Ciberseguridad y protección de datos: las dos leyes que ya están cambiando las reglas para las empresas en Chile

Chile atraviesa el momento de mayor cambio regulatorio en materia digital de su historia reciente. Dos leyes, aprobadas con menos de un año de diferencia, están redefiniendo cómo las empresas —grandes y pequeñas— deben proteger sus sistemas y los datos de las personas que confían en ellas.

La Ley de Ciberseguridad ya está en régimen

La Ley N° 21.663, o Ley Marco de Ciberseguridad, no es una promesa a futuro: desde el 1 de marzo de 2025 rigen sus artículos centrales, que crearon la Agencia Nacional de Ciberseguridad (ANCI) y el CSIRT Nacional, el equipo encargado de coordinar la respuesta ante incidentes a nivel país.

La ley obliga a un grupo especial de empresas —los llamados Operadores de Importancia Vital u OIV— a reportar los incidentes de ciberseguridad con efectos significativos dentro de plazos estrictos: alerta temprana en 3 horas, reporte completo en 72 horas y un informe final una vez contenido el incidente. La ANCI terminó de calificar a los primeros OIV en octubre de 2025, y el proceso sigue en curso durante 2026, incorporando progresivamente a más empresas de sectores considerados críticos. Quienes incumplen se exponen a multas que van desde 5.000 UTM por infracciones leves hasta 40.000 UTM para los OIV en los casos más graves.

La Ley de Protección de Datos entra en vigencia en menos de cuatro meses

La segunda ley, la N° 21.719, que actualiza por completo la protección de datos personales en Chile, todavía no rige — pero el plazo se acerca rápido. Fue publicada en diciembre de 2024 y comenzará a aplicarse el 1 de diciembre de 2026. Crea una nueva Agencia de Protección de Datos, amplía los derechos ARCO (acceso, rectificación, cancelación y oposición) de las personas sobre su información, exige notificar las brechas de seguridad dentro de 72 horas y contempla multas de hasta 20.000 UTM, o el 4% de los ingresos anuales en casos de reincidencia.

Para las pymes hay un respiro parcial: durante el primer año de vigencia (diciembre 2026 a diciembre 2027) solo recibirán amonestaciones en lugar de multas, un margen pensado para que las empresas más pequeñas puedan adaptarse sin quebrar en el intento. Pero ese margen no es una invitación a esperar. Entre las obligaciones que ya conviene empezar a preparar están designar un Delegado de Protección de Datos (DPO), llevar un registro documentado de las actividades de tratamiento de datos, realizar evaluaciones de impacto en privacidad para los tratamientos de mayor riesgo, y contar con protocolos claros para notificar incidentes y aplicar medidas de seguridad técnicas y organizativas.

Dos leyes, una misma exigencia

Vistas en conjunto, ambas leyes apuntan en la misma dirección: dejar atrás la gestión informal de la tecnología y exigir procesos documentados, roles definidos y capacidad real de respuesta ante incidentes. Para las empresas chilenas —especialmente las pymes que hasta ahora operaban sin un área de TI formal— el desafío no es solo evitar una multa: es demostrar, con evidencia, que la información de sus clientes y la continuidad de su operación están efectivamente protegidas.

Si tu empresa todavía no sabe por dónde partir, en ProActivaTI ofrecemos un diagnóstico inicial, sin compromiso, para evaluar en qué estado está tu cumplimiento frente a la Ley 21.663 y la Ley 21.719.

Quiero mas informacion