La Ley 21.719 no establece un plazo de 72 horas
Busca la expresión en el texto oficial y no la encontrarás: no aparece ni una sola vez. El artículo 14 sexies exige reportar «por los medios más expeditos posibles y sin dilaciones indebidas». Las 72 horas provienen del Reglamento General de Protección de Datos europeo, que no rige en Chile.
Es probablemente el dato peor citado de toda la ley. Y el error tiene consecuencias prácticas: quien planifica su procedimiento asumiendo un plazo de 72 horas puede llegar tarde, porque el estándar chileno —»sin dilaciones indebidas»— puede ser más exigente según las circunstancias.
Qué dice el artículo 14 sexies
«El responsable deberá reportar a la Agencia, por los medios más expeditos posibles y sin dilaciones indebidas, las vulneraciones a las medidas de seguridad que ocasionen la destrucción, filtración, pérdida o alteración accidental o ilícita de los datos personales que trate o la comunicación o acceso no autorizados a dichos datos, cuando exista un riesgo razonable para los derechos y libertades de los titulares.»
Artículo 14 sexies, Ley N° 21.719
Cuándo hay que reportar
No toda incidencia se reporta. El deber se activa cuando concurren dos elementos:
Vulneración de las medidas de seguridad
Que ocasione destrucción, filtración, pérdida o alteración —accidental o ilícita— de datos personales, o comunicación o acceso no autorizados a ellos.
Riesgo razonable para los titulares
Que exista riesgo razonable para sus derechos y libertades. Este es el filtro que evita reportar cada incidencia menor.
El deber de registro que se olvida
Además de comunicar, el responsable debe registrar estas comunicaciones, describiendo:
- La naturaleza de las vulneraciones sufridas.
- Sus efectos.
- Las categorías de datos y el número aproximado de titulares afectados.
- Las medidas adoptadas para gestionarlas y para precaver incidentes futuros.
Ese registro es la evidencia que una supervisión va a pedir. Sin él, demostrar que se cumplió el deber se vuelve muy difícil.
Datos sensibles y de menores: obligaciones reforzadas
Cuando las vulneraciones afecten datos personales sensibles o datos relativos a niños y niñas menores de catorce años, la ley agrega exigencias adicionales de comunicación.
Omitir deliberadamente el reporte es infracción gravísima
El artículo 34 quáter tipifica como gravísima la omisión deliberada de la comunicación de las vulneraciones a las medidas de seguridad. Techo: 20.000 UTM, ampliable por reincidencia.
Cómo prepararse
- Define quién declara que hubo vulneración y quién evalúa si existe riesgo razonable para los titulares. Esa decisión es la que más tiempo consume durante un incidente.
- Prepara la plantilla de reporte con los campos que exige el registro: naturaleza, efectos, categorías de datos, número aproximado de afectados y medidas.
- Establece el canal hacia la Agencia y verifica que esté operativo antes de necesitarlo.
- Ensaya el circuito. «Sin dilaciones indebidas» se juzga por lo que era razonable hacer, y eso se demuestra con procedimiento y práctica.
- Si además eres OIV bajo la Ley 21.663, coordina ambos circuitos: ahí sí hay plazo duro de 3 horas para la alerta temprana al CSIRT Nacional.
¿Cuántas horas tengo para notificar una brecha en Chile?
La ley no fija un número de horas. El artículo 14 sexies exige reportar por los medios más expeditos posibles y sin dilaciones indebidas. El plazo de 72 horas corresponde al reglamento europeo y no rige en Chile.
¿Debo reportar toda incidencia de seguridad?
No. El deber se activa cuando la vulneración ocasiona destrucción, filtración, pérdida, alteración o acceso no autorizado a datos personales y existe un riesgo razonable para los derechos y libertades de los titulares.
¿Hay que avisar también a los titulares afectados?
La ley establece obligaciones reforzadas cuando la vulneración afecta datos sensibles o datos de niños y niñas menores de catorce años. Conviene revisar el caso concreto y el reglamento cuando se publique.
¿Qué pasa si no reporto?
Omitir deliberadamente la comunicación es infracción gravísima según el artículo 34 quáter, con multa de hasta 20.000 UTM.
- Ley N° 21.719 — artículos 14 quinquies, 14 sexies y 34 quáter.
Revisado el 5 de agosto de 2026. Verificamos la ausencia de la expresión «setenta y dos» en el texto oficial completo. No constituye asesoría legal.