Normativa
Chile cuenta con dos leyes que convierten la ciberseguridad y la protección de datos en obligaciones legales. Aquí explicamos, en lenguaje claro, a quién aplican, qué exigen y cómo prepararse.
Las dos leyes, de un vistazo
| Ley 21.719 | Ley 21.663 | |
|---|---|---|
| Tema | Protección de datos personales | Ciberseguridad e infraestructura crítica |
| A quién aplica | Prácticamente a toda organización que trate datos de clientes, pacientes, alumnos o trabajadores | Prestadores de servicios esenciales y operadores de importancia vital, y por extensión a sus proveedores |
| Autoridad | Agencia de Protección de Datos Personales | Agencia Nacional de Ciberseguridad (ANCI) y su CSIRT Nacional |
| Vigencia | 1 de diciembre de 2026 (hay un proyecto en el Congreso para postergarla un año) | Vigente desde 2025 |
| Multas máximas | Hasta 20.000 UTM, o un porcentaje de los ingresos anuales en empresas grandes con infracciones reiteradas | Hasta 20.000 UTM, y hasta 40.000 UTM para operadores de importancia vital |
Ley 21.719
Protección de datos personales
Reemplaza el marco de la Ley 19.628 y sube el estándar al nivel de las normas europeas. Toda organización que recopile, almacene o use datos de personas deberá poder demostrar para qué los trata, con qué base legal, cómo los protege y cómo responde a las solicitudes de sus titulares. Crea la Agencia de Protección de Datos Personales, con facultades para fiscalizar y sancionar.
En agosto de 2026 el Gobierno presentó un proyecto para postergar la entrada en vigencia al 1 de diciembre de 2027. Mientras no se apruebe y publique, la fecha legal sigue siendo el 1 de diciembre de 2026.
Postergar la ley no posterga el trabajo: inventariar datos y ordenar procesos toma meses.
Qué exige
- Base de licitud para cada tratamiento: consentimiento, contrato, obligación legal u otra causal válida
- Registro de actividades de tratamiento: qué datos trata, para qué y con quién los comparte
- Medidas de seguridad proporcionales al riesgo, con mayor exigencia para datos sensibles como los de salud
- Notificación de vulneraciones a la Agencia sin dilaciones indebidas, y a los afectados cuando el riesgo es alto
- Derechos de los titulares: acceso, rectificación, supresión, oposición, portabilidad y bloqueo, con plazos de respuesta
- Transferencias internacionales solo con garantías adecuadas, por ejemplo al usar servicios en la nube fuera de Chile
- Control de proveedores que tratan datos por cuenta de la organización
Modelo de prevención y delegado
La ley permite adoptar un modelo de prevención de infracciones, que puede considerarse para atenuar sanciones. Quien lo adopte debe designar un delegado de protección de datos, interno o externo, con autonomía respecto de la administración.
Sanciones
- Infracciones leves, graves y gravísimas, con multas de hasta 20.000 UTM
- En empresas grandes con infracciones gravísimas reiteradas, multas calculadas sobre sus ingresos anuales
- Posible suspensión del tratamiento de datos e inscripción en un registro público de sanciones
Cómo le ayudamos: diagnóstico de brechas, programa de cumplimiento, registro de actividades de tratamiento, modelo de prevención de infracciones y delegado de protección de datos externo.
Ver serviciosLey 21.663
Ley Marco de Ciberseguridad
Establece la institucionalidad de ciberseguridad del país, con la Agencia Nacional de Ciberseguridad (ANCI) a la cabeza. Obliga a los prestadores de servicios esenciales a gestionar sus riesgos y a reportar incidentes, y exige deberes adicionales a los organismos que la ANCI califica como operadores de importancia vital.
Aunque su organización no sea un servicio esencial, si presta servicios a uno, es probable que sus clientes le exijan controles, cláusulas y evidencia de seguridad. La ANCI también puede calificar como operador de importancia vital a proveedores críticos.
A quién aplica
- Prestadores de servicios esenciales: energía, telecomunicaciones, agua y saneamiento, transporte, banca y servicios financieros, prestadores institucionales de salud, infraestructura digital y la administración del Estado, entre otros
- Operadores de importancia vital (OIV): entidades calificadas por la ANCI por la criticidad de su servicio
- Su cadena de suministro, a través de exigencias contractuales y de seguridad
Qué exige
- Medidas para prevenir, gestionar y responder a incidentes de ciberseguridad
- Reporte de incidentes al CSIRT Nacional dentro de plazos estrictos
- Para los OIV: un sistema de gestión de seguridad de la información, planes de continuidad, evaluaciones periódicas, capacitación y un delegado de ciberseguridad
- Cumplimiento de las instrucciones generales y sectoriales que dicte la ANCI
Plazos para reportar un incidente
- 3 hAlerta tempranaDesde que se detecta el incidente.
- 72 hSegundo informe24 horas si se afecta un servicio esencial.
- 7 díasPlan de acciónMedidas de mitigación y recuperación.
- 15 díasInforme finalAnálisis consolidado e impacto.
Cómo le ayudamos: análisis de aplicabilidad, diagnóstico frente a la ley, políticas de seguridad, procedimiento de reporte de incidentes y preparación para responder a los requisitos de sus clientes.
Ver serviciosEsta página es informativa y resume la normativa vigente a octubre de 2026. No constituye asesoría legal. ProCiber asesora en la implementación técnica y organizacional del cumplimiento; para interpretaciones legales específicas recomendamos complementar con un abogado.
¿Qué le aplica a su organización?
En una conversación de 30 minutos revisamos su situación frente a ambas leyes y le indicamos por dónde empezar.
O escríbanos a contacto@prociber.cl