Chile redefine su marco de privacidad y ciberseguridad con nuevas reglas de cumplimiento y cambios regulatorios en tramitación

El segundo semestre de 2026 ha sido especialmente relevante para el marco chileno de protección de datos personales y ciberseguridad. Tres desarrollos concentran la atención: (i) el proyecto de ley aprobado por el Senado, y que ahora pasa a la Cámara de Diputadas y Diputados, que posterga al 15 de octubre de 2027 la entrada en vigencia de la ley Nº 21.719; (ii) la publicación del reglamento sobre modelos de prevención de infracciones; y (iii) el texto preliminar de la norma técnica de ciberseguridad para el sector eléctrico de la Comisión Nacional de Energía (CNE). La Agencia Nacional de Ciberseguridad (ANCI), por su parte, dictó un ajuste procedimental relativo a la calificación de operadores de importancia vital y desarrolló iniciativas de implementación que no crean nuevas obligaciones.

Protección de datos personales

Proyecto de ley que propone postergar la entrada en vigencia de la Ley N.º 21.719

Con fecha 28 de octubre de 2026, el Senado aprobó, en primer trámite constitucional, el proyecto de ley que modifica la ley Nº 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales (Boletín N.º 18.623-07), iniciado por mensaje presidencial de 31 de agosto de 2026. El proyecto, que tuvo urgencia de discusión inmediata y fue informado por las comisiones de Constitución y de Hacienda, pasa ahora a la Cámara de Diputadas y Diputados para su segundo trámite constitucional. Sus principales contenidos, en los términos aprobados por el Senado, son: 

• Postergación entrada en vigencia de la ley. La ley comenzaría a regir el 15 de octubre de 2027, en lugar del 1 de diciembre de 2026. El mensaje proponía originalmente el 1 de diciembre de 2027; la nueva fecha fue incorporada por la Comisión de Constitución Legislación, Justicia y Reglamento del Senado, y la Comisión de Hacienda no introdujo modificaciones.
• Consejo Directivo de la Agencia. Se aumenta de tres a cinco el número de consejeros, que durarán seis años en sus cargos, sin posibilidad de nueva designación y con renovación parcial cada dos años, y se eleva el quórum de funcionamiento de dos a tres. 
• Designación del primer Consejo. Deberá efectuarse a más tardar nueve meses antes de la entrada en vigencia de la ley (actualmente, seis meses). El presidente de la República propondrá en un solo acto a dos consejeros por seis años, dos por cuatro años y uno por dos años; el Senado se pronunciará sobre la propuesta como una unidad, con el voto favorable de dos tercios de sus miembros en ejercicio. Desde su nombramiento, los consejeros quedarán sujetos a remuneración y dedicación exclusiva. 
• Disposiciones transitorias. El mayor gasto fiscal del primer año se financiará con el presupuesto del Ministerio de Economía, Fomento y Turismo y, en lo que faltare, con cargo al Tesoro Público. Si al publicarse la ley faltaran menos de doce meses para la entrada en vigencia de la ley Nº 21.719, la primera designación deberá proponerse al Senado dentro de los diez días siguientes. El texto aprobado por el Senado (un artículo único con tres numerales y dos disposiciones transitorias) no contempla la extensión del régimen de amonestación por escrito a todos los responsables de datos. 

Es fundamental distinguir entre lo aprobado por el Senado y lo vigente. Mientras el proyecto no concluya su tramitación en el Congreso y sea publicado como ley, la ley Nº 21.719 entrará en vigencia el 1 de diciembre de 2026, conforme a su artículo primero transitorio, y la Agencia mantendrá la composición actualmente prevista. Además, la Cámara de Diputadas y Diputados podría introducir modificaciones al texto. 

Para las empresas, la incertidumbre sobre la fecha de inicio no justifica suspender los programas de adecuación. A menos de un mes de la fecha legal, lo prudente es mantener el calendario de cumplimiento, priorizando el inventario de actividades de tratamiento, la determinación de bases de licitud, la revisión de contratos con encargados, los procedimientos para el ejercicio de derechos y la gestión de vulneraciones de seguridad.

Reglamento sobre modelos de prevención de infracciones

El 9 de septiembre de 2026 se publicó en el Diario Oficial el Decreto Supremo Nº 662, de 2025, del Ministerio de Hacienda, que aprueba el Reglamento que regula los requisitos, modalidades y procedimientos para la implementación, certificación, registro y supervisión de los modelos de prevención de infracciones a que se refiere el artículo 49 que la ley Nº 21.719 incorpora a la ley Nº 19.628 (Decreto supremo Nº 662, de 2025, del Ministerio de Hacienda, publicado en el Diario Oficial el 9 de septiembre de 2026).

El modelo de prevención es voluntario: puede ser adoptado por cualquier responsable de datos, persona natural o jurídica, pública o privada, y consiste en un programa de cumplimiento. El reglamento aclara que su adopción no altera el deber general de todo responsable de prevenir infracciones y cumplir la ley. Sus aspectos más relevantes son:

• Contenido mínimo del programa. Debe incluir, entre otros elementos, la caracterización de los datos y operaciones de tratamiento (finalidades, bases de licitud, transferencias internacionales, plazos de supresión y decisiones automatizadas); una matriz de riesgos que identifique los procesos con mayor riesgo de infracción, considerando la graduación de sanciones; protocolos específicos de prevención; mecanismos de reporte; sanciones internas, y un canal de denuncia que asegure la reserva de identidad del denunciante.
• Integración laboral y contractual. La regulación interna derivada del programa debe incorporarse expresamente como obligación en los contratos de trabajo y de prestación de servicios, incluidos los de los máximos cargos ejecutivos y, cuando corresponda, en el reglamento interno de orden, higiene y seguridad.
• Delegado de protección de datos. Su designación es obligatoria en el marco de la adopción y certificación del programa, pero no constituye una exigencia general para todo responsable. Debe ser designado por la máxima autoridad (por ejemplo, el directorio), contar con autonomía respecto de la administración, conocimientos especializados y recursos suficientes, y rendir cuenta directamente ante quien lo designó. Puede ser interno o externo, y un grupo empresarial puede designar un único delegado si opera bajo estándares comunes.
• Certificación, registro y supervisión. La certificación se inicia a solicitud del interesado ante la Agencia, tiene una vigencia de tres años renovable y da lugar a la inscripción en el Registro Nacional de Sanciones y Cumplimiento, de acceso público. La Agencia puede supervisar los modelos certificados, requerir información y revocar la certificación, entre otras causales, si el responsable deja de cumplir los requisitos.

El principal efecto jurídico del modelo certificado es su consideración como circunstancia atenuante de las sanciones que imponga la Agencia. Dado que la Agencia aún no se encuentra en funcionamiento, la certificación no es todavía operativa. Sin embargo, el reglamento permite iniciar la implementación con anterioridad a la inscripción en el registro.

Ciberseguridad

Proyecto de Norma Técnica de Seguridad de la Información y Ciberseguridad Industrial para el sector eléctrico

La CNE sometió a consulta pública el texto preliminar de la Norma Técnica de Seguridad de la Información y Ciberseguridad Industrial, entre 28 agosto y el 2 de octubre de 2026. Se trata de una propuesta: sus disposiciones no son exigibles y podrían modificarse antes de su dictación definitiva.

Ámbito de aplicación y relación con la Ley Marco de Ciberseguridad. La norma se aplicaría a las empresas eléctricas, esto es, los coordinados del sistema eléctrico nacional (generadoras, transmisoras, distribuidoras, sistemas de almacenamiento, clientes libres y PMGD, entre otros), las empresas de sistemas medianos y los centros de control común, y al Coordinador Eléctrico Nacional. En seguridad de la información, sus exigencias serían complementarias y aplicables a las empresas que no hayan sido calificadas como operadores de importancia vital (OIV) por la ANCI; las calificadas como OIV se regirían, además, por la ley Nº 21.663 y su normativa complementaria. En ciberseguridad industrial, en cambio, las exigencias alcanzarían a todas las empresas eléctricas y al Coordinador. En todo caso, la Ley Marco prevalecería ante cualquier incompatibilidad, y la fiscalización correspondería a la ANCI en coordinación con la Superintendencia de Electricidad y Combustibles.

Seguridad de la información. Las empresas no OIV se clasificarían en niveles de impacto alto, medio o bajo según criterios objetivos (por ejemplo, más de 100.000 clientes regulados para distribuidoras). Las de impacto alto deberían implementar y certificar un sistema de gestión de seguridad de la información (SGSI) basado en la norma ISO/IEC 27001, con una declaración de aplicabilidad registrada ante el Coordinador; las de impacto medio o bajo deberían implementar 36 controles mínimos tomados de las normas ISO/IEC 27001 e ISO/IEC 27002. Todas deberían contar con una política de seguridad de la información aprobada por la alta dirección y con una Unidad de Seguridad de la Información y Ciberseguridad Industrial, con un encargado titular y uno suplente, que actúe como contraparte técnica del Coordinador y de las autoridades.

Ciberseguridad industrial. Las empresas deberían proteger sus entornos de tecnologías de la operación conforme al estándar de ciberseguridad para el sector eléctrico publicado por el Coordinador en octubre de 2022, basado en el estándar NERC-CIP. Los requerimientos dependerían del nivel de impacto asignado a cada cibersistema según las instalaciones en que se ubica, como centros de control o centrales de 300 MW o más. Se admite implementar estándares complementarios, como ISA/IEC 62443 o ISO/IEC 27019, y el Coordinador evaluaría anualmente el nivel de madurez, con una primera medición en 2028.

Plazos propuestos. Desde la publicación, las primeras obligaciones tendrían plazos de uno a cuatro meses (designación de la Unidad, política de seguridad y alcance del SGSI). El SGSI debería implementarse dentro de dos años desde la aprobación de la declaración de aplicabilidad y certificarse dentro de los ocho meses siguientes, mientras que los controles mínimos tendrían plazos de tres o cuatro años según el nivel de impacto. El estándar de ciberseguridad debería implementarse por las empresas en operación en plazos de entre seis meses y un año, según el nivel de impacto del cibersistema.

Para el sector, el proyecto confirma que la determinación de la calidad de OIV será clave para identificar el régimen aplicable y que las exigencias de ciberseguridad industrial alcanzarían igualmente a los OIV. Atendidos los plazos propuestos, es recomendable efectuar desde ya un análisis de brechas.

Modificación de la delegación de firma en la ANCI

El 9 de octubre de 2026 se publicó la Resolución Exenta Nº 250, de 7 de octubre de 2026, de la ANCI, que modifica la Resolución Exenta Nº 77, de 2025, sobre delegación de la facultad de firmar por orden del director nacional. Junto con ajustes en compras y personal, incorpora, entre los actos delegados, las resoluciones que resuelvan recursos administrativos interpuestos contra actos dictados en el procedimiento de calificación de OIV. La resolución no altera los criterios ni las obligaciones aplicables a los OIV, pero es relevante para las entidades que impugnen su calificación, al determinar quién firma la decisión de sus recursos.

Otras medidas de implementación de la Ley Marco de Ciberseguridad

En el marco del mes de la ciberseguridad, la ANCI informó que en el primer semestre de 2026 recibió 324 reportes de incidentes de efecto significativo de prestadores de servicios esenciales y OIV, y habilitó un portal de reporte ciudadano para comunicar incidentes y vulnerabilidades, de forma identificada o anónima y con una modalidad de puerto seguro. Este canal no sustituye los deberes legales de notificación de las entidades reguladas. La Agencia anunció, además, el primer Ejercicio Nacional de Ciberseguridad, de carácter anual, que se realizará el 29 de octubre de 2026, e incorporó el mecanismo ASPA (del inglés Autonomous System Provider Authorization) a la red de conectividad segura del Estado, lo que hace más difícil que terceros la suplanten o puedan desviar su tráfico hacia sitios maliciosos. 

Principales implicancias para las empresas

En protección de datos, la fecha legal de entrada en vigencia de la ley Nº 21.719 sigue siendo el 1 de diciembre de 2026, de modo que la postergación propuesta debe tratarse como una contingencia y no como un supuesto de planificación. El Decreto Supremo Nº 662, ya vigente, ofrece un parámetro concreto para organizar la gobernanza interna, la matriz de riesgos y el rol del delegado. En ciberseguridad, las empresas del sector eléctrico deberían confirmar su situación frente a la calificación de OIV y evaluar anticipadamente el impacto del proyecto de la CNE. Las entidades sujetas a la Ley Marco deben, por su parte, mantener sus procedimientos de notificación de incidentes conforme a la normativa vigente.