Las primeras 72 horas tras una brecha de datos: que exige la Ley 21.719

El reloj empieza en el momento en que te enteras

La Ley 21.719 da 72 horas desde que una organización toma conocimiento de una brecha de seguridad que afecta datos personales para notificarla a la Agencia de Protección de Datos Personales. No 72 horas desde que ocurrió el incidente — desde que lo detectaste. Esa distinción importa, porque muchas brechas se descubren días o semanas después de haber ocurrido.

Si tu empresa no tiene un protocolo documentado antes de que pase algo, esas primeras horas se gastan decidiendo qué hacer en vez de ejecutando un plan ya escrito.

Qué cuenta como brecha notificable

Cualquier incidente de seguridad que comprometa la confidencialidad, integridad o disponibilidad de datos personales: un acceso no autorizado a tu base de clientes, un ransomware que cifra sistemas con datos personales, un email enviado por error con información de terceros, un dispositivo con datos perdido o robado.

Los tres pasos dentro de las 72 horas

1. Confirma y contén. Verifica que efectivamente hubo una brecha, qué sistemas y datos están afectados, y toma las medidas inmediatas para detener la exposición — revocar accesos, aislar sistemas, cambiar credenciales.

2. Evalúa la gravedad. No todas las brechas requieren el mismo nivel de respuesta. La cantidad de personas afectadas, el tipo de datos comprometidos (¿son datos sensibles?) y el riesgo real para los titulares determinan cómo de urgente y detallada debe ser tu notificación.

3. Notifica a la Agencia. La notificación debe incluir la naturaleza del incidente, los datos y personas afectadas, las medidas de contención ya tomadas y un punto de contacto interno. Si el riesgo para los titulares es alto, puede ser necesario notificarles también a ellos directamente.

Por qué este es el plazo que más multa

De los tres niveles de sanción que contempla la Ley 21.719, no notificar una brecha dentro de las 72 horas está clasificado entre las infracciones gravísimas, con multas de hasta 20.000 UTM — el techo del régimen sancionatorio. No es el único motivo de sanción máxima, pero es de los más frecuentes, porque muchas organizaciones simplemente no tienen el proceso listo cuando lo necesitan.

Tener el protocolo escrito antes, no durante

El error más común no es técnico, es operativo: no tener claro quién decide, quién notifica y qué se documenta hasta que ya está ocurriendo el incidente. Un protocolo de brechas escrito de antemano —con roles asignados y una plantilla de notificación lista— es la diferencia entre cumplir el plazo o no.

Para el panorama completo de la Ley 21.719 —vigencia, sanciones y comparativa con el GDPR— lee Ley 21.719 de Chile: guía de cumplimiento.

¿Quieres tener tu protocolo de brechas documentado antes de necesitarlo? Habla con nosotros y lo vemos juntos.