Filtración de datos personales: cuándo y a quién reportar según la Ley 21.719
Desde el 1 de diciembre de 2026, el artículo 14 sexies de la ley de protección de datos obliga a reportar a la Agencia de Protección de Datos Personales, por los medios más expeditos posibles y sin dilaciones indebidas, toda vulneración de seguridad que genere un riesgo razonable para los titulares. La ley no fija 72 horas, y si hay datos sensibles, de menores de 14 años o sobre obligaciones económicas, financieras, bancarias o comerciales, también debes avisar a cada afectado.
Por Juancarlo Barahona, Delegado de Protección de Datos Personales (DPO) de Orbix Consultor.
Revisado al 11 de octubre de 2026, contra el texto oficial de la ley. Esta guía explica la norma en términos generales y no reemplaza el análisis de un caso concreto.
¿Qué dice el artículo 14 sexies de la ley de protección de datos?
La Ley 21.719 reformó la Ley 19.628 y agregó un deber nuevo: reportar las vulneraciones a las medidas de seguridad. Rige desde el 1 de diciembre de 2026, fecha fijada en el artículo primero transitorio. Hay un proyecto de ley (Boletín 18.623-07) que propone postergar la vigencia a 2027, pero está en primer trámite en el Senado y no es ley.
El artículo tiene cuatro partes: el reporte a la Agencia, el registro de esas comunicaciones, el aviso directo a los titulares en ciertos casos y una regla de compatibilidad con otras leyes. El primer inciso dice:
El responsable deberá reportar a la Agencia, por los medios más expeditos posibles y sin dilaciones indebidas, las vulneraciones a las medidas de seguridad que ocasionen la destrucción, filtración, pérdida o alteración accidental o ilícita de los datos personales que trate o la comunicación o acceso no autorizados a dichos datos, cuando exista un riesgo razonable para los derechos y libertades de los titulares.
Qué es una vulneración de seguridad: definición y ejemplos
No hace falta un hacker. Cuenta cualquier falla de seguridad, accidental o intencional, que termine en alguno de estos resultados sobre datos personales: destrucción, filtración, pérdida, alteración, comunicación no autorizada o acceso no autorizado.
El filtro para reportar a la Agencia es el riesgo razonable para los derechos y libertades de los titulares. Un incidente contenido sin que nadie accediera a los datos puede no llegar a ese umbral. Deja la decisión fundada por escrito, porque ante un incidente le corresponde al responsable acreditar que sus medidas de seguridad existían y funcionaban (artículo 14 quinquies).
Ejemplos hipotéticos de lo que sí es una vulneración:
Una pyme de 40 trabajadores envía por error la planilla de remuneraciones a un cliente: comunicación no autorizada.
Un ataque de ransomware cifra el servidor de un centro médico y las fichas quedan inaccesibles: puede constituir pérdida de datos sensibles de salud aunque nadie las haya copiado; el artículo 34 quáter, letra f), habla de vulneraciones que afecten la confidencialidad, la disponibilidad o la integridad de los datos.
Roban de un auto el notebook sin cifrar de un vendedor con la base de clientes: posible filtración.
Un ex trabajador sigue entrando al sistema de clientes porque nadie desactivó su usuario: acceso no autorizado.
Un proveedor de servicios en la nube deja expuesta una carpeta con contratos de clientes: vulneración en manos de un encargado de tratamiento, que debe reportarla al responsable (artículo 15 bis).
¿Cuándo hay que avisar también a los afectados?
El inciso tercero del artículo 14 sexies agrega un segundo aviso, esta vez a los propios titulares, cuando la vulneración se refiere a tres tipos de datos. El aviso debe ir en lenguaje claro y sencillo e indicar qué datos se afectaron, las posibles consecuencias y las medidas de solución o resguardo adoptadas.
La notificación se hace a cada titular afectado. Si eso no es posible, se publica un aviso en un medio de comunicación social masivo y de alcance nacional. Cuando corresponda, por ejemplo, con menores de 14 años, el aviso se hace a través de sus representantes.
Datos afectados
Ejemplos
Reporte a la Agencia
Aviso a cada afectado
Datos personales sensibles (artículo 2, letra g)
Salud, biométricos, afiliación sindical, situación socioeconómica, origen étnico, vida sexual
Sí, si hay riesgo razonable
Sí
Datos de niños y niñas menores de 14 años
Fichas de alumnos, inscripciones de un club deportivo
Sí, si hay riesgo razonable
Sí, a través de sus representantes cuando corresponda
Obligaciones económicas, financieras, bancarias o comerciales
Deudas, créditos, morosidad, historial de pagos
Sí, si hay riesgo razonable
Sí
Otros datos personales
Nombre, RUT, correo, teléfono, dirección
Sí, si hay riesgo razonable
El artículo 14 sexies no lo exige
El registro de vulneraciones: qué debe contener
El inciso segundo del artículo 14 sexies obliga a registrar las comunicaciones de vulneraciones. No basta con avisar: tiene que quedar constancia ordenada, y omitir ese registro también es infracción grave (artículo 34 ter, letra k). El registro debe describir:
La naturaleza de la vulneración: qué pasó y cómo.
Sus efectos.
Las categorías de datos afectadas.
El número aproximado de titulares afectados.
Las medidas adoptadas para gestionarla y para evitar incidentes futuros.
Práctica recomendada
Por qué
Anotar también los incidentes que decidiste no reportar, con la razón
Demuestra que evaluaste el riesgo razonable
Fijar en el contrato de encargo de tratamiento un plazo para que el proveedor te avise
El artículo 15 bis obliga al encargado a reportarte, pero no fija plazo
Guardar las evidencias técnicas junto al registro
El artículo 14 quinquies te pone la carga de acreditar tus medidas de seguridad
Ley 21.663 y Ley 21.719: ¿qué relación tienen?
Son leyes distintas, con autoridades distintas. La Ley 21.663, Marco de Ciberseguridad, obliga a las instituciones que prestan servicios esenciales (artículo 4) a reportar al CSIRT Nacional los ciberataques e incidentes de ciberseguridad que puedan tener efectos significativos (artículos 9 y 27), a través de la plataforma de reporte de la Agencia Nacional de Ciberseguridad, como dispone su reglamento de reporte de incidentes (Decreto Supremo 295 de 2024) y lo recogen las instrucciones generales de esa Agencia. Los operadores de importancia vital (artículo 6) tienen además deberes específicos (artículo 8).
La ley de protección de datos, en cambio, se aplica a todo responsable que trate datos personales, sea o no un servicio esencial. El último inciso del artículo 14 sexies aclara que sus deberes de información no obstan a los que fijen otras leyes: si tu empresa está obligada por ambas, un mismo incidente puede exigir los dos reportes. Y cuando por unos mismos hechos y fundamentos jurídicos se pudiera sancionar por esta ley y por otra, se impone la sanción de mayor gravedad (artículo 37, inciso final).
Esta guía no resume los plazos ni el detalle del reporte de la Ley 21.663. Si tu empresa podría ser un servicio esencial o un operador de importancia vital, revisa el texto oficial de la Ley 21.663 en la BCN y su reglamento de reporte de incidentes.
¿Hay un plazo de 72 horas para notificar una brecha de seguridad?
No en la ley chilena de protección de datos. El artículo 14 sexies dice "sin dilaciones indebidas" y "por los medios más expeditos posibles". No fija horas ni días. Si ves la cifra de 72 horas en una guía, revisa de qué norma sale: puede venir de otro régimen, con sus propios plazos, destinatarios y obligados.
"Sin dilaciones indebidas" no es una holgura: cualquier demora tiene que tener una razón que puedas explicar. En la práctica, conviene no esperar a cerrar la investigación técnica para reportar: informa lo que sabes y deja constancia de lo que falta por confirmar.
Otro punto práctico: el Decreto 662 (artículo 3, letra g), al regular el programa de cumplimiento del modelo de prevención, permite a la Agencia fijar por instrucción general el mecanismo para estas comunicaciones. A octubre de 2026 la Agencia aún no está plenamente instalada, así que lo prudente es tener definido desde ya quién reporta y qué información se entrega.
Sanciones por no reportar una filtración de datos
La ley sanciona dos conductas distintas. La omisión simple de la comunicación o del registro es grave. La omisión deliberada de la comunicación, es decir, saber de la vulneración y decidir callarla, es gravísima. Aparte, no tener medidas de seguridad adecuadas es otra infracción grave (artículo 34 ter, letra j).
Atenuantes (artículo 36): reparar o llegar a acuerdos con los afectados, colaborar con la investigación de la Agencia, no tener sanciones previas, autodenunciarse informando las medidas adoptadas, y haber cumplido diligentemente los deberes de dirección y supervisión, lo que se acredita con el certificado del modelo de prevención (artículo 51).
Agravantes (artículo 36): la reincidencia, el carácter continuado de la infracción y haber puesto en riesgo la seguridad de los derechos y libertades de los titulares.
Omitir las comunicaciones o los registros de una vulneración
Grave
34 ter, letra k
10.000 UTM
Vulnerar las obligaciones de seguridad
Grave
34 ter, letra j
10.000 UTM
Omitir en forma deliberada la comunicación de una vulneración
Gravísima
34 quáter, letra f
20.000 UTM
Protocolo mínimo ante una vulneración de seguridad
El artículo 49 pide que el modelo de prevención de infracciones incluya mecanismos de reporte a la autoridad para el caso del artículo 14 sexies, y su primer elemento mínimo es el Delegado de Protección de Datos Personales (DPO) (artículo 49 y artículo 6 del Decreto 662), que es quien coordina este protocolo. Una versión mínima:
Paso
Qué hacer
Responsable sugerido
1. Detectar y escalar
Cualquier trabajador o proveedor avisa de inmediato por un canal conocido
Todos, incluidos los proveedores que tratan datos por tu cuenta
Qué datos, cuántos titulares, qué categorías y si hay riesgo razonable
Delegado de Protección de Datos Personales
4. Reportar a la Agencia
Por el medio más expedito y sin dilaciones indebidas
Delegado, con la gerencia
5. Avisar a los afectados
Si hay datos sensibles, de menores de 14 años o sobre obligaciones económicas, financieras, bancarias o comerciales, en lenguaje claro
Delegado y comunicaciones
6. Registrar
Naturaleza, efectos, categorías, número de afectados y medidas
Delegado
7. Revisar otras leyes
Verificar si aplica la Ley 21.663 u otro deber de información
Delegado y asesoría legal
8. Corregir
Medidas para evitar que se repita y prueba del protocolo
Gerencia y tecnología
Preguntas frecuentes
¿Cuál es el plazo para notificar una filtración de datos personales en Chile?+
La Ley 21.719 no fija un número de horas. El artículo 14 sexies de la Ley 19.628 reformada exige reportar a la Agencia de Protección de Datos Personales por los medios más expeditos posibles y sin dilaciones indebidas, desde el 1 de diciembre de 2026. Cualquier demora debe tener una razón que puedas explicar.
¿Toda filtración de datos se debe reportar a la Agencia?+
Se reportan las vulneraciones de seguridad que causan destrucción, filtración, pérdida, alteración, comunicación o acceso no autorizado a datos personales cuando existe un riesgo razonable para los derechos y libertades de los titulares. Si concluyes que no hay ese riesgo, deja la evaluación por escrito, porque ante un incidente te corresponde acreditar tus medidas de seguridad.
¿Cuándo debo avisar a los clientes o trabajadores afectados?+
Cuando la vulneración afecta datos personales sensibles (salud, biométricos, afiliación sindical, situación socioeconómica, entre otros), datos de niños y niñas menores de 14 años o datos sobre obligaciones económicas, financieras, bancarias o comerciales. El aviso va a cada titular, en lenguaje claro, con los datos afectados, las posibles consecuencias y las medidas adoptadas. Si no es posible avisar a cada uno, se publica en un medio masivo de alcance nacional.
¿Qué pasa si mi proveedor sufre la filtración?+
Si el proveedor trata datos por tu cuenta, es un encargado de tratamiento y el artículo 15 bis lo obliga a reportarte la vulneración. El deber de reportar a la Agencia sigue siendo tuyo como responsable. Como la ley no fija el plazo del proveedor, conviene establecerlo en el contrato de encargo de tratamiento.
¿Qué multa tiene no reportar una filtración de datos?+
Omitir las comunicaciones o los registros de una vulneración es infracción grave (artículo 34 ter, letra k), con multa de hasta 10.000 UTM. Omitir la comunicación en forma deliberada es gravísima (artículo 34 quáter, letra f), con multa de hasta 20.000 UTM según el artículo 35.
El 1 de diciembre de 2026 la ley será plenamente exigible
La puesta en marcha toma alrededor de un mes; cerrar todas las brechas depende de cada empresa. En una demostración de 30 minutos revisamos tu caso: qué tratamientos realizas, qué brechas tienes y por dónde comenzar.