La Ley 21.719 entra en vigencia plena y muchas organizaciones quedarán bajo dos reguladores
Un mismo incidente que comprometa datos personales puede activar simultáneamente a la ANCI y a la nueva Agencia de Protección de Datos, con obligaciones, plazos y sanciones distintas.
La Ley 21.663 de ciberseguridad y la Ley 21.719 de protección de datos personales son normativas distintas, con reguladores distintos y lógicas distintas. Pero se cruzan en el punto exacto donde más duele: la brecha de seguridad que afecta datos personales.
En qué se diferencian
| Ley 21.663 | Ley 21.719 | |
|---|---|---|
| Qué protege | La continuidad y seguridad de redes y sistemas informáticos | Los datos personales y los derechos de sus titulares |
| A quién obliga | Organismos del Estado y prestadores de servicios esenciales del artículo 4 | A todo quien trate datos personales |
| Regulador | ANCI, o la autoridad sectorial competente | Agencia de Protección de Datos Personales |
| Publicación | 8 de abril de 2024 | 13 de diciembre de 2024 |
| Vigencia plena | 1 de marzo de 2025 | 1 de diciembre de 2026 |
| Sanciones | Hasta 20.000 UTM, o 40.000 UTM si es OIV | Hasta 20.000 UTM, con tope de 2% o 4% de ingresos anuales en caso de reincidencia grave o gravísima |
Dónde se cruzan
El punto de contacto está en el artículo 27 de la Ley 21.663, que considera de efecto significativo —y por tanto reportable— todo incidente capaz de afectar sistemas informáticos que contengan datos personales. No exige que haya interrupción del servicio ni daño a las personas: basta con que los sistemas comprometidos alberguen datos personales.
A eso se suma el artículo 8 letra g), que obliga a los OIV a informar a los potenciales afectados sobre incidentes que puedan comprometer gravemente su información, especialmente cuando involucren datos personales y no exista otra disposición legal que exija la notificación.
Por su parte, la Ley 21.719 establece su propio deber de notificación de brechas de seguridad ante la Agencia de Protección de Datos y, en ciertos casos, ante los titulares afectados.
El resultado práctico
Un ransomware que cifre una base de datos de clientes en un OIV genera, al mismo tiempo, un reporte al CSIRT Nacional en 3 horas y una notificación de brecha bajo la Ley 21.719. Dos autoridades, dos formatos, dos plazos, y evidencia que hay que producir en paralelo mientras el incidente está en curso.
La regla que evita la doble sanción
El artículo 40 de la Ley 21.663 resuelve el concurso de forma expresa: cuando por unos mismos hechos y fundamentos jurídicos el infractor pudiese ser sancionado con arreglo a esta ley y a otra u otras, se le impondrá la de mayor gravedad. Y agrega que en ningún caso podrán aplicarse al infractor, por los mismos hechos y fundamentos jurídicos, dos o más sanciones administrativas.
Es una garantía relevante, pero tiene un límite importante: opera sobre los mismos hechos y fundamentos jurídicos. No reportar al CSIRT y no notificar la brecha a la autoridad de datos son incumplimientos de deberes distintos, con fundamentos distintos. La regla protege contra la doble sanción por el mismo incumplimiento, no contra sanciones por incumplimientos diferentes.
Qué hacer antes de diciembre
- Identifica qué sistemas del alcance contienen datos personales. Determina el solapamiento entre ambos regímenes: es el inventario que sirve para las dos leyes.
- Unifica el procedimiento de gestión de incidentes. Un solo procedimiento con dos ramas de notificación, no dos procedimientos paralelos.
- Centraliza la evidencia. Vas a tener que responder dos veces por los mismos hechos ante autoridades distintas; la trazabilidad tiene que ser única.
- Define responsables. El delegado de ciberseguridad responde ante la ANCI. La Ley 21.719 tiene sus propias figuras. Deja claro quién habla con quién antes de necesitarlo.
- Revisa los contratos con encargados de tratamiento y proveedores TI, que quedan alcanzados por ambos regímenes.
Revisado el 5 de agosto de 2026. Fuente: Ley N° 21.663, artículos 8 g), 27 y 40; Ley N° 21.719 sobre protección de datos personales. No constituye asesoría legal.