Notificar una brecha en 72h: playbook Ley 21.719
TL;DR. La Ley 21.719 obliga a notificar las brechas de datos personales a la Agencia de Protección de Datos en un plazo de referencia de 72 horas desde que se toma conocimiento del incidente. La ley entra en plena vigencia el 1 de diciembre de 2026, a poco menos de cinco meses. Las multas llegan a 20.000 UTM (más de 1.360 millones de pesos). Este no es otro checklist de la ley: es el playbook del día de la brecha, los pasos concretos que ejecutas cuando el reloj ya corre. Si ya revisaste el checklist técnico de cumplimiento, este es el procedimiento operativo que lo pone a prueba.
¿Qué exige la Ley 21.719 al notificar una brecha?
Exige avisar rápido, avisar a quien corresponde y dejar constancia. La Ley 21.719 obliga a comunicar las vulneraciones de seguridad que afecten datos personales a la nueva Agencia de Protección de Datos Personales sin dilaciones indebidas, dentro de un plazo que la implementación fija en torno a las 72 horas desde que la organización toma conocimiento del incidente. Cuando la brecha supone un riesgo alto para los derechos de los titulares, además hay que comunicarla a las personas afectadas.
El punto que la mayoría de las empresas subestima es que el deber no depende de haber terminado la investigación. Se notifica con la información disponible y se completa después. La guía oficial de la Secretaría de Gobierno Digital alinea este estándar con el modelo GDPR, del que la ley chilena toma su estructura de responsabilidad proactiva.
¿Desde cuándo corren las 72 horas?
Corren desde que la organización toma conocimiento razonable de la brecha, no desde que se confirma cada detalle técnico ni desde que termina el análisis forense. Este matiz decide si cumples o no el plazo. Una alerta del SOC, un log anómalo o el aviso de un tercero pueden iniciar el reloj legal aunque el equipo todavía no sepa el alcance exacto.
Por eso el eslabón débil casi nunca es la notificación en sí, sino el tiempo que un incidente queda dando vueltas sin escalar. Si un analista detecta actividad sospechosa el viernes y recién el lunes alguien la clasifica como brecha, se perdieron dos días del plazo antes de empezar a contarlo formalmente. La regla operativa es clara: ante la duda razonable, se activa el playbook y se inicia el cronómetro.
Los dos relojes de cumplimiento: Ley 21.719 y ANCI
Un mismo incidente puede activar dos obligaciones legales distintas, con autoridades y plazos diferentes, y confundirlas es una fuente típica de incumplimiento. La Ley 21.663 Marco de Ciberseguridad, fiscalizada por la Agencia Nacional de Ciberseguridad (ANCI), obliga a los Operadores de Importancia Vital a alertar al CSIRT Nacional. La Ley 21.719 obliga a notificar la afectación de datos personales a la Agencia de Protección de Datos.
| Dimensión | Ley 21.719 (datos personales) | Ley 21.663 / ANCI (ciberseguridad) |
|---|---|---|
| A quién se notifica | Agencia de Protección de Datos | CSIRT Nacional (ANCI) |
| Alerta temprana | Sin dilaciones indebidas | 3 horas |
| Reporte completo | ~72 horas | 72 horas |
| Qué gatilla el deber | Brecha que afecta datos personales | Incidente de ciberseguridad con efecto relevante |
| A quién aplica | Toda empresa que trate datos | Operadores de Importancia Vital |
Si un ransomware cifra la base de clientes de una empresa OIV, gatilla ambos relojes a la vez: la alerta de 3 horas a la ANCI y la notificación de datos a la Agencia. La forma sensata de manejarlo es tener un solo proceso de gestión de incidentes que sepa enrutar cada aviso a la autoridad correcta dentro de su ventana, tal como plantea el marco de instrucciones generales de la ANCI.
Playbook: los 7 pasos del día de la brecha
Esta es la secuencia que se ejecuta cuando el incidente ya está declarado. Cada paso tiene un responsable y una salida verificable, para que nada dependa de la improvisación bajo presión.
1. Detección y declaración. El SOC o el monitoreo levanta la alerta y alguien con autoridad la clasifica como brecha de datos personales. Aquí arranca el cronómetro de 72 horas. Registrar la hora exacta de conocimiento.
2. Contención. Aislar los sistemas afectados, revocar credenciales comprometidas y cortar la exfiltración antes que perseguir la causa raíz. Contener primero, investigar después.
3. Evaluación de alcance. Determinar qué categorías de datos, cuántos titulares y qué sensibilidad están involucrados. De esto depende si hay “riesgo alto” y, por tanto, si además hay que avisar a las personas.
4. Decisión de notificar. El encargado de datos y el comité de crisis deciden formalmente que el evento es notificable. La decisión y su fundamento quedan documentados, incluso si se resuelve no notificar.
5. Borrador y envío a la Agencia. Completar la plantilla de notificación con la información disponible y enviarla dentro del plazo. Si faltan datos, se notifica lo conocido y se anuncia la actualización posterior.
6. Comunicación a titulares. Cuando hay riesgo alto, informar a las personas afectadas en lenguaje claro: qué pasó, qué datos, qué riesgos y qué medidas tomar (cambiar contraseñas, vigilar movimientos).
7. Post-mortem y evidencia. Cerrado el incidente, documentar la línea de tiempo completa, las decisiones y las mejoras. Esta evidencia es lo que una eventual fiscalización pedirá para verificar que actuaste en plazo y con diligencia.
¿Qué información debe incluir la notificación?
Debe incluir lo suficiente para que la Agencia entienda qué pasó y qué se está haciendo, aunque la investigación siga abierta. En la práctica, una notificación completa describe la naturaleza de la brecha, las categorías y el volumen aproximado de datos y titulares afectados, las consecuencias probables, las medidas de contención y mitigación adoptadas o propuestas, y un punto de contacto para más información.
Cuando no se tiene todo dentro del plazo, la salida correcta no es esperar: se notifica lo conocido y se completa de forma escalonada, dejando registro de cada actualización. Tener esta plantilla redactada antes de un incidente es la diferencia entre llenar campos y redactar bajo pánico un domingo a las tres de la mañana.
¿Quién decide notificar? El rol del DPO y el comité de crisis
Decide una estructura definida de antemano, no quien esté disponible en el momento. El encargado de protección de datos —o DPO donde exista— lidera la evaluación legal del incidente, mientras que un comité de crisis con representación de TI, seguridad, legal y dirección tiene la autoridad para declarar la brecha y autorizar la notificación.
El error más común en empresas chilenas es que nadie tiene claro quién aprieta el botón. Si la decisión de notificar sube por tres niveles jerárquicos buscando un responsable, el plazo se consume en la escalera. El playbook debe nombrar, con cargo y suplente, quién declara el incidente y quién firma la notificación. Este gobierno se apoya en los controles descritos en la guía para preparar la infraestructura de cara a diciembre.
¿Cuánto cuesta no notificar a tiempo?
Cuesta lo bastante como para que el directorio lo trate como riesgo financiero. La Ley 21.719 clasifica las infracciones en tres niveles: leves hasta 5.000 UTM, graves hasta 10.000 UTM y gravísimas hasta 20.000 UTM. No notificar una brecha en plazo, o hacerlo de forma incompleta, puede calificarse como infracción grave o gravísima según la magnitud del daño.
En reincidencia de infracciones gravísimas, la multa puede escalar a un porcentaje de los ingresos anuales de la empresa, un mecanismo tomado del GDPR. Con la UTM sobre los 68.000 pesos en 2026, el tope gravísimo supera los 1.360 millones de pesos. A eso se suma el costo reputacional de una brecha mal gestionada, que suele pesar más que la multa misma.
¿Cómo ensayar el playbook antes del 1 de diciembre?
Se ensaya con un simulacro cronometrado, porque un procedimiento que nunca se practicó falla justo cuando importa. Antes de que la ley esté vigente, conviene correr al menos un ejercicio de mesa: se plantea un escenario de brecha, se activa el comité, se sigue el playbook paso a paso y se mide cuánto tiempo real toma llegar desde la detección hasta una notificación lista para enviar.
El simulacro revela los cuellos de botella que ningún documento muestra: la plantilla que no existía, el suplente que no sabía que lo era, el contacto de la Agencia que nadie tenía a mano. Corregir eso en noviembre cuesta una tarde; corregirlo durante una brecha real cuesta el plazo. Un playbook probado es, al final, la única forma de convertir la obligación legal de las 72 horas en una capacidad operativa que de verdad funcione.
Conclusión: el plazo se gana antes del incidente
La notificación en 72 horas no se resuelve el día de la brecha, se resuelve en los meses previos con un procedimiento claro, roles nombrados y un simulacro que lo haya puesto a prueba. La Ley 21.719 estará vigente el 1 de diciembre de 2026 y las multas son lo bastante altas como para justificar tener este playbook listo hoy. La pregunta que el directorio hará después de un incidente no será “¿qué dice la ley?”, sino “¿notificamos a tiempo?”. Tener el playbook ensayado es lo que permite responder que sí.
⚡ ¿Necesitas infraestructura para tu empresa?