Ley 21.663 y Ley 21.719: cómo se relacionan ciberseguridad y datos personales

Muchas organizaciones chilenas quedan sujetas a dos leyes nuevas a la vez: la Ley 21.719, que reforma la Ley 19.628 de protección de datos personales, y la Ley 21.663, Ley Marco de Ciberseguridad. Esta guía explica dónde se cruzan. Para el detalle completo de la Ley 21.663 revisa la guía de Ley 21.663 de Skarn.

Dos leyes, dos autoridades

• Ley 21.719: aplica a todo responsable que trate datos personales. La fiscaliza la Agencia de Protección de Datos Personales.
• Ley 21.663: aplica a instituciones que prestan servicios esenciales (energía, agua, telecomunicaciones, infraestructura digital, servicios de TI gestionados por terceros, banca, salud, entre otros) y a los operadores de importancia vital. La fiscaliza la Agencia Nacional de Ciberseguridad (ANCI).

El punto de cruce: el incidente de seguridad

La Ley 21.663 considera de efecto significativo todo incidente que afecte sistemas informáticos que contengan datos personales (Art. 27). Y la Ley 21.719 obliga a reportar las vulneraciones de seguridad que afecten datos personales. Un mismo incidente puede activar ambos deberes:

• Ley 21.719 (Art. 14 sexies): reportar a la Agencia de Protección de Datos, por los medios más expeditos posibles y sin dilaciones indebidas, cuando exista un riesgo razonable para los derechos de los titulares. Si afecta datos sensibles, datos de niños y niñas menores de 14 años o datos financieros, también hay que comunicarlo a los titulares.
• Ley 21.663 (Art. 9): si eres institución obligada, enviar al CSIRT Nacional una alerta temprana en un máximo de 3 horas, una actualización dentro de 72 horas (24 horas para operadores de importancia vital con su servicio afectado) y un informe final dentro de 15 días corridos.

El Art. 14 sexies aclara que sus deberes de información no excluyen los que establezcan otras leyes: cumplir uno no te libera del otro.

Medidas de seguridad: una sola base para ambas leyes

La Ley 21.719 exige medidas técnicas y organizativas proporcionales al riesgo, incluyendo un proceso de verificación y evaluación regular de su eficacia (Art. 14 quinquies). La Ley 21.663 exige aplicar permanentemente medidas para prevenir, reportar y resolver incidentes (Art. 7). Las pruebas de penetración son una forma concreta de demostrar esa verificación periódica: revisa la metodología de pentest de Skarn y sus servicios de pentest web y API.

Qué hacer en la práctica

1. Determina si, además de la Ley 21.719, tu organización está sujeta a la Ley 21.663.
2. Diseña un único procedimiento de gestión de incidentes con los dos flujos de reporte: Agencia de Protección de Datos y, si corresponde, CSIRT Nacional.
3. Registra cada vulneración: naturaleza, efectos, categorías de datos, número aproximado de titulares y medidas adoptadas (Art. 14 sexies).
4. Verifica periódicamente tus controles de seguridad y guarda la evidencia.

Cómo te ayudamos

LeySeguraDigital cubre el lado de protección de datos: registro de vulneraciones, evidencia para la Agencia y modelo de prevención de infracciones. La ciberseguridad técnica (Ley 21.663 y pentest) la aborda Skarn; conoce todas sus soluciones en skarn.cl/productos.

Fuentes: textos oficiales de la Ley 21.663 y de la Ley 21.719 en la Biblioteca del Congreso Nacional (bcn.cl/leychile).