones a las medidas de seguridad» que ocasionen destrucción, filtración, pérdida o alteración de datos personales, o bien comunicación o acceso no autorizados a esos datos. Puede ser accidental o ilícita.
Ejemplos concretos:
- Un disco duro con datos de clientes se extravía durante un traslado de oficina.
- Un empleado envía por error un archivo con nóminas completas a un destinatario equivocado.
- Un servidor sin actualizar es comprometido y los atacantes acceden a bases de datos.
- Una cuenta de correo corporativo es vulnerada y se descargan conversaciones con información sensible.
No toda falla técnica es una brecha: si el sistema falla pero no se pierde, altera ni expone información, no hay obligación de notificar. La brecha existe cuando hay afectación de los datos.
Cuándo hay obligación de notificar a la Agencia
El responsable debe comunicar la vulneración a la Agencia cuando exista un riesgo razonable para los derechos y libertades de los titulares. La ley no define «riesgo razonable», pero el criterio es objetivo: si la vulneración puede generar daño patrimonial, afectar la reputación, exponer datos sensibles o comprometer la seguridad de las personas, hay riesgo.
Casos en que claramente corresponde notificar:
- Filtración de datos de salud, opiniones políticas, creencias religiosas u orientación sexual.
- Pérdida de datos financieros o bancarios.
- Acceso no autorizado a datos de menores de catorce años.
- Exposición de credenciales de acceso que permitan suplantación de identidad.
La notificación debe hacerse «tan pronto como sea posible y sin dilaciones indebidas». La ley no fija un plazo en horas, pero la demora injustificada puede agravar la sanción si la Agencia determina que hubo negligencia.
Qué información debe contener la notificación a la Agencia
El responsable debe registrar y comunicar:
- La naturaleza de las vulneraciones sufridas.
- Sus efectos.
- Las categorías de datos afectados.
- El número aproximado de titulares afectados.
- Las medidas adoptadas para gestionar la brecha y precaver incidentes futuros.
Ejemplo de notificación bien estructurada para un caso de envío erróneo de correo con datos laborales:
| Campo | Contenido |
|---|---|
| Naturaleza | Envío por error de archivo Excel con datos de 47 trabajadores a destinatario externo no autorizado. |
| Efectos | Exposición de nombres, RUT, cargos, remuneraciones brutas y fechas de contrato. |
| Categorías de datos | Datos de identificación y datos económicos. |
| Titulares afectados | 47 personas. |
| Medidas adoptadas | Contacto inmediato con el destinatario para confirmar eliminación del archivo. Implementación de aprobación dual para envíos masivos. Capacitación al equipo de administración sobre manejo de información sensible. |
La Agencia podrá establecer mediante instrucción general el mecanismo mediante el que los responsables deban realizar estas comunicaciones. Mientras tanto, el responsable debe asegurarse de que la notificación llegue por un canal verificable.
Cuándo hay que notificar también a los titulares
Además de informar a la Agencia, el responsable debe comunicar la brecha a los titulares cuando se trate de:
- Datos personales sensibles.
- Datos relativos a niños y niñas menores de catorce años.
- Datos relativos a obligaciones de carácter económico, financiero, bancario o comercial.
La comunicación debe ser en lenguaje claro y sencillo, singularizando los datos afectados, las posibles consecuencias y las medidas de solución o resguardo adoptadas.
La notificación se realiza a cada titular afectado. Si eso no fuere posible, se realizará mediante la difusión o publicación de un aviso en un medio de comunicación social masivo y de alcance nacional.
Ejemplo de comunicación a titular en caso de filtración de datos de salud:
Estimado [Nombre]:
Te informamos que el [fecha] se produjo un acceso no autorizado a nuestra base de datos, que afectó tu información de salud registrada en [nombre del sistema]. Los datos comprometidos incluyen diagnósticos y tratamientos del período [fechas].
Hemos tomado las siguientes medidas: cierre inmediato del acceso vulnerado, cambio de credenciales de todos los usuarios del sistema y revisión de seguridad por parte de especialistas externos. Hemos notificado el incidente a la Agencia de Protección de Datos Personales.
Recomendamos que estés atento a cualquier contacto sospechoso relacionado con tu información de salud. Si tienes dudas o deseas ejercer tus derechos sobre tus datos, contáctanos en [correo o teléfono].
La notificación a titulares no reemplaza la notificación a la Agencia: son obligaciones distintas y concurrentes.
El registro interno de vulneraciones: qué anotar y por qué
El responsable debe registrar las comunicaciones de vulneraciones. Este registro es distinto de el Registro de Actividades de Tratamiento: documenta incidentes, no operaciones habituales.
El registro debe describir la naturaleza de las vulneraciones, sus efectos, las categorías de datos, el número aproximado de titulares y las medidas adoptadas. La Agencia puede solicitarlo en una fiscalización.
Ejemplo de bitácora de incidente:
| Fecha detección | Descripción del incidente | Datos afectados | Titulares | Medidas inmediatas | Notificación Agencia | Notificación titulares |
|---|---|---|---|---|---|---|
| 12/03/2027 | Pérdida de pendrive con respaldos de contratos laborales en transporte público. | Nombres, RUT, direcciones, teléfonos, fechas de nacimiento, firmas. | 23 | Denuncia en Carabineros. Cambio de contraseñas de sistemas internos. Revisión de política de respaldos. | 13/03/2027 | 13/03/2027 por correo electrónico certificado. |
| 05/05/2027 | Acceso no autorizado a cuenta de correo de gerencia por phishing. | Correos con cotizaciones que incluyen RUT y razón social de clientes. | 12 | Cambio de contraseña. Revisión de accesos recientes. Capacitación en seguridad al equipo. | 06/05/2027 | No corresponde: datos no sensibles, no menores, no financieros. |
Este registro debe estar disponible para la Agencia y para auditorías internas. Si la empresa tiene un modelo de prevención de infracciones, el registro de vulneraciones forma parte del sistema de reporte interno.
Qué pasa si un tercero que trata datos detecta la brecha
Cuando un tercero mandatario o encargado detecta una vulneración a las medidas de seguridad, debe reportar el hecho al responsable de datos. La obligación de notificar a la Agencia y a los titulares sigue siendo del responsable, no del tercero.
Ejemplo: una empresa contrata un servicio de nómina en la nube. El proveedor detecta un acceso no autorizado a su servidor. Debe informar de inmediato a la empresa contratante, y es esta última quien evalúa si corresponde notificar a la Agencia y a los trabajadores afectados.
Por eso los contratos con terceros deben establecer plazos de reporte y canales de contacto claros. Un retraso del tercero en informar puede hacer que el responsable incumpla su deber de notificar sin dilaciones.
Errores comunes al enfrentar una brecha
Estos son los errores más frecuentes que complican el cumplimiento:
- Esperar a tener toda la información antes de notificar. La ley exige actuar tan pronto como sea posible. Si faltan datos, se notifica lo que se sabe y se complementa después.
- Creer que si nadie se entera, no hay obligación de informar. La obligación existe aunque la brecha no sea pública.
- No llevar registro porque «nunca ha pasado nada». El registro se crea antes del incidente, no después.
- Notificar solo a la Agencia cuando corresponde notificar también a los titulares. Son obligaciones concurrentes.
- Minimizar el incidente en la comunicación a titulares. La ley exige claridad sobre las posibles consecuencias.
Preguntas frecuentes
¿Cuánto tiempo tengo para notificar una brecha a la Agencia?
La ley no fija un plazo en horas o días. Exige hacerlo «tan pronto como sea posible y sin dilaciones indebidas». En la práctica, esto significa que debes notificar apenas confirmes que hubo una vulneración con riesgo para los titulares. Demorar la notificación para investigar todos los detalles puede considerarse dilación indebida si el riesgo ya es evidente.
¿Qué pasa si notifiqué tarde o no notifiqué?
Omitir la comunicación de vulneraciones que puedan afectar la confidencialidad, disponibilidad o integridad de los datos personales es una infracción gravísima. La multa puede llegar hasta 20.000 UTM, y si hay reincidencia, hasta el 4% de los ingresos anuales percibidos en Chile. Además, la omisión deliberada agrava la sanción.
¿Tengo que notificar si la brecha afectó solo datos de contacto, como correos y teléfonos?
Depende del riesgo. Si los datos expuestos pueden usarse para suplantación de identidad, phishing o fraude, hay riesgo razonable y corresponde notificar. Si se trata de correos corporativos genéricos sin información adicional, el riesgo puede ser bajo. El criterio es caso a caso, y la carga de la prueba de que no había riesgo recae en el responsable.
¿Puedo usar un modelo de notificación genérico para todos los incidentes?
No. Cada notificación debe describir la naturaleza específica de la vulneración, los datos concretos afectados y las medidas adoptadas para ese incidente. Un modelo genérico puede servir de estructura, pero el contenido debe ser particular. La Agencia evalúa si la notificación fue completa y oportuna.
Cómo prepararse antes del incidente
La mejor forma de cumplir la obligación de notificar es tener el protocolo listo antes de que ocurra la brecha. Eso incluye:
- Definir quién detecta, quién evalúa y quién notifica dentro de la empresa.
- Tener un formato de registro de incidentes con los campos que exige la ley.
- Establecer canales de contacto con la Agencia y con los titulares.
- Capacitar al equipo en qué es una brecha y cuándo corresponde escalar el incidente.
- Revisar los contratos con terceros para asegurar que incluyan la obligación de reportar vulneraciones.
Un protocolo claro reduce el tiempo de respuesta y evita improvisaciones que pueden agravar el incidente o generar incumplimientos legales.
Si tu empresa necesita ordenar el cumplimiento de la Ley 21.719, CumplePyme incluye modelos de protocolo de brechas, formatos de notificación y registro de incidentes. También puedes escribirnos desde el formulario de contacto para revisar tu caso particular.