La Ley 21.719 NO fija un plazo en horas para reportar una brecha: el art. 14 sexies exige comunicar «por los medios más expeditos posibles y sin dilaciones indebidas». Las 72 horas son del RGPD europeo, no del texto chileno. Lo que sí exige es reportar a la Agencia toda vulneración con riesgo razonable para los titulares, llevar un registro de esas comunicaciones y avisar además a los propios titulares en tres casos. Protocolo listo por $4.990.
| Lo que se publica en Chile | Lo que dice el artículo |
|---|---|
| Tienes 72 horas para reportar una brecha de seguridad. | Art. 14 sexies: hay que comunicarla «por los medios más expeditos posibles y sin dilaciones indebidas». No hay ningún número de horas en el texto chileno. |
| Las 72 horas son el estándar que aplica en Chile. | Las 72 horas son del art. 33 del RGPD europeo. La Ley 21.719 no las recogió. |
| Basta con avisarle a la Agencia. | Art. 14 sexies inc. 3: cuando la vulneración afecta datos sensibles, datos de niñas, niños y adolescentes o datos económicos, financieros, bancarios o comerciales, hay que comunicarla además a los titulares afectados. |
| Como no hay plazo fijo, no hay urgencia real. | El deber de reportar del art. 14 sexies se califica como infracción grave si se incumple, y el tramo grave del art. 35 llega a 10.000 UTM. Además hay que llevar registro de las comunicaciones efectuadas (art. 14 sexies inc. 2). |
| Un estándar abierto es imposible de cumplir. | El art. 14 sexies fija un estándar abierto («sin dilaciones indebidas»), y se cumple fijando por escrito un plazo interno corto y respetándolo: eso es lo que después permite sostener ante la Agencia que no hubo dilación indebida. |
El art. 14 sexies no fija horas: obliga a comunicar «por los medios más expeditos posibles y sin dilaciones indebidas». Que no haya un número no lo hace más laxo — obliga a tener el procedimiento listo antes del incidente, porque la demora se juzga después.
A los titulares afectados cuando la vulneración recae sobre datos sensibles, sobre datos de menores de catorce años, o sobre datos económicos, financieros, bancarios o comerciales (art. 14 sexies inc. 3).
Sí: el art. 14 sexies inc. 2 obliga a llevar un registro de las comunicaciones de vulneraciones. Ese es uno de los dos únicos registros que la ley contempla — el otro (art. 39) lo lleva la Agencia, no tú.
Es infracción grave, con tope de 10.000 UTM. Y se combina con el art. 14 quinquies: ante el incidente, la carga de probar que tenías medidas de seguridad existentes y funcionando es tuya.
Contenido y documentos tipo de carácter referencial. No constituye asesoría legal.