Las empresas chilenas necesitan revisar cómo protegen sus sistemas, gestionan los incidentes informáticos y utilizan los datos de clientes, trabajadores y proveedores. Dos leyes establecen obligaciones relevantes, pero su alcance y sus fechas de aplicación son diferentes.
En esta guía encontrarás qué revisar, cómo organizar un plan de cumplimiento y qué medidas priorizar antes de la entrada en vigor de la nueva normativa de protección de datos personales.
La ciberseguridad y la privacidad dejaron de ser asuntos exclusivos del departamento de informática. Una filtración de datos, un ataque de ransomware, una cuenta empresarial comprometida o una base de clientes utilizada sin una justificación adecuada pueden generar interrupciones operativas, problemas legales y pérdida de confianza.
En Chile, la Ley N.º 21.663, Marco de Ciberseguridad, establece un marco de prevención y respuesta frente a incidentes para las entidades comprendidas en la normativa. Por su parte, la Ley N.º 21.719 moderniza el régimen de protección de datos personales y crea una Agencia especializada. Su entrada en vigor está fijada para el 1 de diciembre de 2026.
1. ¿Qué establece la Ley Marco de Ciberseguridad N.º 21.663?
La Ley N.º 21.663 crea un marco institucional y regulatorio para fortalecer la prevención, contención y respuesta ante incidentes de ciberseguridad en Chile. También establece atribuciones para la Agencia Nacional de Ciberseguridad (ANCI), además de obligaciones, mecanismos de supervisión y sanciones para los sujetos comprendidos en su ámbito.
La ley contempla deberes relacionados con la prevención de incidentes, la gestión de riesgos y la notificación de determinados eventos que puedan afectar la continuidad de servicios esenciales o producir otros efectos significativos.
¿A qué empresas puede afectar?
El primer paso consiste en determinar si la empresa presta servicios considerados esenciales por la ley o por la autoridad, si está comprendida en otra categoría legal aplicable o si ha sido calificada como operador de importancia vital (OIV).
El ámbito de los servicios esenciales incluye determinadas actividades de energía, telecomunicaciones, infraestructura digital, servicios informáticos y otros sectores señalados en la legislación. La inclusión concreta depende de las disposiciones aplicables a cada actividad y entidad.
Empresas que deben evaluar su alcance regulatorio
Organizaciones de sectores regulados, proveedores de servicios digitales, empresas de infraestructura y entidades que participan en la prestación de servicios esenciales deben verificar sus obligaciones específicas.
Empresas fuera de ese ámbito específico
Una pequeña empresa comercial puede no estar sujeta a todas las obligaciones especiales de la Ley Marco, pero sigue necesitando controles de seguridad y debe evaluar las normas de protección de datos y otras obligaciones que le correspondan.
Obligaciones relevantes para las entidades comprendidas
- Implementar medidas de prevención, gestión y respuesta frente a incidentes de ciberseguridad.
- Definir responsables internos y procedimientos para detectar y escalar incidentes.
- Notificar a la ANCI los incidentes significativos cuando exista obligación legal de hacerlo.
- Mantener información y evidencias que permitan investigar incidentes y demostrar la aplicación de controles.
- Cumplir las instrucciones, normas y medidas específicas que correspondan a su categoría regulatoria.
2. ¿Cuándo se debe reportar un incidente de ciberseguridad?
Para las entidades obligadas, el reporte de incidentes significativos contempla plazos diferenciados. La ANCI describe un esquema de alerta temprana, actualización de información e informe final.
| Etapa | Plazo de referencia | Qué debe incluir |
|---|---|---|
| Alerta temprana | Máximo de 3 horas desde que se conoce el incidente | Identificación de la entidad, momento en que se detectó el evento, indicios y sistemas potencialmente afectados. |
| Segundo reporte | Máximo de 72 horas | Actualización, evaluación inicial de gravedad e impacto e indicadores técnicos disponibles. |
| Informe final | Máximo de 15 días corridos desde la alerta temprana | Descripción del incidente, causa probable, medidas de mitigación y consecuencias identificadas. |
Estos plazos corresponden al esquema de notificación establecido para las entidades obligadas. La empresa debe revisar el reglamento aplicable, las instrucciones vigentes y los procedimientos de reporte de la ANCI.
Ejemplos de incidentes que deben evaluarse
- Un ataque de ransomware que paraliza un sistema crítico.
- El acceso no autorizado a una red empresarial.
- La exposición o extracción de información personal.
- Una interrupción informática que compromete un servicio esencial.
- La pérdida de confidencialidad, integridad o disponibilidad de activos informáticos en las circunstancias previstas por la normativa.
No conviene esperar a tener una investigación completa para escalar un incidente. La empresa debe identificar rápidamente si está obligada a reportarlo y activar el procedimiento correspondiente.
Información oficial: Ley Marco de Ciberseguridad en la ANCI y preguntas frecuentes del portal de reportes.
3. ¿Qué cambia con la Ley de Protección de Datos Personales N.º 21.719?
La Ley N.º 21.719 modifica el régimen chileno de protección de datos personales y amplía las obligaciones de quienes deciden para qué y cómo se utilizan esos datos. También crea la Agencia de Protección de Datos Personales, que tendrá funciones de fiscalización y otras atribuciones establecidas en la ley.
La entrada en vigor está fijada para el 1 de diciembre de 2026. Por ello, a octubre de 2026 las empresas disponen de un período muy corto para revisar sus prácticas y preparar sus procesos. Mientras la nueva normativa no entre en vigor, deben considerar el régimen actualmente aplicable y no asumir que la reforma ya está plenamente vigente.
¿Qué se considera un dato personal?
Es información relacionada con una persona natural identificada o identificable. No se limita al nombre y al RUT: según el contexto, también puede abarcar datos de contacto, registros de compras, identificadores digitales, información laboral, imágenes u otros datos asociados a una persona.
Algunos datos reciben una protección especial, como los datos sensibles. Su tratamiento exige una evaluación específica de la ley y de las condiciones que permiten utilizar esa información.
Obligaciones que las empresas deben preparar
1. Identificar los datos y sus finalidades
Registrar qué información se recopila, de quién, para qué se utiliza, dónde se almacena y qué áreas o proveedores acceden a ella.
2. Justificar el tratamiento
Determinar la base de licitud aplicable a cada uso de datos. No todos los tratamientos requieren consentimiento, pero tampoco basta con tener una base de datos o una autorización genérica.
3. Informar con transparencia
Actualizar los avisos y políticas de privacidad para explicar las finalidades, categorías de datos, destinatarios, períodos de conservación y otros antecedentes exigidos.
4. Gestionar derechos de las personas
Establecer un procedimiento para recibir, verificar, tramitar y responder las solicitudes que correspondan, incluidos los derechos de acceso, rectificación, supresión, oposición y portabilidad.
5. Reforzar la seguridad
Aplicar medidas técnicas y organizativas adecuadas al riesgo, como controles de acceso, cifrado cuando corresponda, respaldos, supervisión y evaluación periódica de los controles.
6. Revisar proveedores y transferencias
Examinar contratos con servicios de nube, plataformas de marketing, proveedores de nómina y otros terceros que traten datos por cuenta de la empresa.
4. Cómo preparar una empresa antes de diciembre de 2026
Paso 1. Elaborar un inventario de datos personales
Identifica todas las áreas donde se recopila o utiliza información personal. El inventario debe abarcar tanto los sistemas principales como las hojas de cálculo, formularios web, correos, sistemas de recursos humanos, CRM, herramientas de soporte y plataformas externas.
Para cada tratamiento, registra como mínimo:
- Qué categorías de datos se utilizan.
- A qué personas corresponden: clientes, trabajadores, postulantes o proveedores.
- La finalidad y la base de licitud que se considera aplicable.
- Quién accede a los datos y qué proveedores participan.
- Durante cuánto tiempo se conservan y cómo se eliminan o anonimizan.
- Qué medidas de seguridad protegen la información.
Paso 2. Revisar las políticas de privacidad y los formularios
Una política de privacidad no debería ser un texto genérico copiado de otra empresa. Debe reflejar las operaciones reales del negocio y explicar de forma comprensible qué datos se utilizan y con qué fundamento.
Revisa los formularios de contacto, las compras en línea, las cuentas de usuario, las suscripciones a newsletters, los programas de fidelización y los procesos de selección de personal. Comprueba que la información solicitada sea necesaria para la finalidad correspondiente.
Paso 3. Ordenar las bases de licitud
La empresa debe identificar el fundamento jurídico de cada tratamiento y conservar antecedentes que permitan justificarlo. La ley contempla distintas bases de licitud, según el caso, como el consentimiento, el cumplimiento de obligaciones legales, la ejecución de un contrato o determinados supuestos de interés legítimo.
Paso 4. Preparar un canal para solicitudes de titulares
Define una dirección de correo o un formulario de contacto, junto con un procedimiento interno para verificar la identidad del solicitante, localizar los datos, coordinar con las áreas responsables y responder dentro de los plazos legales que correspondan.
El proceso debe indicar quién recibe la solicitud, quién la evalúa, qué sistemas deben consultarse y cómo se documenta la respuesta. También debe contemplar solicitudes relacionadas con datos que están en poder de proveedores.
Paso 5. Revisar los contratos con proveedores
Comprueba cómo los proveedores tratan los datos por cuenta de la empresa. Según el servicio, los contratos pueden necesitar especificaciones sobre la finalidad del encargo, las categorías de datos, las instrucciones, la seguridad, la gestión de incidentes, la subcontratación y el destino de la información al terminar el contrato.
Incluye en la revisión servicios de alojamiento web, CRM, plataformas de email marketing, software de recursos humanos, sistemas de facturación, almacenamiento en la nube y herramientas de analítica.
Paso 6. Definir cómo responder a una filtración
El protocolo debe permitir detectar el incidente, contenerlo, conservar evidencia, evaluar los datos afectados, determinar qué obligaciones de comunicación existen y documentar las decisiones tomadas.
La obligación de reportar a la ANCI bajo la Ley Marco y el deber de reportar vulneraciones de datos personales bajo la Ley N.º 21.719 son cuestiones relacionadas, pero distintas. Una empresa debe analizar cada régimen por separado y cumplir ambos cuando corresponda.
5. Medidas de ciberseguridad que conviene implementar
Las medidas concretas deben ajustarse al tamaño, la actividad, los sistemas y los riesgos de la organización. Estas acciones constituyen una base práctica para reducir la exposición:
- Autenticación multifactor: habilítala especialmente para correo corporativo, administradores, acceso remoto y servicios en la nube.
- Control de accesos: concede a cada usuario solo los permisos necesarios para su función.
- Actualizaciones: aplica parches de seguridad a sistemas operativos, aplicaciones, equipos de red y complementos.
- Copias de seguridad: mantén respaldos protegidos e independientes y prueba periódicamente la restauración.
- Protección del correo: configura mecanismos de autenticación del dominio y capacita al personal para reconocer mensajes fraudulentos.
- Registro y monitoreo: conserva registros útiles para investigar accesos anómalos e incidentes.
- Plan de continuidad: determina cómo mantener o recuperar las operaciones críticas ante una interrupción.
- Capacitación: establece pautas claras para reportar correos sospechosos, pérdida de equipos o exposición accidental de datos.
Para empresas sujetas a la Ley Marco, estos controles deben integrarse en una gestión de ciberseguridad que responda a las obligaciones y medidas específicas aplicables, en lugar de limitarse a una lista informal de buenas prácticas.
6. ¿Qué riesgos existen por incumplir?
Las consecuencias dependen de la ley aplicable, la infracción, la categoría de la entidad y las circunstancias del caso. Pueden incluir procedimientos de fiscalización, sanciones administrativas cuando correspondan, responsabilidad por daños, interrupciones operativas y pérdida de confianza de clientes y socios comerciales.
La Ley Marco de Ciberseguridad contempla un sistema de infracciones y sanciones para las entidades comprendidas. La Ley N.º 21.719 establece un nuevo régimen de protección de datos personales, con facultades de fiscalización y sanción para la Agencia de Protección de Datos Personales.
Por eso, no basta con publicar una política de privacidad o comprar un antivirus. La empresa necesita demostrar que ha identificado sus obligaciones, asignado responsables y aplicado medidas acordes con los riesgos.
7. Plan de acción para pequeñas y medianas empresas
| Prioridad | Acción | Resultado esperado |
|---|---|---|
| Inmediata | Evaluar si la empresa está comprendida en la Ley Marco y asignar un responsable interno. | Alcance regulatorio documentado y responsables identificados. |
| Alta | Inventariar datos personales, sistemas, accesos y proveedores. | Visibilidad de los principales tratamientos y riesgos. |
| Alta | Activar MFA, revisar respaldos, actualizar sistemas y limitar privilegios. | Reducción de riesgos técnicos prioritarios. |
| Alta | Actualizar políticas, avisos de privacidad y bases de licitud. | Información coherente con las prácticas reales de la empresa. |
| Alta | Probar el procedimiento de incidentes y el canal de solicitudes de titulares. | Procesos definidos, responsables y evidencias. |
| Continua | Capacitar al personal y revisar las medidas y los contratos. | Mejora continua y seguimiento del cumplimiento. |
8. Lista interactiva de preparación empresarial
Marca las tareas que tu organización ya ha completado. Esta lista sirve como orientación inicial y no sustituye una evaluación jurídica o técnica de cumplimiento.
Progreso: 0 de 10 tareas completadas.
9. Preguntas frecuentes
¿Todas las empresas chilenas deben cumplir la Ley Marco de Ciberseguridad?
No todas quedan sujetas a las mismas obligaciones específicas. Es necesario determinar si la organización presta servicios esenciales, si ha sido calificada como operador de importancia vital o si está comprendida en otra categoría prevista por la ley. Las obligaciones aplicables deben confirmarse con la normativa y las instrucciones vigentes.
¿Cuándo entra en vigor la nueva Ley de Datos Personales?
La entrada en vigor de la Ley N.º 21.719 está fijada para el 1 de diciembre de 2026. Las empresas deberían prepararse antes de esa fecha y comprobar las disposiciones transitorias y normas complementarias aplicables.
¿Una pequeña empresa debe preocuparse por la protección de datos?
Sí. Una pyme que administra datos de clientes, trabajadores, postulantes o usuarios debe evaluar las obligaciones de protección de datos que le correspondan. La aplicación de estándares específicos puede depender de factores como el tamaño, el tipo de datos y los riesgos del tratamiento.
¿Es obligatorio contratar un delegado de protección de datos?
No debe asumirse que todas las empresas tienen una obligación general idéntica de nombrar un delegado. La necesidad y las condiciones de designación deben revisarse conforme a la ley, las normas complementarias y las características de la organización.
¿Qué debe hacer una empresa si detecta una filtración?
Debe activar su protocolo, contener el incidente, proteger la evidencia, determinar qué información y personas podrían estar afectadas y evaluar las obligaciones de notificación correspondientes. Si está sujeta a la Ley Marco, debe analizar además los plazos y requisitos de reporte ante la ANCI.
¿Basta con tener una política de privacidad publicada en la web?
No. La política debe corresponder a las prácticas reales, pero también se necesitan procesos operativos, medidas de seguridad, gestión de solicitudes, revisión de proveedores y evidencia del cumplimiento de las obligaciones aplicables.
¿Qué debe revisar una empresa que utiliza servicios en la nube extranjeros?
Debe identificar qué datos se almacenan o procesan, qué proveedores intervienen, qué medidas de seguridad existen, cómo se gestionan los incidentes y qué reglas se aplican a las transferencias internacionales. El análisis depende de los datos, del servicio y de las condiciones legales pertinentes.
10. Fuentes oficiales para consultar la normativa
Para tomar decisiones de cumplimiento, consulta los textos legales y las instrucciones oficiales más recientes. Las guías generales ayudan a organizar el trabajo, pero no reemplazan la revisión de las disposiciones aplicables a cada empresa.
- ANCI: Ley Marco de Ciberseguridad N.º 21.663 — objetivos, alcance y marco normativo.
- ANCI: preguntas frecuentes sobre reporte de incidentes — entidades obligadas, plazos y procedimiento de notificación.
- ANCI: obligación de reportar incidentes — información sobre el esquema de reporte.
- Biblioteca del Congreso Nacional: Ley N.º 21.719 — texto legal de protección de datos personales.
- LeyChile — consulta de legislación chilena y versiones vigentes.
Conclusión: prepararse antes de que llegue el plazo
La Ley Marco de Ciberseguridad y la Ley de Protección de Datos Personales abordan problemas relacionados, pero no idénticos. La primera exige evaluar las obligaciones de ciberseguridad y reporte que correspondan a cada entidad; la segunda obliga a revisar cómo se recopilan, justifican, utilizan, protegen y conservan los datos personales.
Para avanzar, la empresa debería identificar su alcance regulatorio, inventariar datos y sistemas, corregir los riesgos técnicos prioritarios, actualizar sus políticas y contratos, y probar sus procedimientos de incidentes y solicitudes de titulares. La documentación de estas acciones ayuda a demostrar que el cumplimiento se gestiona de forma organizada y continua.
Contenido informativo actualizado a octubre de 2026. No constituye asesoría legal ni una certificación de cumplimiento. Las obligaciones concretas dependen de la actividad, la categoría de la entidad, los tratamientos realizados y la normativa vigente.