¿Debo notificar una brecha de datos? ¿A quién y en qué plazo?

Siempre a la Agencia de Protección de Datos. Además, a los titulares afectados cuando la vulneración recae sobre datos sensibles, datos de niñas, niños y adolescentes, o datos de obligaciones económicas, financieras, bancarias o comerciales. La comunicación a la Agencia es la regla general; la comunicación a los titulares depende de la naturaleza de los datos comprometidos (artículo 14 sexies).

La ley no fija un número exacto de horas: exige reportar por los medios más expeditos posibles y sin dilaciones indebidas (artículo 14 sexies). En la práctica, ese estándar obliga a tener una capacidad de respuesta ya montada, porque el plazo empieza a correr desde que la empresa toma conocimiento de la vulneración, no desde que termina de investigarla.

No reportar una vulneración que debía comunicarse es una infracción en sí misma, sancionable por la Agencia dentro del régimen del artículo 35, con multas que escalan hasta 20.000 UTM para las infracciones gravísimas. A esa exposición administrativa se suma la agravación reputacional de que la omisión salga a la luz por otra vía.

Sí. Si la vulneración proviene de un acceso ilícito, una interceptación o un ataque a la integridad de los datos o los sistemas, el hecho puede constituir un delito informático de la Ley 21.459, con responsabilidad penal para las personas naturales y, vía Ley 21.595 y el catálogo de la Ley 20.393, para la empresa. El reporte administrativo y la respuesta penal se gestionan en paralelo.

Con las medidas de seguridad adecuadas al riesgo que exige el artículo 14 quinquies y con un plan de respuesta a incidentes definido antes de necesitarlo: quién decide, cómo se evalúa la gravedad, qué se comunica y a quién. Sin ese plan, el deber de reportar sin dilaciones indebidas es muy difícil de cumplir en el momento.