Vulneración de datos personales: qué hacer primero
Una guía para ordenar las primeras decisiones: contener el incidente, reunir hechos mínimos, evaluar riesgo y documentar comunicaciones.
Contenido informativo con revisión jurídica provisional. No constituye asesoría jurídica ni certifica la situación de una empresa.
Primero contiene; después completa el análisis
Si la exposición sigue activa, la prioridad es reducir el daño: aislar accesos comprometidos, revocar credenciales, preservar registros y activar a las personas responsables de seguridad, privacidad y continuidad.
La evaluación jurídica y las comunicaciones necesitan hechos confiables, pero no deberían retrasar una contención razonable. Tampoco conviene borrar rastros o modificar sistemas sin preservar la evidencia necesaria para investigar.
Reúne los hechos mínimos sin difundir el incidente
El equipo necesita una versión controlada de lo ocurrido. Los detalles sensibles no deberían copiarse en formularios públicos, correos masivos o herramientas que no estén autorizadas para gestionar incidentes.
- Fecha y forma de detección.
- Sistemas, procesos y responsables involucrados.
- Categorías aproximadas de datos y personas afectadas.
- Estado de la exposición y medidas de contención aplicadas.
- Posibles consecuencias y factores que aumentan o reducen el riesgo.
- Terceros, encargados o autoridades que deben coordinarse.
Distingue registro interno, comunicación a la Agencia y aviso a titulares
El artículo 14 sexies —el deber de reportar vulneraciones— contempla obligaciones relacionadas con vulneraciones de medidas de seguridad. La decisión no debería reducirse a “hubo un incidente, entonces siempre se notifica igual”. Deben evaluarse el tipo de dato, la afectación, el riesgo, las medidas aplicadas y las condiciones previstas por la ley.
El registro interno, la eventual comunicación a la Agencia y el aviso a las personas son decisiones relacionadas, pero no idénticas. Cada una necesita fundamento, responsables y evidencia.
La ley chilena no establece una regla general de 72 horas
El texto utiliza el estándar “sin dilaciones indebidas” para las comunicaciones que correspondan. Importar automáticamente la referencia de 72 horas de otro régimen puede generar una instrucción incorrecta.
La empresa necesita actuar con urgencia, registrar tiempos y evitar demoras injustificadas. El momento concreto y el contenido de una comunicación deben revisarse según los hechos y las reglas aplicables.
Documenta decisiones, no sólo el resultado final
Un expediente útil conserva detección, contención, evaluación, participantes, comunicaciones, decisiones y medidas correctivas. También explica por qué se notificó o por qué se concluyó que una comunicación no correspondía.
Después del incidente, las acciones correctivas deberían conectarse con inventario, proveedores, accesos, retención, capacitación y continuidad. Cerrar el ticket técnico no necesariamente cierra el aprendizaje de protección de datos.
Qué preparar antes de que ocurra
La respuesta mejora cuando los roles y canales están definidos antes. Un simulacro permite descubrir quién toma decisiones, dónde están los registros y cómo se coordina a proveedores.
- Matriz simple de responsables y suplencias.
- Canal interno para reportar incidentes.
- Criterios de clasificación y escalamiento.
- Contactos de proveedores críticos y asesoría especializada.
- Plantilla de expediente y registro de decisiones.
- Simulacros periódicos con acciones correctivas.
Lleva la guía a la práctica
Herramientas relacionadas
Respuestas breves
Preguntas frecuentes
¿Toda vulneración debe notificarse de la misma forma?
No. Deben evaluarse las condiciones legales, los datos, la afectación, el riesgo y las medidas. Registro, comunicación a la Agencia y aviso a titulares son decisiones relacionadas pero distintas.
¿Existe un plazo general de 72 horas en la Ley 21.719?
No. La ley chilena usa el estándar “sin dilaciones indebidas” para las comunicaciones que correspondan; no debe importarse automáticamente una regla general de 72 horas.
¿Qué hago si la filtración sigue activa?
Prioriza contención, preservación de evidencia y activación del equipo técnico y profesional correspondiente antes de completar una herramienta orientativa.
Trazabilidad
Fuentes y versión
- Ley N.º 21.719 — texto con vigencia diferida al 1 de diciembre de 2026
Biblioteca del Congreso Nacional de Chile · consultada el 20 de julio de 2026
Historial de cambios
- v1.0.0 · 20 de julio de 2026 — Primera publicación sobre respuesta inicial y artículo 14 sexies.
La fecha de actualización cambia sólo cuando existe una modificación sustantiva del contenido. Consulta nuestra metodología editorial.