Qué hacer ante una filtración de datos personales con la Ley 21.719
Una planilla de clientes enviada a la persona equivocada, un computador robado, una contraseña comprometida o una base de datos expuesta pueden convertirse en una vulneración de seguridad de datos personales.
Con la Ley N.º 21.719, las empresas tendrán obligaciones específicas frente a estos incidentes. Pero eso no significa que toda filtración deba notificarse de la misma forma ni que exista un plazo general de 72 horas para hacerlo.
En este artículo te explicamos qué debe hacer una Pyme cuando detecta una vulneración de datos personales, cuándo corresponde reportarla y en qué casos también hay que avisar a las personas afectadas.
💡 Actualización legal: al 28 de octubre de 2026, la Ley 21.719 mantiene fijada su entrada en vigencia para el 1 de diciembre de 2026. Existe un proyecto en tramitación que propone postergarla hasta diciembre de 2027, pero la modificación todavía no está vigente.
1) ¿Qué se considera una filtración de datos personales?
La ley utiliza un concepto más amplio que una simple “filtración”.
Existe una vulneración a las medidas de seguridad cuando un incidente provoca, por ejemplo:
destrucción de datos personales
filtración o pérdida
alteración accidental o ilícita
comunicación de datos a personas no autorizadas
acceso no autorizado a la información
Por eso, no tiene que existir necesariamente un ataque informático.
También puede ocurrir si un trabajador envía por error una base de clientes a un destinatario equivocado, se pierde un notebook con información de la empresa o un archivo queda publicado en internet sin las restricciones de acceso correspondientes.
Lo importante es identificar qué ocurrió, qué información quedó comprometida y quién pudo acceder a ella.
2) ¿Qué hacer apenas detectas una vulneración?
Lo primero es intentar contener el incidente.
Dependiendo del caso, puede significar:
bloquear una cuenta comprometida
cambiar contraseñas o credenciales
retirar un archivo que quedó expuesto
restringir accesos
recuperar un equipo
contactar inmediatamente al proveedor involucrado
Después hay que determinar el alcance.
La empresa debería tratar de responder, al menos, estas preguntas:
¿qué datos fueron afectados?
¿de cuántas personas?
¿durante cuánto tiempo estuvieron expuestos?
¿alguien alcanzó a acceder a ellos?
¿existen datos sensibles o información financiera?
¿el incidente ya fue contenido?
No conviene esperar varios días para recién comenzar esta revisión.
3) ¿Toda filtración debe reportarse a la Agencia?
No.
La Ley 21.719 establece que el responsable debe reportar a la Agencia de Protección de Datos Personales aquellas vulneraciones que generen un riesgo razonable para los derechos y libertades de las personas afectadas.
Por eso, una de las primeras tareas después de contener el incidente es evaluar su riesgo.
No es igual que se exponga durante unos minutos una lista con nombres que una base que contenga contraseñas, información bancaria, antecedentes médicos o documentos de identidad.
Entre los factores que conviene revisar están:
tipo de datos comprometidos
cantidad de personas afectadas
posibilidad de identificar a los titulares
duración de la exposición
quién pudo acceder a la información
posibles consecuencias para las personas
medidas de protección que ya existían
💡 Importante: que haya ocurrido un incidente no significa automáticamente que deba reportarse a la Agencia. La ley exige evaluar si existe un riesgo razonable para los derechos y libertades de los titulares.
4) ¿Hay 72 horas para notificar una filtración?
No.
La Ley 21.719 chilena no establece un plazo general de 72 horas para reportar estas vulneraciones.
La obligación es informar a la Agencia por los medios más expeditos posibles y sin dilaciones indebidas cuando se cumplen las condiciones que exige la ley.
Esto es importante porque actualmente se suele simplificar la regla diciendo que toda empresa tiene “72 horas para notificar una brecha”, pero esa no es la fórmula que establece la normativa chilena.
Tampoco significa que la empresa pueda esperar indefinidamente.
Si existe una posible vulneración, hay que actuar con rapidez para contenerla, determinar su alcance y decidir si corresponde reportarla.
5) ¿Qué debe registrar la empresa?
La respuesta ante una filtración no debería quedar solamente en correos internos o conversaciones informales.
La ley exige registrar las comunicaciones relacionadas con estos incidentes.
El registro debe considerar antecedentes como:
naturaleza de la vulneración
efectos que produjo
categorías de datos afectadas
número aproximado de personas afectadas
medidas adoptadas para gestionar el incidente
acciones tomadas para evitar que vuelva a ocurrir
Esto también obliga a que la empresa tenga cierto orden interno.
Si nadie sabe quién recibe el aviso, quién analiza el riesgo o quién toma la decisión de reportar, reaccionar frente a una filtración puede volverse mucho más difícil.
6) ¿Cuándo hay que avisar también a las personas afectadas?
En algunos casos, además de informar a la Agencia, la empresa deberá comunicar directamente la vulneración a las personas cuyos datos resultaron afectados.
La Ley 21.719 exige esta comunicación cuando el incidente involucra:
datos personales sensibles
datos de niños y niñas menores de 14 años
datos relativos a obligaciones económicas, financieras, bancarias o comerciales
La comunicación debe realizarse en un lenguaje claro y sencillo e informar, entre otras cosas:
qué datos fueron afectados
qué consecuencias podría generar el incidente
qué medidas se adoptaron para solucionarlo o reducir sus efectos
La regla es comunicarlo a cada titular afectado.
Si eso no fuera posible, la ley contempla la difusión de un aviso mediante un medio de comunicación social masivo y de alcance nacional.
7) ¿Qué pasa si la filtración ocurrió en un proveedor?
También importa.
Muchas Pymes entregan datos personales a proveedores que prestan servicios de:
remuneraciones
almacenamiento en la nube
ecommerce
CRM
email marketing
soporte tecnológico
Si el incidente ocurre en un tercero que trata datos por cuenta de la empresa, la Ley 21.719 establece que ese encargado debe reportar la vulneración al responsable.
Por eso, no basta con pensar únicamente en la seguridad dentro de la empresa.
También conviene revisar qué proveedores manejan datos personales y qué dicen los contratos sobre seguridad, incidentes y comunicación de vulneraciones.
8) Checklist: qué hacer ante una filtración
Si detectas un incidente, revisa:
¿Ya contuvimos la vulneración?
¿Sabemos qué datos fueron afectados?
¿Sabemos cuántas personas pueden estar involucradas?
¿Hay datos sensibles, financieros o de menores de 14 años?
¿Evaluamos el riesgo para los titulares?
¿Corresponde informar a la Agencia?
¿Tenemos que avisar también a las personas afectadas?
¿Registramos lo ocurrido y las medidas adoptadas?
¿Hay algún proveedor externo involucrado?
¿Sabemos qué debemos cambiar para evitar que vuelva a pasar?
Mientras más preparado esté este procedimiento antes del incidente, más fácil será responder cuando realmente ocurra.
👉 Si todavía estás ordenando cómo tu empresa recopila, utiliza y conserva información personal, revisa también qué debe contener una política de privacidad para Pymes con la Ley 21.719.
Preguntas frecuentes
¿Toda filtración de datos personales debe notificarse?
No. El reporte a la Agencia corresponde cuando la vulneración genera un riesgo razonable para los derechos y libertades de los titulares.
¿Tengo 72 horas para informar una brecha?
No. La Ley 21.719 no establece un plazo general de 72 horas.
Cuando corresponde reportar, la obligación es hacerlo por los medios más expeditos posibles y sin dilaciones indebidas.
¿Siempre tengo que avisar a los clientes afectados?
No necesariamente.
La ley exige comunicar directamente al titular cuando la vulneración afecta datos personales sensibles, datos de niños y niñas menores de 14 años o información relativa a obligaciones económicas, financieras, bancarias o comerciales.
¿Qué pasa si el incidente fue responsabilidad de un proveedor?
Si un tercero trata datos por cuenta de la empresa y sufre una vulneración a las medidas de seguridad, debe informarla al responsable. A partir de ahí habrá que evaluar qué otras comunicaciones corresponden según el incidente.
En resumen
Una filtración de datos personales no debería manejarse solamente como un problema técnico.
Cuando ocurre, la empresa debe ser capaz de contener el incidente, identificar los datos afectados, evaluar el riesgo, registrar lo sucedido y realizar las comunicaciones que correspondan.
Y hay un punto importante: la Ley 21.719 no fija un plazo general de 72 horas para notificar una vulneración. Cuando corresponde reportarla, exige hacerlo por los medios más expeditos posibles y sin dilaciones indebidas.
Si tu empresa sufrió una vulneración de datos personales y no tienes claro si debes reportarla o cómo actuar, puedes hablar con el abogado de Lexly para revisar tu caso.