El Nuevo Marco Jurídico de Ciberseguridad y Protección de Datos
El ecosistema digital chileno ha dejado de ser un "terreno de buenas prácticas" para convertirse en un entorno de estricto cumplimiento legal. Con la publicación de la Ley N° 21.719 y la Ley N° 21.663 (Marco de Ciberseguridad), Chile se posiciona al nivel del Reglamento General de Protección de Datos (RGPD) europeo.
Para los departamentos de Tecnologías de la Información (TI), Legal y Compliance, esto implica una transición crítica: pasar de la reacción técnica a la gestión de riesgos proactiva. En este artículo, desglosamos los pilares operativos que tu organización debe implementar antes de diciembre de 2026.
1. Ley 21.719: Protección de Datos y el Principio de Responsabilidad Proactiva
La Ley 21.719 moderniza la normativa de privacidad en Chile introduciendo el concepto de Accountability. Ya no basta con proteger los datos; ahora las empresas deben demostrar documentalmente que sus procesos son seguros.
Claves del cumplimiento operativo:
De ARCO (Acceso, Rectificación, Cancelación, Oposición) a ARCOP: Se suman los derechos de Portabilidad y el derecho a no ser objeto de decisiones basadas únicamente en IA o perfiles automatizados.
Sanciones: La nueva Agencia de Protección de Datos podrá aplicar multas de hasta 20.000 UTM (~USD 1.550.000) por infracciones gravísimas.
Vigencia: Tienes hasta diciembre de 2026 para que tus sistemas sean compliant al 100%.
El Corazón de la Gestión: La Evaluación de Impacto (AIPD)
El Análisis de Impacto en la Protección de Datos (AIPD) es ahora una pieza obligatoria en el flujo de proyectos. Debes realizarlo sí o sí en casos de:
Scoring automatizado o perfiles de clientes.
Tratamiento masivo de datos.
Uso de datos sensibles (biometría, salud, política).
Monitoreo sistemático en espacios públicos.
Tip de Estrategia: Documentar la necesidad y proporcionalidad del tratamiento mediante técnicas de cifrado y seudonimización no es opcional; es tu defensa legal ante una fiscalización.
2. Ley 21.663: Resiliencia y la Nueva Agencia Nacional de Ciberseguridad (ANCI)
Chile es el primer país de Latinoamérica en contar con una Ley Marco de Ciberseguridad integral. Esta norma clasifica a las empresas en dos categorías críticas: Servicios Esenciales y Operadores de Importancia Vital (OIV).
Obligaciones para Gerentes de TI y CISO (Chief Information Security Officer o Director de Seguridad de la Información):
Para gestionar el riesgo cibernético bajo este nuevo estándar, la ley exige:
Implementación de un Sistema de Gestión de Seguridad de la Información (SGSI): Adopción de marcos internacionales como ISO/IEC 27001.
Continuidad Operativa: Planes de BCP (Business Continuity Plan) y DRP (Disaster Recovery Plan) auditables.
Reporte de Incidentes (Ventana de 3 horas): Ante un ciberataque con impacto significativo, se debe enviar una "alerta temprana" al CSIRT Nacional (equipo de respuesta a incidentes de seguridad informática) en un plazo máximo de 3 horas.
3. Convergencia con el Compliance Penal (Ley 21.595)
La gestión de riesgos de datos ya no vive aislada en el servidor. La Ley de Delitos Económicos (21.595) establece que las vulneraciones de datos y delitos informáticos pueden derivar en responsabilidad penal para la empresa.
Si el delito ocurre por un "defecto de organización" (falta de un modelo de prevención adecuado), el Directorio queda expuesto. La integración de los riesgos de TI en la Matriz de Riesgos Corporativa es hoy una prioridad de gobernanza.
Conclusión: La ventana de oportunidad hacia 2026
Implementar una gestión de riesgos integral que articule el AIPD, el SGSI y el Modelo de Prevención de Delitos no debe verse como un gasto, sino como una ventaja competitiva. En un mercado que exige confianza, la "Privacidad por Diseño" es el activo que viabiliza la innovación segura y protege el patrimonio de la organización.
