Brecha de seguridad de datos: qué hacer según la Ley 21.719

La Ley 21.719 te da 72 horas para notificar una brecha de datos a la Agencia de Protección de Datos Personales cuando representa riesgo real para los derechos de los titulares. Una brecha puede ocurrir en cualquier organización, sin importar el tamaño, pero no todo incidente de seguridad es una brecha notificable, y aquí está el detalle que genera confusión en muchas PyMEs. Este artículo te muestra el protocolo exacto para actuar rápido, minimizar daños y evitar multas innecesarias.

¿Qué es una brecha de datos notificable?

No todas las filtraciones son iguales. La Ley 21.719 define brecha de seguridad como "el acceso, uso o divulgación no autorizado de datos personales, o la pérdida, modificación o destrucción de éstos". Pero aquí viene lo importante: solo debes notificar si la brecha genera riesgo real o efectivo para los derechos del titular.

Ejemplos prácticos:

• Sí es notificable: Se filtra una base de datos con nombres, RUTs y contraseñas de clientes. Riesgo evidente de suplantación de identidad.
• No es notificable: Un backup encriptado se extravía en tránsito, pero los datos están cifrados con estándar AES-256 y nadie tiene la llave. Sin riesgo real.
• Sí es notificable: Un administrativo deja un informe impreso con datos de empleados en un café. Datos en texto plano, acceso potencial de terceros.

El criterio es el riesgo, no el accidente en sí. Si la brecha está contenida, cifrada y sin acceso real, probablemente no requiera notificación. Pero documentar esa evaluación es obligatorio.

Las 72 horas: notificación a la Agencia

Una vez confirmado que existe brecha notificable, el reloj corre. La Ley 21.719 te da 72 horas para informar a la Agencia de Protección de Datos Personales. No es una sugerencia: es un requisito legal del artículo 29.

Qué debes notificar a la Agencia:

• Descripción clara de la brecha (cómo pasó, qué datos se vieron afectados).
• Cantidad aproximada de titulares impactados.
• Medidas de contención ya tomadas.
• Evaluación preliminar del riesgo para derechos de los titulares.
• Contacto responsable en tu organización para seguimiento.

Qué esperar después: La Agencia generalmente solicita información adicional dentro de 10 a 15 días. No es una sanción automática. Es un proceso de investigación donde cooperar y demostrar buena fe cuenta. Si tienes un plan previo documentado, la Agencia lo verá y será mucho más favorable.

Notificación a los titulares afectados: cuándo es obligatorio

Aquí hay otro punto crítico: no siempre tienes que avisar públicamente. Solo notificas a los titulares cuando la brecha representa riesgo alto para sus derechos. Si el riesgo es bajo o mitigado rápidamente, no es obligatorio avisar a cada persona.

Ejemplo: Se filtra una lista de correos no verificados de un formulario web (sin datos sensibles). Riesgo bajo. Probablemente no requiera notificación individual. Pero sí debe documentarse.

Cuando sí es obligatorio notificar:

• RUT + contraseña filtrada → Riesgo alto de suplantación.
• Números de tarjeta de crédito expuestos → Fraude directo.
• Datos de salud o información sensible accesible públicamente.

La notificación debe ser clara, sin tecnicismos innecesarios, y explicar qué pasó, qué riesgo existe y qué pueden hacer los afectados para protegerse.

Contención, evaluación y documentación: el protocolo inmediato

Cuando detectes una brecha, el orden es crítico:

1. Contención (primeras horas): Aisla el acceso. Si es un servidor hackeado, desconéctalo. Si es un empleado que descargó datos indebidamente, revoca el acceso. Detén el sangrado ya.

2. Evaluación de daño (primeras 24-48 horas): ¿Cuántos datos? ¿Qué tipos? ¿Quién tiene acceso? ¿Es reversible? Esta evaluación determina si notificas o no.

3. Documentación (durante todo el proceso): Guarda evidencia de la brecha, cuándo se detectó, quién la descubrió, timeline de acciones. Esta documentación es tu escudo ante la Agencia y los tribunales.

El informe post-incidente y cómo un plan previo reduce multas

Dentro de 30 días de confirmada la brecha, debes elaborar un informe que incluya análisis de causa raíz, medidas tomadas y cambios implementados para evitar repetición. La Agencia lo solicitará.

Aquí está la diferencia que te ahorra dinero: si antes de la brecha ya tenías un plan de respuesta ante incidentes documentado, las multas por la Ley 21.719 pueden reducirse significativamente. La Agencia valora las organizaciones que se preparan.

Un plan previo debe incluir: responsables designados, procedimientos de detección, escalada de alertas, criterios de evaluación de riesgo y protocolo de notificación. No necesita ser extenso; debe ser útil.

Incidente de seguridad vs. brecha de datos: aclaración final

Un incidente de seguridad es cualquier evento adverso (intento fallido de ataque, acceso no autorizado que fue bloqueado). Una brecha es cuando realmente hay exposición de datos. Todo incidente debe registrarse. No toda brecha requiere notificación pública.

En resumen: Documentar → Evaluar riesgo real → Notificar a la Agencia en 72 horas si corresponde → Notificar titulares si riesgo es alto → Documentar todo → Mejorar para el futuro.

Conclusión

La Ley 21.719 no es tan compleja si actúas metódicamente. La clave es prepararse antes: ten un plan documentado, designa responsables y practica tu protocolo. Cuando venga la brecha (no es si, sino cuándo), actuarás rápido y con respaldo. Eso es lo que valora la Agencia y lo que te protege de multas.

Si aún no tienes un protocolo claro, PrivacTech te ayuda a diseñar y documentar tu plan de respuesta a brechas — con el registro interno, los plazos de 72 horas y las plantillas de notificación listas como punto de partida para tu empresa.