Ese número no está en la Ley 21.719.
Lo que el texto dice, textual
El artículo 14 sexies de la Ley 19.628, en la redacción que le dio la Ley 21.719, obliga a reportar a la Agencia:
«El responsable deberá reportar a la Agencia, por los medios más expeditos posibles y sin dilaciones indebidas, las vulneraciones a las medidas de seguridad que ocasionen la destrucción, filtración, pérdida o alteración accidental o ilícita de los datos personales […] cuando exista un riesgo razonable para los derechos y libertades de los titulares.»
Léalo despacio: no hay horas. Hay un estándar de conducta —«sin dilaciones indebidas»— y un umbral de juicio —«riesgo razonable»—. Ninguno de los dos se cumple mirando un reloj.
Consolidado BCN al 03-jun-2026, que ya incluye la Ley 21.806. Vigencia diferida al 01-dic-2026.
De dónde salió el 72
De otra ley.
Chile tiene dos regímenes de reporte corriendo en paralelo, y se confunden todo el tiempo porque hablan de lo mismo con palabras parecidas. La Ley 21.663, la ley marco de ciberseguridad, sí fija plazos duros en horas para los obligados que ella define. La Ley 21.719, que es la de datos personales, no lo hace.
Una organización puede estar bajo los dos regímenes a la vez. Y si su plan de brecha tiene un solo reloj, ese plan está incompleto sin importar qué número tenga escrito.
Por qué el estándar abierto es más difícil, y no más fácil
La reacción intuitiva ante «la ley no fija horas» es alivio. Es al revés.
Un plazo duro se cumple con una alarma. Sesenta y ocho horas después del incidente, alguien recibe una notificación y manda el reporte. El plazo es incómodo pero es administrable: se sabe cuándo se incumplió.
Un estándar abierto no funciona así. «Sin dilaciones indebidas» significa que cada demora hay que poder justificarla, y que la justificación se evalúa después, con el diario del lunes, por alguien que ya sabe cómo terminó todo. No hay un momento en que usted esté a salvo por haber llegado a tiempo. Hay un expediente que muestra, hora por hora, qué supo y qué hizo con lo que supo.
Y antes de eso está el umbral. «Riesgo razonable» es una decisión, no una medición. Alguien tiene que tomarla, y esa persona existe hoy en su organización aunque nadie la haya nombrado todavía.
La pregunta que ordena todo el resto
¿Quién decide «riesgo razonable» a las dos de la mañana de un sábado, y con qué criterio escrito?
Si la respuesta es «lo vemos cuando pase», el problema no es el plazo. El problema es que la decisión va a tomarla, sin criterio y sin respaldo, quien esté despierto.
Un criterio escrito antes del incidente hace dos cosas al mismo tiempo. Le da a esa persona una decisión que puede defender. Y deja constancia de que la organización pensó el asunto en frío, que es exactamente lo que un fiscalizador busca cuando revisa una demora.
La segunda obligación, la que casi nadie tiene armada
El mismo artículo obliga a comunicar también a los titulares cuando la vulneración toca alguna de estas tres categorías:
- datos personales sensibles;
- datos de niños y niñas menores de catorce años;
- datos relativos a obligaciones de carácter económico, financiero, bancario o comercial.
La comunicación va a cada titular afectado, en lenguaje claro. Solo si eso no fuere posible se admite el aviso por un medio masivo de alcance nacional.
Acá aparece el problema real, y no es jurídico: para saber si le toca, hay que saber qué categorías de datos hay adentro de lo que se filtró, y de cuántas personas. Esa pregunta se contesta con un inventario, no con un abogado. Una organización que no lo tiene descubre en el peor momento posible que la respuesta le va a tomar días, y esos días son precisamente los que después habrá que justificar.
Tres preguntas para saber en qué punto está
- ¿Su plan de brecha distingue los dos regímenes —21.719 y 21.663— con sus relojes propios, o tiene un solo número escrito arriba?
- ¿Existe un criterio escrito de «riesgo razonable», con un nombre al lado que dice quién decide?
- Si mañana hubiera una filtración, ¿sabrían en horas cuántos titulares y qué categorías tocó?
Si la tercera no tiene respuesta, las dos primeras todavía no están resueltas: sin inventario, ni el criterio ni el reloj tienen sobre qué aplicarse.
De dónde sale esto
Del texto primario, no de un resumen. La ficha de la que se deriva este artículo guarda la cita verbatim con su hash de verificación contra el consolidado de la Biblioteca del Congreso Nacional, edición 03-jun-2026, y distingue explícitamente lo que la ley dice de lo que es criterio conservador nuestro.
Un ejemplo de esa distinción, para que se vea dónde está el borde: la ley ancla el deber de registro a «estas comunicaciones» —las efectivamente reportadas a la Agencia—, no a toda vulneración evaluada. Registrar además los incidentes que se evaluaron y se decidió no reportar es práctica conservadora nuestra, no texto expreso. Lo recomendamos, y lo decimos como lo que es. Andin no certifica a nadie: produce la evidencia con la que otro decide.