Qué cuenta como vulneración
El artículo 14 sexies habla de vulneraciones a las medidas de seguridad que ocasionen la destrucción, filtración, pérdida o alteración, accidental o ilícita, de datos personales, o su comunicación o acceso no autorizados.
La definición es amplia a propósito. No hace falta un ataque informático: también es vulneración un error humano o una falla física. Algunos ejemplos:
- Una planilla con datos de clientes enviada por correo a la persona equivocada.
- Una cuenta de Microsoft 365 tomada por phishing desde la que se leyó o reenvió correo.
- Un ransomware que cifra el servidor de remuneraciones, aunque no se haya copiado nada.
- Un notebook sin cifrar olvidado en un taxi.
- Una carpeta de SharePoint compartida con «cualquier persona con el vínculo».
Cuándo y cómo reportar a la Agencia
No toda vulneración se reporta. El deber nace cuando exista un riesgo razonable para los derechos y libertades de los titulares. Un archivo cifrado que se pierde, con la clave a salvo, probablemente no genera ese riesgo; la misma planilla en texto claro, sí.
El reporte se hace «por los medios más expeditos posibles y sin dilaciones indebidas» (artículo 14 sexies). La ley chilena no fija un plazo en horas: las 72 horas que suelen citarse vienen del reglamento europeo. Lo prudente es reportar en cuanto se tenga una evaluación razonable, sin esperar a cerrar la investigación, y estar atentos a lo que la Agencia disponga sobre la forma de hacerlo.
El artículo 14 sexies aclara que estos deberes no reemplazan los de otras leyes. Si tu organización es prestador de servicios esenciales u operador de importancia vital según la Ley 21.663, Marco de Ciberseguridad, además debe reportar incidentes ante la Agencia Nacional de Ciberseguridad con sus propios plazos.
Cuándo avisar a los titulares
Además de la Agencia, hay que comunicar la vulneración directamente a las personas afectadas cuando involucra:
- Datos sensibles: salud, datos biométricos, origen étnico, afiliación sindical, vida sexual y los demás que define el artículo 2, letra g.
- Datos de niños y niñas menores de 14 años.
- Datos relativos a obligaciones económicas, financieras, bancarias o comerciales.
La comunicación debe hacerse en lenguaje claro y sencillo, indicando qué datos se vieron afectados, las posibles consecuencias y las medidas adoptadas. Se envía a cada titular afectado; si no es posible, se publica un aviso en un medio de comunicación social masivo y de alcance nacional.
El tercer grupo es más amplio de lo que parece: una base de clientes con deudas, saldos o datos de tarjetas cae en él.
Qué hay que registrar
El responsable debe registrar las comunicaciones que hace a la Agencia, describiendo:
| Campo | Qué anotar |
|---|---|
| Naturaleza | Qué pasó: tipo de vulneración, cómo y cuándo se detectó |
| Efectos | Consecuencias para los titulares y para la organización |
| Categorías de datos | Qué tipos de datos estaban involucrados |
| Titulares afectados | Número aproximado de personas |
| Medidas | Lo que se hizo para gestionar la vulneración y para evitar que se repita |
Aunque la ley solo exige registrar lo que se reporta, conviene registrar todas las vulneraciones, incluidas las que se decidió no reportar, con la razón. Si después la Agencia pregunta, ese registro muestra que la evaluación se hizo y por qué.
Recuerda también el último inciso del artículo 14 quinquies: ante un incidente, corresponde al responsable acreditar que sus medidas de seguridad existían y funcionaban. Registros de auditoría, configuraciones y políticas son parte de esa prueba.
Qué arriesga la organización
| Conducta | Calificación | Artículo |
|---|---|---|
| Infringir las obligaciones de seguridad | Grave | 34 ter j) |
| Omitir las comunicaciones o los registros de una vulneración | Grave | 34 ter k) |
| Omitir deliberadamente la comunicación de una vulneración | Gravísima | 34 quáter f) |
La diferencia entre grave y gravísima está en la palabra «deliberadamente». Decidir ocultar una brecha es mucho más caro que reportarla. Y la autodenuncia ante la Agencia, junto con las medidas adoptadas, es una atenuante (artículo 36). Los montos están en la guía de multas y sanciones.
Un procedimiento en seis pasos
Una brecha no es el momento de decidir quién decide. Conviene dejar escrito, antes de que pase:
- Detectar y escalar. Cualquier persona sabe a quién avisar, y existe un canal que funciona fuera de horario.
- Contener. Bloquear la cuenta, revocar el vínculo compartido, aislar el equipo. Antes de borrar nada, preservar la evidencia.
- Evaluar el riesgo. Qué datos, de cuántas personas, si estaban cifrados, si hay datos sensibles, de menores o financieros, y qué podría hacer un tercero con ellos.
- Decidir y reportar. Una persona con autoridad decide si se reporta a la Agencia y si hay que avisar a los titulares, con plantillas ya preparadas.
- Registrar. Completar el registro con los cinco campos de arriba, se haya reportado o no.
- Aprender. Corregir la causa y revisar si el RAT y las medidas de seguridad necesitan cambios.
En Microsoft 365, el registro de auditoría de Microsoft Purview y los incidentes de Microsoft Defender XDR permiten reconstruir qué cuentas, correos y archivos estuvieron expuestos, que es justamente lo que hay que informar. Revisa que la auditoría esté activa y por cuánto tiempo guarda los eventos según tu licencia: si se activa después del incidente, no hay nada que reconstruir. Si no tienes quién vigile estas alertas a toda hora, un SOC gestionado cubre esa parte.