Seguridad y vulneracionesGuíaPara empresas

Vulneración de datos personales: qué hacer primero

Una guía para ordenar las primeras decisiones: contener el incidente, reunir hechos mínimos, evaluar riesgo y documentar comunicaciones.

Publicado Actualizado 8 min de lecturav1.0.0

Contenido informativo con revisión jurídica provisional. No constituye asesoría jurídica ni certifica la situación de una empresa.

Primero contiene; después completa el análisis

Si la exposición sigue activa, la prioridad es reducir el daño: aislar accesos comprometidos, revocar credenciales, preservar registros y activar a las personas responsables de seguridad, privacidad y continuidad.

La evaluación jurídica y las comunicaciones necesitan hechos confiables, pero no deberían retrasar una contención razonable. Tampoco conviene borrar rastros o modificar sistemas sin preservar la evidencia necesaria para investigar.

Reúne los hechos mínimos sin difundir el incidente

El equipo necesita una versión controlada de lo ocurrido. Los detalles sensibles no deberían copiarse en formularios públicos, correos masivos o herramientas que no estén autorizadas para gestionar incidentes.

  • Fecha y forma de detección.
  • Sistemas, procesos y responsables involucrados.
  • Categorías aproximadas de datos y personas afectadas.
  • Estado de la exposición y medidas de contención aplicadas.
  • Posibles consecuencias y factores que aumentan o reducen el riesgo.
  • Terceros, encargados o autoridades que deben coordinarse.

Distingue registro interno, comunicación a la Agencia y aviso a titulares

El artículo 14 sexies —el deber de reportar vulneraciones— contempla obligaciones relacionadas con vulneraciones de medidas de seguridad. La decisión no debería reducirse a “hubo un incidente, entonces siempre se notifica igual”. Deben evaluarse el tipo de dato, la afectación, el riesgo, las medidas aplicadas y las condiciones previstas por la ley.

El registro interno, la eventual comunicación a la Agencia y el aviso a las personas son decisiones relacionadas, pero no idénticas. Cada una necesita fundamento, responsables y evidencia.

La ley chilena no establece una regla general de 72 horas

El texto utiliza el estándar “sin dilaciones indebidas” para las comunicaciones que correspondan. Importar automáticamente la referencia de 72 horas de otro régimen puede generar una instrucción incorrecta.

La empresa necesita actuar con urgencia, registrar tiempos y evitar demoras injustificadas. El momento concreto y el contenido de una comunicación deben revisarse según los hechos y las reglas aplicables.

Documenta decisiones, no sólo el resultado final

Un expediente útil conserva detección, contención, evaluación, participantes, comunicaciones, decisiones y medidas correctivas. También explica por qué se notificó o por qué se concluyó que una comunicación no correspondía.

Después del incidente, las acciones correctivas deberían conectarse con inventario, proveedores, accesos, retención, capacitación y continuidad. Cerrar el ticket técnico no necesariamente cierra el aprendizaje de protección de datos.

Qué preparar antes de que ocurra

La respuesta mejora cuando los roles y canales están definidos antes. Un simulacro permite descubrir quién toma decisiones, dónde están los registros y cómo se coordina a proveedores.

  • Matriz simple de responsables y suplencias.
  • Canal interno para reportar incidentes.
  • Criterios de clasificación y escalamiento.
  • Contactos de proveedores críticos y asesoría especializada.
  • Plantilla de expediente y registro de decisiones.
  • Simulacros periódicos con acciones correctivas.

Lleva la guía a la práctica

Herramientas relacionadas

Respuestas breves

Preguntas frecuentes

¿Toda vulneración debe notificarse de la misma forma?

No. Deben evaluarse las condiciones legales, los datos, la afectación, el riesgo y las medidas. Registro, comunicación a la Agencia y aviso a titulares son decisiones relacionadas pero distintas.

¿Existe un plazo general de 72 horas en la Ley 21.719?

No. La ley chilena usa el estándar “sin dilaciones indebidas” para las comunicaciones que correspondan; no debe importarse automáticamente una regla general de 72 horas.

¿Qué hago si la filtración sigue activa?

Prioriza contención, preservación de evidencia y activación del equipo técnico y profesional correspondiente antes de completar una herramienta orientativa.

Trazabilidad

Fuentes y versión

Historial de cambios

  • v1.0.0 · 20 de julio de 2026Primera publicación sobre respuesta inicial y artículo 14 sexies.

La fecha de actualización cambia sólo cuando existe una modificación sustantiva del contenido. Consulta nuestra metodología editorial.

Continúa aprendiendo

Publicaciones relacionadas

Guías de implementaciónGuíaPara empresas 9 min

Ley 21.719: guía clara para empresas chilenas

Una explicación práctica del nuevo marco chileno: alcance, obligaciones principales y un orden razonable para comenzar la implementación.

Leer guía
Guías de implementaciónGuíaPara empresas 10 min

Cómo implementar la Ley 21.719 paso a paso

Un orden de implementación pensado para empresas que necesitan avanzar sin transformar la adecuación en un proyecto interminable.

Leer guía
Gobierno y conceptos claveGuíaPara empresas 7 min

Glosario de la Ley 21.719: qué significa cada término

La ley usa nombres de artículos y siglas que casi nadie recuerda de memoria. Aquí explicamos qué significa cada uno, en qué guía se usa y por qué importa.

Leer guía