Protocolo de brechas de seguridad: plantilla para Chile
Prepara un protocolo con responsables, acciones y un borrador de comunicación. Genera el documento sin registro y revísalo antes de incorporarlo a tu operación.
Preparación para la Ley 21.719: nuevo régimen desde el 1 de diciembre de 2026.
Datos de tu organización
Aparecerán en el encabezado y en la plantilla de comunicación a afectados.
PrivacidadWeb.cl genera templates orientativos basados en la Ley N° 21.719. No constituye asesoría legal.
Qué hacer ante una brecha de datos personales
Una respuesta útil necesita responsables y decisiones registradas. Las tareas pueden avanzar en paralelo: no esperes a cerrar toda la investigación para evaluar una comunicación que sea exigible.
- Contener y preservar evidencia. Restringe el acceso comprometido, activa al responsable de respuesta y registra la hora de detección. Conserva los registros necesarios para investigar sin ampliar la exposición.
- Evaluar datos y consecuencias. Identifica qué datos se afectaron, cuántas personas podrían estar involucradas y el riesgo para sus derechos. Registra lo confirmado y lo que todavía está en investigación.
- Decidir y ejecutar las comunicaciones. Bajo el artículo 14 sexies, informa a la Agencia sin dilaciones indebidas cuando exista un riesgo razonable para los derechos y libertades. Evalúa también la comunicación a las personas según las categorías afectadas.
- Remediar y comprobar. Corrige la causa, recupera los servicios de forma segura y comprueba que los controles funcionan. Registra las medidas y actualiza el protocolo con lo aprendido.
Notificación a la Agencia y comunicación a las personas
El artículo 14 sexies distingue el reporte a la Agencia de la comunicación a titulares. El criterio para reportar a la Agencia es un riesgo razonable para los derechos y libertades; el reporte debe realizarse por los medios más expeditos y sin dilaciones indebidas.
Para datos sensibles, de menores de 14 años o relativos a obligaciones económicas, financieras, bancarias o comerciales, revisa además el deber de informar a cada persona afectada. Un aviso genérico en tu propia web no equivale automáticamente a esa comunicación.
Conserva un registro de las decisiones, los efectos, las categorías de datos, el número aproximado de afectados y las medidas adoptadas. Los deberes de otras leyes y contratos se evalúan por separado.
Ejemplo: una carpeta de postulantes quedó pública
Caso ficticio: una oficina de corretaje descubre que el enlace de una carpeta permite ver antecedentes de varios postulantes sin identificarse. Primero restringe el enlace, preserva los registros de acceso y anota cuándo detectó el problema.
Después identifica los archivos expuestos y sus destinatarios, comprueba si hubo descargas y evalúa las posibles consecuencias. Si la carpeta contiene antecedentes sobre obligaciones financieras, esa categoría debe considerarse al decidir las comunicaciones. La ausencia de un registro de descargas no demuestra por sí sola que nadie accedió.
Finalmente, revisa permisos por persona y operación, retira los accesos que ya no se necesitan y documenta cómo verificó la corrección.
Ver medidas preventivas para corredores de propiedades →Preguntas frecuentes
¿Qué es una brecha de datos personales?
Es un incidente que compromete datos personales, por ejemplo por destrucción, filtración, pérdida, alteración o acceso no autorizado. Puede originarse en un ataque o en un error, como compartir una carpeta con permisos públicos. Una caída del servicio requiere evaluar si afectó datos personales y su disponibilidad.
¿La Ley 21.719 da 72 horas para notificar?
El artículo 14 sexies exige reportar a la Agencia sin dilaciones indebidas cuando exista un riesgo razonable para los derechos y libertades de las personas. Ese artículo no fija un plazo general de 72 horas ni de cinco días. No los uses como un período de espera permitido. Revisa también las instrucciones de la autoridad y las obligaciones sectoriales aplicables al incidente.
¿Cuándo se informa también a las personas afectadas?
El artículo 14 sexies contempla la comunicación a titulares cuando la vulneración se refiere a datos sensibles, de niños y niñas menores de 14 años o relativos a obligaciones económicas, financieras, bancarias o comerciales. Debe explicar con claridad los datos afectados, las consecuencias y las medidas adoptadas. La comunicación debe ser individual; la ley prevé un aviso en un medio masivo de alcance nacional si ello no es posible.
¿Qué debo registrar sobre el incidente?
Registra la naturaleza de la vulneración, sus efectos, las categorías de datos, el número aproximado de personas afectadas y las medidas para gestionarla y prevenir su repetición. Conserva las comunicaciones y sus fechas. Distingue hechos confirmados de estimaciones y actualiza el registro cuando obtengas información nueva.
¿La plantilla envía una notificación a la Agencia?
No. Genera un protocolo de trabajo y un borrador de comunicación para las personas afectadas. Debes adaptarlos al incidente y utilizar los canales oficiales que correspondan. El nuevo régimen de la Ley 21.719 comienza el 1 de diciembre de 2026; otros deberes legales o contractuales pueden ser aplicables antes de esa fecha.