Protocolo de brechas de seguridad: lo que exige el art. 14 sexies

Las tres obligaciones del art. 14 sexies

• REPORTAR a la Agencia las vulneraciones con riesgo razonable para los titulares, por los medios más expeditos posibles y sin dilaciones indebidas (la ley chilena NO fija '72 horas' — ese es un estándar europeo).
• REGISTRAR todas las vulneraciones, se reporten o no: naturaleza, efectos, categorías de datos, número aproximado de titulares y medidas adoptadas.
• NOTIFICAR además a los titulares cuando la brecha afecte datos sensibles, de menores de 14 años, o económicos/financieros/comerciales — en lenguaje claro y sencillo; si no es posible individualmente, aviso en un medio de comunicación masivo nacional.

La otra mitad: probar que tenías medidas

El art. 14 quinquies exige medidas de seguridad que garanticen confidencialidad, integridad, disponibilidad y resiliencia — y establece que, frente a un incidente, la carga de acreditar la existencia y eficacia de esas medidas es del responsable. Tu protocolo debe dejar rastro escrito de ambas cosas: las medidas preventivas y la reacción.

Qué arriesgas

• Omitir la comunicación a la Agencia o el registro: infracción grave (art. 34 ter k), hasta 10.000 UTM (art. 35 b).
• Omitir deliberadamente la comunicación: gravísima (art. 34 quáter f), hasta 20.000 UTM (art. 35 c).
• Violar las medidas de seguridad del 14 quinquies: grave (art. 34 ter j).
• Toda sanción, 5 años en el registro público (art. 39).

Cómo lo resuelve el kit

El documento 06 del kit (Protocolo de brechas) deja definidos los roles (quién detecta, quién evalúa el riesgo, quién reporta, quién notifica a titulares), el formato del registro interno del 14 sexies y las plantillas de comunicación — con el estándar legal correcto ('sin dilaciones indebidas') y una pauta operativa interna prudente de 72 horas.