Cumplir con Ley 21.663 y Ley 21.719 sin perder tiempo

Resumen

Si dirigís un área de tecnología en Chile, el panorama regulatorio cambió radicalmente entre dic-2025 y feb-2026. La ANCI publicó la nómina FINAL de 915 OIV (Res Ex 87/2025 del 17-dic-2025) y dictó cuatro Instrucciones Generales con plazos vencidos. La Ley 21.719 (Protección de Datos Personales) entra en vigencia el 1 de diciembre de 2026 con multas de hasta 4% de la facturación.

Este whitepaper te da en 8 minutos: qué obligaciones aplican, qué plazos ya vencieron, qué multas existen, y cómo prepararte sin gastar de más. Incluye la matriz operativa completa de 17 obligaciones formales generada por nuestro motor de diagnóstico.

1. Por qué esto es urgente

Cuatro datos que cambian la conversación:

1.5 Las cuatro Instrucciones Generales ANCI 2025 — lo que tienes que saber

Plazo IG 3 e IG 4: 60 días corridos desde nómina final OIV (17-dic-2025) → vencimiento 15-feb-2026.

2. ¿Cae mi empresa bajo la Ley 21.663?

La ley aplica a:

Si tu empresa no está designada formalmente pero opera en un sector esencial, debes prepararte como si lo estuvieras: ANCI puede expandir la nómina y los plazos para implementar son cortos.

Tamaño importa pero no determina aplicabilidad: la ley considera el sector y la naturaleza del servicio, no el tamaño absoluto. Sin embargo, para el primer proceso ANCI focalizó análisis en empresas con facturación 2023 ≥ 25.000 UF (tramo 8 SII).

3. ¿Qué tengo que hacer si caigo bajo Ley 21.663?

3.1 Si soy PSE designado (régimen general)

• Política formal de seguridad firmada por dirección
• Gestión de riesgos basada en identificación-análisis-tratamiento
• Controles técnicos: segmentación, cifrado, autenticación fuerte, logging
• Controles organizacionales: capacitación, roles, gestión de terceros
• Continuidad operacional con RTO/RPO documentados
• Auditorías mínimo anuales
• Procedimiento de detección y reporte de incidentes
• Encargado de reporte registrado en plataforma ANCI (Inst Gral 1/2025)
• Reportes en plazos inmovibles (ver tabla más abajo)

3.2 Si soy OIV (régimen reforzado)

Todo lo anterior, más:

• SGSI (Sistema de Gestión de Seguridad de la Información) continuo, estilo ISO 27001
• Delegado de ciberseguridad nombrado formalmente
• Simulacros mínimo anuales
• Plan de capacitación documentado
• Plan de acción ante incidente en máximo 7 días corridos desde conocimiento

3.3 Plazos de reporte (Decreto Supremo 295/2024)

3.4 Taxonomía oficial (Resolución Exenta 7/2025)

Tu reporte tiene que clasificar el incidente usando la taxonomía oficial:

4 áreas de impacto: confidencialidad, integridad, disponibilidad, autenticidad

11 efectos observables: exfiltración de datos, indisponibilidad del servicio, degradación del servicio, phishing, ejecución no autorizada de código, manipulación de configuraciones, compromiso de credenciales, persistencia en sistemas, movimiento lateral, escalamiento de privilegios, destrucción/modificación de datos.

3.5 Sanciones

Multas escaladas por gravedad:

• PSE: hasta 5.000 / 10.000 / 20.000 UTM (leves / graves / gravísimas) → ~CLP 350M-1.4B
• OIV: hasta 10.000 / 20.000 / 40.000 UTM → ~CLP 700M-2.8B

Más responsabilidad civil hacia usuarios afectados y posible suspensión temporal del servicio.

4. ¿Cae mi empresa bajo Ley 21.719?

Aplica si tratas cualquier dato personal. Es decir: casi todas las empresas con clientes, empleados o leads.

Datos personales = cualquier información sobre persona natural identificada o identificable. Incluye:

• Nombre, RUT, email, teléfono, dirección
• Datos de comportamiento (IP, cookies, geolocalización, hábitos de consumo)
• Datos sensibles (salud, biometría, ideología, sexualidad, niños/adolescentes) — categoría especial con consentimiento explícito obligatorio

4.1 Vigencia y período de gracia

La ley se publicó el 13 de diciembre de 2024. Entra en vigencia el 1 de diciembre de 2026 (24 meses post-publicación).

Período de gracia para empresas chicas: durante los primeros 12 meses post-vigencia (hasta diciembre 2027), la APDP puede aplicar amonestación escrita en vez de multa. Esto da una ventana corta para prepararse.

4.2 Obligaciones principales

4.3 Sanciones

• Leve: hasta 5.000 UTM (~CLP 350M)
• Grave: hasta 10.000 UTM (~CLP 700M)
• Gravísima: hasta 20.000 UTM (~CLP 1.4B)
• Reincidencia gravísima: hasta 4% de la facturación anual o 20.000 UTM, lo que sea mayor

5. Cómo prepararte sin gastar de más

5.1 Diagnóstico primero, implementación después

El error más caro que vemos en mid-market chileno es comprar "una plataforma de cumplimiento" antes de saber qué obligaciones aplican concretamente. Esto resulta en stack costoso para necesidades que no son las reales.

Secuencia correcta:

1. Clasificación preliminar — ¿somos PSE? ¿candidato OIV? ¿con datos sensibles?
2. Matriz de obligaciones aplicables — qué dice la ley específicamente para nuestro perfil
3. Análisis de brechas — qué tenemos vs qué nos falta
4. Roadmap priorizado — qué hacemos en 15/30/60/90 días, con esfuerzo y costo
5. Implementación incremental — empezando por las brechas más altas en sanción / más bajas en costo de remediación
6. Validación técnica — pentest autorizado complementa el diagnóstico regulatorio
7. Monitoreo continuo — superficie expuesta + threat intel + watch list

5.2 Capacidades internas vs externalización

Lo que debes hacer internamente:

• Designar encargado de reporte (debe tener formación/experiencia en ciberseguridad)
• Designar delegado de ciberseguridad si sos OIV
• Designar Delegado de Protección de Datos si optás por modelo de prevención Art. 51
• Mantener inventario de activos y tratamientos
• Operar el SGSI y el ciclo de mejora continua
• Capacitar al staff

Lo que puedes externalizar sin perder control:

• Diagnóstico regulatorio y gap assessment inicial
• Validación técnica externa periódica (pentest, scan)
• Apoyo en incidentes (IR retainer)
• Consultoría especializada en EIPD
• Formación ejecutiva y técnica

5.3 Errores comunes a evitar

1. Esperar a la designación formal antes de prepararse → cuando llega la resolución, los plazos para cumplir son cortos
2. Tratar Ley 21.663 y Ley 21.719 como dos proyectos separados → comparten controles, conviene mapeo conjunto
3. Comprar herramientas antes de saber qué necesitas → diagnóstico primero
4. Pentesting sin documentación legal → riesgo penal real (Ley 21.459 modificada)
5. No registrar al encargado de reporte en ANCI → cuando ocurra el incidente, no tendrás canal habilitado
6. No ejercer derechos ARCOPOL → multa directa por violación de derechos titulares
7. No documentar EIPD para tratamientos de alto riesgo → categoría gravísima
8. Subestimar el plazo de implementación → desde diagnóstico a plena operación toma 6-12 meses para empresas medianas

6. Recursos oficiales

• Ley 21.663 — texto oficial
• Ley 21.719 — texto oficial
• DS 295/2024 — texto oficial
• ANCI — sitio oficial
• CSIRT Nacional: csirt@interior.gob.cl

Sobre el autor

Diego López es Ingeniero Civil Industrial con magíster en Big Data y Ciencia de Datos, certificación Lean Six Sigma. 9 años de experiencia técnica en DP World (logística portuaria), Indra (integración TI), AquaChile (operaciones), Pares y Álvarez (consultoría industrial). Fundador de 0kbot Ciberseguridad — servicios productizados de pentest e inteligencia regulatoria para mid-market chileno.

• Email: hola@0kbot.com
• Web: 0kbot.com
• LinkedIn: linkedin.com/in/d1egol