Recursos / Incidentes
Brecha de datos: qué hacer y a quién avisar
En resumen
- Si hay riesgo razonable para los titulares, se reporta a la Agencia sin dilaciones indebidas.
- La Ley 21.719 no fija 72 horas. Ese plazo pertenece a otro régimen: la Ley 21.663.
- Con datos sensibles, de menores de 14 años o financieros, también hay que avisar a los afectados.
- Toda comunicación debe quedar registrada.
Qué se considera una vulneración
El art. 14 sexies se refiere a las vulneraciones a las medidas de seguridad que ocasionen la destrucción, filtración, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados. Puede ser un ataque, pero también un correo enviado por error o un notebook perdido.
Cuándo y cómo se reporta a la Agencia
Cuando exista un riesgo razonable para los derechos y libertades de los titulares, «por los medios más expeditos posibles y sin dilaciones indebidas». No hay un número de horas en esta ley. Usar 72 horas como meta interna puede ser una buena práctica, pero conviene actuar antes si es posible.
Qué se debe registrar
La naturaleza de la vulneración, sus efectos, las categorías de datos, el número aproximado de titulares afectados y las medidas adoptadas para gestionarla y prevenir incidentes futuros.
Cuándo hay que avisar a los afectados
Cuando la vulneración se refiera a:
- Datos personales sensibles.
- Datos de niños y niñas menores de 14 años.
- Datos sobre obligaciones económicas, financieras, bancarias o comerciales.
El aviso debe ser claro y sencillo, y señalar los datos afectados, las posibles consecuencias y las medidas adoptadas. Se hace a cada titular y, si no es posible, mediante un aviso en un medio de comunicación social masivo de alcance nacional.
Si además le aplica la Ley 21.663
Los servicios esenciales y operadores de importancia vital tienen plazos propios ante el CSIRT Nacional cuando el incidente puede tener impactos significativos:
| Plazo máximo | Qué se entrega |
|---|---|
| 3 horas | Alerta temprana |
| 24 horas | Actualización, si un operador de importancia vital vio afectados sus servicios esenciales |
| 72 horas | Actualización con evaluación inicial, gravedad e impacto |
| 7 días corridos | Plan de acción, en operadores de importancia vital |
| 15 días corridos | Informe final, contados desde la alerta temprana |
Un mismo incidente puede activar ambos regímenes. Puede verlo en el reloj de un incidente.
Qué hacer en las primeras horas
Esto no lo fija la ley: es nuestra recomendación práctica.
- Contener. Corte el acceso y cambie credenciales, sin borrar evidencia.
- Registrar. Anote desde el primer minuto qué pasó, cuándo se supo y quién actuó.
- Evaluar. Determine qué datos y cuántas personas se vieron afectados, y el riesgo.
- Decidir y comunicar. Defina los reportes a la Agencia, a los afectados y a otras autoridades.
- Revisar si hay delito. Un acceso ilícito puede estar sancionado por la Ley 21.459.
- Corregir. Cierre la causa y documente lo aprendido.
Lo mejor es tener un procedimiento listo antes de necesitarlo. Es parte de lo que revisamos en el Diagnóstico Completo.
Contenido informativo, no constituye asesoría jurídica para un caso particular. Los artículos citados corresponden a la Ley 19.628 modificada por la Ley 21.719, salvo que se indique otra norma. La Ley 21.663 también está en Ley Chile. Revise la versión vigente antes de tomar decisiones.