¿Las brechas de datos se reportan en 72 horas? Lo que dice realmente la ley chilena

Respuesta corta

La ley no menciona 72 horas. El art. 14 sexies ordena reportar a la Agencia las vulneraciones a las medidas de seguridad 'por los medios más expeditos posibles y sin dilaciones indebidas', cuando exista un riesgo razonable para los derechos de los titulares.

Las '72 horas' son una importación del reglamento europeo (GDPR), que sí las fija para Europa. En Chile, la Agencia podría eventualmente fijar plazos mediante instrucciones — pero hoy el estándar legal es 'sin dilaciones indebidas'.

Lo que sí exige el art. 14 sexies (y casi nadie cuenta)

• Reportar a la Agencia cuando la brecha genere un riesgo razonable para los titulares, por los medios más expeditos posibles y sin dilaciones indebidas.
• Registrar TODAS las vulneraciones —también las que no se reportan— dejando constancia de su naturaleza, efectos, categorías de datos afectadas, número aproximado de titulares y medidas adoptadas.
• Notificar ADEMÁS a los propios titulares cuando la brecha afecte datos sensibles, datos de menores de 14 años, o datos económicos, financieros o comerciales: en lenguaje claro y sencillo, y si no es posible avisar individualmente, mediante un aviso en un medio de comunicación masivo nacional.

Qué arriesgas si lo omites

Omitir la comunicación a la Agencia o el registro interno es infracción grave (art. 34 ter letra k): multa de hasta 10.000 UTM (art. 35 b).

Omitir deliberadamente la comunicación es infracción gravísima (art. 34 quáter letra f): multa de hasta 20.000 UTM (art. 35 c). Y toda sanción queda 5 años en el registro público del art. 39.

Cómo ejecutarlo en tu empresa

Que la ley no fije 72 horas no significa que puedas esperar: 'sin dilaciones indebidas' es un estándar exigente y la carga de acreditar tus medidas de seguridad tras un incidente es tuya (art. 14 quinquies).

Lo operativo: deja escrito un protocolo con responsables y pasos (detección → evaluación del riesgo → reporte a la Agencia → notificación a titulares cuando corresponda → registro interno). Como práctica interna prudente, apunta a actuar dentro de 72 horas — así, si la Agencia fija ese estándar por instrucción, ya lo cumples; pero tu protocolo debe citar el estándar legal real: sin dilaciones indebidas.