Qué hacer ante una filtración de datos: a quién avisar y cuándo

La respuesta corta, según el artículo 14 sexies de la Ley 21.719: Juanita tiene que reportar a la Agencia de Protección de Datos Personales, por los medios más expeditos y sin dilaciones indebidas, si la filtración crea un riesgo razonable para las personas. Y como la planilla traía deudas, también tiene que avisarle a cada deudor. Todo eso, registrado. Aquí va en el orden en que Juanita lo necesita.

Lo que conviene hacer el mismo día

1. Contener. Pedirle al cliente que borre el correo y lo confirme por escrito; cortar accesos, cambiar contraseñas, lo que corresponda al caso.
2. Entender qué pasó. Qué datos, de cuántas personas, desde cuándo, quién tuvo acceso. Anotarlo en el momento, con la hora.
3. Evaluar el riesgo. ¿Hay un riesgo razonable para las personas? ¿Había datos sensibles, de niños o financieros?
4. Registrar. Todo lo anterior y lo que se decide, con fecha y con las razones.
5. Reportar a la Agencia si hay riesgo razonable, y avisar a cada persona en los tres casos que la ley nombra (abajo).
6. Corregir lo que permitió el incidente.

Ejemplo. A las siete de la tarde, Juanita tiene un documento de una página: qué pasó, a qué hora, qué datos, cuántas personas, qué se hizo, si se reporta o no y por qué. Al día siguiente lo revisa con quien lleva los temas legales. Si se reporta, ese documento es la base del reporte y del registro.

Cuándo hay que reportar a la Agencia

El artículo 14 sexies obliga a reportar a la Agencia las vulneraciones a las medidas de seguridad que causen la destrucción, filtración, pérdida o alteración accidental o ilícita de los datos, o su comunicación o acceso no autorizados, cuando exista un riesgo razonable para los derechos y libertades de las personas.

¿Cuándo? «Por los medios más expeditos posibles y sin dilaciones indebidas». La ley no fija un número de horas: pide no demorarse sin razón.

La frase que hay que pensar es la del riesgo razonable. La ley no la convierte en una regla automática; es una evaluación que le toca a la empresa. Ayudan preguntas concretas: qué tipo de datos eran, cuántas personas afecta —dos cosas que la Agencia también mira al fijar una multa (artículo 37)—, quién los recibió y qué puede hacer con ellos. Si se concluye que no hay riesgo, conviene dejar escrito por qué.

Y hay que registrar estas comunicaciones: la naturaleza de la vulneración, sus efectos, las categorías de datos, el número aproximado de personas afectadas y las medidas adoptadas para gestionarla y prevenir incidentes futuros.

Cuándo hay que avisarle a cada persona

En tres casos no basta con la Agencia. Si la vulneración afecta:

• datos sensibles (cuáles son);
• datos de niños y niñas menores de catorce años;
• datos relativos a obligaciones de carácter económico, financiero, bancario o comercial,

la empresa tiene que comunicarlo también a cada persona afectada, a través de sus representantes cuando corresponda. La ley dice cómo: en lenguaje claro y sencillo, singularizando los datos afectados, explicando las posibles consecuencias y las medidas de solución o resguardo que se tomaron. Si no se puede avisar a cada una, se publica un aviso en un medio de comunicación social masivo y de alcance nacional.

La planilla de Juanita tenía montos adeudados: datos de obligaciones económicas. Es uno de los tres casos, así que además del reporte a la Agencia, cada deudor tiene que recibir su aviso.

Ejemplo. El aviso no puede decir «hubo un incidente con sus datos». Tiene que decir qué datos fueron (su nombre, su teléfono y el monto de su deuda), qué puede pasar con ellos y qué hizo la empresa. Para escribirlo, la empresa tiene que saber exactamente qué salió.

Si la planilla traía datos de salud

Supongamos que la planilla de Juanita tenía además una columna de observaciones, donde una ejecutiva anotó que un deudor dejó de pagar por una enfermedad. Los datos relativos a la salud son datos sensibles (artículo 2°, letra g). La planilla ya obligaba a avisar a cada deudor; ahora hay un motivo más, y al fijar una eventual multa la Agencia considera si había datos sensibles (artículo 37). El aviso a ese deudor tiene que nombrar también esa observación entre los datos que salieron.

Si la planilla fue a parar a un chat de IA

Otra variante: en vez de mandarla al cliente equivocado, la ejecutiva pegó la planilla de los 1.800 deudores en un chat de IA gratuito, con su cuenta personal, para que le ordenara la cartera. Y se lo contó a Juanita esa misma tarde.

Que lo haya contado es una buena noticia, y la ley no dice que esto sea, automáticamente, una infracción: dice qué hay que evaluar. Las preguntas de la primera hora:

• Qué herramienta y qué cuenta. Un chat gratuito con cuenta personal no tiene contrato con la empresa. Una herramienta de la empresa, con contrato de encargo, es otra situación.
• Qué columnas. Nombre, RUT y teléfono identifican a cada deudor; el monto adeudado es la columna que decide si también hay que avisarle a cada uno.
• Qué pasa con la conversación. Si se puede borrar, qué dicen los términos de esa cuenta sobre guardar lo que se escribe o usarlo para entrenar. Borrarla es razonable, pero no la deja como si nunca hubiera ocurrido: el texto ya llegó al proveedor.

Entre las vulneraciones que nombra el 14 sexies está «la comunicación o acceso no autorizados» a los datos, y aquí llegaron a un proveedor sin contrato con la empresa. Una base de 1.800 personas con RUT y deudas es difícil de despachar como «sin riesgo».

Lo que no conviene es culpar a la ejecutiva y cerrar el tema. El artículo 14 bis pone en la empresa el deber de adoptar las medidas necesarias para que sus dependientes cumplan el deber de secreto. Si nadie le dijo qué herramienta usar, el problema no era sólo suyo. Cómo evitar el próximo caso está en la política de uso de IA en la empresa.

Si el incidente fue en un proveedor

Si quien trata los datos por tu empresa —su encargado— sufre una vulneración, el artículo 15 bis le exige reportarla a tu empresa. La responsable sigue siendo tu empresa: es ella la que evalúa el riesgo, reporta a la Agencia y avisa a las personas. Por eso conviene dejar el aviso escrito en el contrato de encargo.

Avisar a tiempo pesa a favor

Omitir deliberadamente comunicar una vulneración que pueda afectar la confidencialidad, disponibilidad o integridad de los datos es una infracción gravísima (artículo 34 quáter, letra f). En sentido contrario, entre las atenuantes del artículo 36 están reparar el daño o llegar a acuerdos con los afectados, colaborar con la investigación de la Agencia y autodenunciarse. Los montos están en las multas de la Ley 21.719.

Lo que hace Plumii

Plumii sirve antes, en la variante del chat de IA. La regla de la empresa tapa nombres, RUT, correos, teléfonos, direcciones y patentes antes de que el mensaje llegue al modelo, y bloquea números de tarjeta y contraseñas, mostrándole a la persona por qué. El registro de uso, sin las conversaciones, dice quién envió cada mensaje, cuándo y qué datos traía; en una empresa, también qué dato fue, visible sólo para quien la empresa designe, para saber qué salió si hay una duda. El filtro no reconoce los datos sensibles: la observación sobre la enfermedad de un deudor llega al modelo, aunque sin el nombre. Y si alguien sube la planilla como archivo, un modelo distinto al del chat la lee entera una vez, tal cual y sin la regla, para poder buscar en ella, y no la guarda; por eso conviene quitarle antes las columnas que la tarea no necesita. Mira cómo funciona.

Las personas, empresas y situaciones de este artículo son ficticias: las inventamos para explicar la ley, y cualquier parecido con un caso real es coincidencia. Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.