Son las 9 de la mañana de un jueves y Marcela, gerenta general de una empresa de cobranza en Temuco, recibe una llamada de un cliente: le llegó por correo una planilla que no era suya. Una ejecutiva, apurada, eligió mal el destinatario. La planilla tenía 1.800 deudores con nombre, RUT, teléfono y monto adeudado. Marcela cuelga y se queda mirando la pantalla. ¿A quién hay que avisarle? ¿Hoy? ¿Y qué se dice?
Dos artículos de la ley responden: el 14 quinquies, sobre las medidas de seguridad, y el 14 sexies, sobre el reporte de vulneraciones.
Antes: las medidas de seguridad
El artículo 14 quinquies pide medidas de seguridad acordes al estado de la técnica, a los costos, a la naturaleza y fines del tratamiento y a la probabilidad y gravedad de los riesgos para el tipo de datos. Tienen que asegurar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas, y evitar la alteración, destrucción, pérdida, tratamiento o acceso no autorizado.
Entre las medidas, según el riesgo, la ley nombra:
- la seudonimización y el cifrado de los datos;
- la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes;
- la capacidad de restaurar rápido el acceso a los datos tras un incidente;
- un proceso para verificar y evaluar regularmente si las medidas funcionan.
Y una regla que importa el día del incidente: si hay una controversia judicial o administrativa, le toca a la empresa acreditar que las medidas existían y funcionaban. Lo que no está documentado es difícil de acreditar.
Ejemplo. Si la planilla de Marcela hubiera estado protegida con contraseña, enviada por un canal separado, el cliente que la recibió por error no habría podido abrirla.
Cuándo hay que reportar a la Agencia
El artículo 14 sexies dice que la empresa debe reportar a la Agencia las vulneraciones a las medidas de seguridad que causen la destrucción, filtración, pérdida o alteración accidental o ilícita de los datos, o su comunicación o acceso no autorizados, cuando exista un riesgo razonable para los derechos y libertades de las personas.
¿Cuándo? «Por los medios más expeditos posibles y sin dilaciones indebidas». La ley no fija un número de horas; pide no demorarse sin razón.
Además, hay que registrar estas comunicaciones: la naturaleza de la vulneración, sus efectos, las categorías de datos, el número aproximado de personas afectadas y las medidas adoptadas para gestionarla y prevenir incidentes futuros.
Cuándo hay que avisarle a cada persona
En tres casos, no basta con la Agencia. Si la vulneración afecta:
- datos sensibles (cuáles son);
- datos de niños y niñas menores de catorce años;
- datos de obligaciones económicas, financieras, bancarias o comerciales,
la empresa tiene que comunicarlo también a cada persona afectada (a través de sus representantes cuando corresponda), en lenguaje claro y sencillo, diciendo qué datos se vieron afectados, las posibles consecuencias y las medidas adoptadas. Si no se puede avisar a cada una, se publica un aviso en un medio de comunicación social masivo y de alcance nacional.
La planilla de Marcela tenía montos adeudados: datos de obligaciones económicas. Ese es uno de los tres casos.
Si el incidente fue en un proveedor
Si quien trata los datos por ti —tu encargado— sufre una vulneración, el artículo 15 bis le exige reportarla a tu empresa. La responsable sigue siendo tu empresa: es ella la que evalúa el riesgo y reporta a la Agencia. Por eso el aviso conviene dejarlo escrito en el contrato de encargo.
Lo que conviene hacer el mismo día
- Contener. Pedirle al cliente que borre el correo y lo confirme por escrito; cortar el acceso, cambiar contraseñas, lo que corresponda.
- Entender qué pasó. Qué datos, de cuántas personas, desde cuándo, quién tuvo acceso.
- Evaluar el riesgo. ¿Hay un riesgo razonable para las personas? ¿Hay datos sensibles, de niños o financieros?
- Registrar. Todo lo anterior y lo que se decide, con fecha.
- Reportar a la Agencia si hay riesgo razonable, y avisar a las personas en los tres casos.
- Corregir lo que permitió el incidente.
Lo que está en juego
Vulnerar las obligaciones de seguridad es infracción grave (artículo 34 ter, letra j), y también lo es omitir las comunicaciones o los registros cuando hay una vulneración (letra k). Omitir deliberadamente comunicar una vulneración que pueda afectar la confidencialidad, disponibilidad o integridad de los datos es gravísima (artículo 34 quáter, letra f).
En sentido contrario, la ley premia hacer las cosas bien: entre las atenuantes del artículo 36 están reparar el daño o llegar a acuerdos con los afectados, colaborar con la investigación y autodenunciarse ante la Agencia comunicando las medidas adoptadas. Más en Las multas de la Ley 21.719.
Y el artículo 14 sexies cierra con una aclaración: estos deberes no reemplazan los deberes de información que pongan otras leyes, por ejemplo las normas propias de un sector.
El incidente que nadie ve: un chat de IA
No todos los incidentes son un correo mal enviado. Cuando alguien pega la base de clientes en un chat de IA gratuito con su cuenta personal, los datos salieron de la empresa hacia un proveedor sin contrato. Cómo evaluarlo está en Alguien pegó la base de clientes en un chat de IA.
Plumii trabaja antes de que pase: la regla de la empresa tapa nombres, RUT, correos, teléfonos, direcciones y patentes antes de que el mensaje llegue al modelo, y bloquea números de tarjeta y contraseñas, mostrándole a la persona por qué. Y el registro de uso dice qué datos traía cada mensaje y qué regla se aplicó, para que, si hay una duda, la empresa sepa qué salió. No reconoce datos sensibles ni todos los datos raros o mal escritos. Mira cómo funciona.
Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.