Guía · Ley 21.719

Brechas de seguridad: cuándo y cómo notificar bajo la Ley 21.719

Actualizada el 21 de julio de 2026

Sí: ante una vulneración de seguridad de datos personales, la Ley 21.719 obliga a notificar a la Agencia "por los medios más expeditos posibles y sin dilaciones indebidas" cuando exista un riesgo razonable para los titulares (art. 14 sexies). No fija un plazo en horas. Además, debes avisar a los titulares afectados cuando la brecha involucre datos sensibles, de niños menores de 14 años o datos económicos, financieros, bancarios o comerciales.

¿Cuándo hay que notificar una brecha?

El hecho que gatilla la obligación es una vulneración de las medidas de seguridad que ocasione la destrucción, filtración, pérdida o alteración accidental o ilícita de datos personales, o un acceso o comunicación no autorizados. La notificación a la Agencia procede cuando esa vulneración implica un riesgo razonable para los derechos y libertades de los titulares (art. 14 sexies).

¿En qué plazo y a quién se notifica?

A la Agencia: por los medios más expeditos posibles y sin dilaciones indebidas. La ley no establece un plazo numérico en horas o días (art. 14 sexies).

Importante: la Ley 21.719 no fija las "72 horas" del RGPD (art. 33 del RGPD, referencia comparada no vinculante en Chile), ni se rige por el reporte a la ANCI de la Ley 21.663, que es un marco de ciberseguridad distinto, con otra autoridad. No trasladar esos plazos a la Ley 21.719.

A los titulares: la comunicación es obligatoria cuando la vulneración involucre datos sensibles, datos de niños o niñas menores de 14 años, o datos de obligaciones económicas, financieras, bancarias o comerciales. Debe hacerse en lenguaje claro y sencillo, a cada titular afectado o, si no es posible, mediante aviso en un medio de comunicación masivo de alcance nacional (art. 14 sexies).

¿Qué hay que registrar de cada incidente?

• La naturaleza de la vulneración y sus efectos.
• Las categorías de datos afectados.
• El número aproximado de titulares afectados.
• Las medidas adoptadas para gestionarla y prevenir futuros incidentes.

¿Qué pasa si no notificas?

Omitir las comunicaciones o los registros de una vulneración es una infracción grave (art. 34 ter). Omitir deliberadamente la comunicación de una vulneración es una infracción gravísima (art. 34 quáter), la categoría con las multas más altas.

Material informativo elaborado por el equipo de iDataSeguro sobre el texto oficial de la Ley 21.719 (Biblioteca del Congreso Nacional). No constituye asesoría legal: consulta a un abogado para tu caso particular.