La ciberseguridad y la protección de datos personales ya no son temas exclusivos de las grandes corporaciones. Hoy, cualquier empresa que almacene información de clientes, trabaje con terceros o dependa de sistemas informáticos está expuesta a brechas, sanciones legales y pérdidas económicas si no cumple con las nuevas normativas vigentes en Chile.
¿Qué pasaría si mañana se filtra tu base de datos de clientes?
¿O si te exigen borrar los datos de un extrabajador y no sabes cómo hacerlo?
¿O si sufres un ciberataque y no tienes protocolos legales para actuar?
¿Tienes políticas y protocolos claros para el tratamiento de datos personales?
¿Has evaluado los riesgos cibernéticos que enfrenta tu operación?
¿Sabes si estás obligado a notificar incidentes o implementar un SGSI?
¿Tus trabajadores y proveedores están capacitados para prevenir un incidente?
¿Tienes un encargado de protección de datos o ciberseguridad designado?
Si alguna respuesta es «no» o «no estoy seguro», estás en zona de riesgo. La mayoría de las sanciones en Chile no se deben a mala fe, sino a desconocimiento o inacción.
Analizamos tu caso y te propondremos la mejor estrategia para lograr todos tus objetivos.
La Ley N° 21.719, publicada el 26 de agosto de 2024, moderniza en profundidad el régimen de protección de datos personales en Chile, derogando y reemplazando en gran parte a la antigua Ley 19.628. Inspirada en los principios del Reglamento General de Protección de Datos de la Unión Europea (GDPR), esta ley establece nuevas obligaciones para responsables y encargados del tratamiento de datos, reconoce derechos robustos para los titulares y crea la Agencia de Protección de Datos Personales como organismo fiscalizador.
El objetivo central de esta normativa es garantizar el respeto y protección efectiva de los derechos fundamentales de las personas respecto del tratamiento de sus datos personales, asegurando:
La ley establece principios esenciales que deben guiar todo tratamiento de datos:
La ley impone obligaciones concretas a quienes tratan datos:
La ley impone obligaciones concretas a quienes tratan datos:
Este organismo público autónomo tendrá facultades de:
El no cumplimiento de la ley puede dar lugar a:
El cumplimiento de la Ley 21.719 no ocurre en el vacío: se articula con otras leyes como:
Implementar un modelo de cumplimiento en protección de datos ayuda a consolidar una cultura organizacional orientada al respeto por los derechos, fortalece la gobernanza, mejora la gestión del riesgo legal y permite una defensa eficaz ante fiscalizaciones o incidentes.
Cumplir con esta ley no solo evita sanciones, sino que genera valor. Las organizaciones que respetan la privacidad:
Conclusión
La Ley 21.719 cambia radicalmente el enfoque de protección de datos en Chile: ya no basta con declarar buenas intenciones, ahora se exige evidencia de cumplimiento y responsabilidad activa. Su implementación efectiva es una obligación legal, una herramienta de competitividad y una necesidad ética en la era digital. Cada empresa, sin importar su tamaño o sector, debe tomar conciencia y actuar desde ya para cumplir esta ley y proteger uno de los activos más valiosos: los datos personales.
La Ley Marco de Ciberseguridad, publicada el 8 de abril de 2024, representa un hito fundamental para la protección de los activos digitales y la infraestructura crítica del país. Esta normativa establece un marco jurídico vinculante y transversal que obliga a instituciones públicas y privadas a adoptar medidas de seguridad informática, con el fin de prevenir, detectar, responder y recuperarse frente a incidentes cibernéticos.
El objetivo de la Ley Marco de Ciberseguridad es fortalecer la resiliencia del ecosistema digital nacional mediante la creación de un sistema de gobernanza que regule:
La ley distingue dos grandes categorías de entidades sujetas a obligaciones especiales:
Las empresas consideradas PSE deben:
Los Operadores de Importancia Vital (OIV), además de cumplir con todas las obligaciones anteriores, tienen exigencias adicionales más estrictas, tales como:
La ANCI es el ente rector del sistema nacional de ciberseguridad. Entre sus funciones están:
La ley se complementa con varios reglamentos que regulan aspectos como:
Las empresas obligadas deben comenzar a implementar sus obligaciones dentro de los plazos definidos en dichos reglamentos, muchos de los cuales ya fueron publicados en 2025 y contemplan entre 6 y 12 meses de plazo para cumplimiento total.
El no cumplimiento de las obligaciones impuestas por la Ley Marco puede acarrear:
El cumplimiento de esta normativa es clave desde el enfoque de Compliance: refuerza la cultura organizacional, mejora la trazabilidad de decisiones, previene delitos y permite la defensa jurídica efectiva de la organización y sus líderes ante incidentes o investigaciones.
Caso 1: Empresa de Transporte y Fraude Informático Una empresa de transporte terrestre con operaciones logísticas digitales sufre una modificación maliciosa en su sistema de órdenes de despacho. Un supervisor, en complicidad con terceros, emite facturas falsas durante meses. La empresa no contaba con controles técnicos ni jurídicos adecuados. Como resultado, se le imputa responsabilidad penal por negligencia grave en prevención de delitos informáticos y económicos, conforme a la Ley 21.595.
Caso 2: Empresa del Rubro de la Salud y Fuga de Datos Una clínica privada, considerada prestadora de servicio esencial, sufre una brecha de seguridad por un ransomware que compromete datos clínicos sensibles de más de 10.000 pacientes. Se demuestra que no tenía políticas ni protocolos de ciberseguridad, ni capacitación a su personal. Además, se tardó más de 10 días en reportar el incidente a la ANCI, incumpliendo plazos legales. El hecho da lugar a sanciones, demandas civiles y exposición penal por infracción a la Ley 21.663 y a la Ley de Protección de Datos Personales.
A. Porque la ley expresamente lo obliga.
La Ley Marco de Ciberseguridad clasifica a los servicios esenciales, lo que implica que deben cumplir con las obligaciones específicas para ese tipo de operadores y en caso de incumplimiento se establecen sanciones.
B. Porque una interrupción de los sistemas en este tipo de empresas puede afectar gravemente la continuidad operacional del país.
En el sector transporte, los sistemas de logística, gestión de flotas, monitoreo satelital, control de accesos, y sistemas de despacho y trazabilidad son todos dependientes de tecnologías digitales. Un ciberataque puede:
Ejemplo: un ransomware que afecte el sistema de control de flotas de una empresa de logística masiva podría impedir que lleguen productos a más de 200 supermercados en menos de 24 horas.
Lo mismo sucede en otros rubros como la salud, la generación de energía y el sector financiero, un ciberataque a un eslabón de la cadena de suministros en todos estos servicios esenciales puede generar un efecto importante para la economía del país e incluso para la salud de las personas.
C. Porque el incumplimiento puede generar sanciones, responsabilidad penal y daño reputacional
No cumplir con las obligaciones de la ley puede tener consecuencias graves:
D. Porque debe colaborar con la ANCI y reportar incidentes
Una empresa no puede actuar sola frente a un ciberataque. La ley la obliga a:
E. Porque la ciberseguridad es un factor estratégico en contratos, licitaciones y asegurabilidad
Hoy, muchas grandes empresas o instituciones públicas exigen evidencia de cumplimiento en ciberseguridad como condición para contratar o renovar contratos.
Además:
CONCLUSIÓN
La Ley Marco de Ciberseguridad representa un cambio de paradigma: ya no basta con soluciones técnicas, sino que se requiere una gobernanza jurídica de la ciberseguridad. Su implementación adecuada requiere la participación activa de equipos legales, técnicos y de alta dirección. Es, al mismo tiempo, una obligación legal y una oportunidad para fortalecer la competitividad, la sostenibilidad y la protección integral de las empresas chilenas.