Términos de protección de datos y ciberseguridad

26 términos ordenados por tema: derechos y obligaciones de la Ley 21.719, marcos ISO 27001, ciberseguridad (Ley 21.663), delitos económicos (Ley 21.595) y conceptos generales de datos personales.

ARCO+ / ARCOP

Conjunto de derechos que la Ley 21.719 otorga a todo titular de datos personales: Acceso, Rectificación, Cancelación, Oposición, Portabilidad y Bloqueo temporal (de ahí "ARCO+P+B" o "ARCOP"). Amplía los 4 derechos ARCO clásicos de la Ley 19.628. Guía completa: derechos ARCOP.

RAT (Registro de Actividades de Tratamiento)

Documento donde una organización inventaria qué datos personales trata, con qué finalidad, base de licitud, plazos de conservación y con quién los comparte. Es una obligación central de la Ley 21.719 y la base para responder solicitudes ARCOP. Ver guía de RAT y EIPD.

EIPD (Evaluación de Impacto en Protección de Datos)

Análisis previo que identifica y mitiga los riesgos para los titulares antes de iniciar un tratamiento de datos de alto riesgo, por ejemplo datos sensibles a gran escala o vigilancia sistemática. La Ley 21.719 la exige en esos casos. También conocida como DPIA. Ver guía práctica.

DPO / DPD (Delegado de Protección de Datos)

Persona u organización responsable de supervisar el cumplimiento de la Ley 21.719 dentro de una empresa. La ley usa el término legal "DPD"; "DPO" es su equivalente de uso frecuente en el mercado. Su designación es obligatoria en ciertos casos y puede ejercerse externamente: ver DPO externo en Chile. Ver el servicio de DPO Externo.

APDP (Agencia de Protección de Datos Personales)

Organismo autónomo creado por la Ley 21.719 para fiscalizar el cumplimiento de la normativa de datos personales en Chile, aplicar sanciones y administrar el Registro Nacional de Sanciones y Cumplimiento. Reemplaza la vía exclusiva de tribunales civiles ordinarios que existía bajo la Ley 19.628.

SGSI (Sistema de Gestión de Seguridad de la Información)

Conjunto de políticas, procesos, roles y controles con que una organización establece, implementa, mantiene y mejora la protección de su información, siguiendo el ciclo PDCA. Es el sistema de gestión certificable bajo ISO/IEC 27001.

SoA (Declaración de Aplicabilidad)

Documento pivote del SGSI, exigido por la cláusula 6.1.3 d) de ISO 27001, que declara qué controles del Anexo A aplican a la organización, cuáles se excluyen y por qué, y en qué estado de implementación se encuentra cada uno. Ver detalle en ISO 27001.

Anexo A (ISO 27001)

Catálogo de controles de seguridad de la información de ISO/IEC 27001:2022, organizado en 93 controles agrupados en cuatro temas: organizacionales, de personas, físicos y tecnológicos. La organización selecciona los aplicables según su evaluación de riesgos. Ver detalle del Anexo A.

ANCI

Agencia Nacional de Ciberseguridad e Infraestructura Crítica: organismo rector creado por la Ley 21.663 que fiscaliza el cumplimiento del Marco de Ciberseguridad, dicta normativa técnica complementaria y coordina la respuesta nacional ante incidentes de gran escala.

CSIRT Nacional

Equipo de respuesta ante incidentes de seguridad informática al que los operadores de infraestructura crítica y servicios esenciales deben reportar los incidentes de ciberseguridad, dentro de los plazos que exige la Ley 21.663. Ver guía de la Ley 21.663.

OIV (Operador de Importancia Vital)

Categoría reforzada de la Ley 21.663 para organizaciones cuya interrupción de servicio tendría un impacto sistémico en el país. Los OIV están sujetos a obligaciones de ciberseguridad más exigentes que el resto de instituciones y servicios esenciales.

UTM (Unidad Tributaria Mensual)

Unidad de cuenta reajustable usada en Chile para expresar el monto de multas y sanciones administrativas, entre ellas las de la Ley 21.719 (hasta 20.000 UTM) y la Ley 21.663. Su valor en pesos chilenos se actualiza mensualmente.

Ley 21.719

Nueva ley chilena de protección de datos personales, publicada en diciembre de 2024, con plena vigencia fijada para el 1 de diciembre de 2026 (hay un proyecto de prórroga en trámite). Reemplaza a la Ley 19.628, crea la APDP, moderniza los derechos ARCO+ y establece multas de hasta 20.000 UTM. Ver consultor Ley 21.719.

Ley 21.663

Marco de Ciberseguridad chileno, vigente desde 2024, que obliga a los operadores de infraestructura crítica y servicios esenciales a implementar controles de seguridad, gestionar incidentes y reportarlos al CSIRT Nacional bajo la fiscalización de la ANCI. Ver detalle en Cumplimiento Normativo.

Ley 21.595

Ley de Delitos Económicos que establece la responsabilidad penal de las personas jurídicas por delitos cometidos por sus directivos, ejecutivos o empleados. Para mitigar esa responsabilidad, exige contar con un Modelo de Prevención de Delitos. Ver detalle en Cumplimiento Normativo.

MPD (Modelo de Prevención de Delitos)

Programa de cumplimiento (canal de denuncias, encargado de prevención, políticas y debida diligencia) que las empresas implementan para mitigar su responsabilidad penal bajo la Ley 21.595. Es el equivalente, en materia penal económica, al modelo de prevención de infracciones de la Ley 21.719.

Dato personal

Cualquier información referida a una persona natural identificada o identificable, de forma directa o indirecta. Es el objeto central de protección de la Ley 21.719, que regula cómo se recopila, usa, almacena y comparte este tipo de información.

Dato sensible

Categoría especial de datos personales (salud, origen étnico o racial, creencias religiosas, afiliación sindical, orientación sexual, datos biométricos, entre otros) que la Ley 21.719 protege con exigencias reforzadas: mayor categoría de sanción y mayor conveniencia de contar con un DPO cuando se tratan a gran escala.

Base de licitud

Fundamento legal que justifica cada tratamiento de datos personales, por ejemplo el consentimiento del titular, la ejecución de un contrato o una obligación legal. La Ley 21.719 exige que toda organización pueda identificar la base de licitud de cada tratamiento que realiza.

Encargado de tratamiento

Persona natural o jurídica que trata datos personales por cuenta y siguiendo instrucciones del responsable del tratamiento, por ejemplo un proveedor de software o servicios. La Ley 21.719 exige que esta relación quede regulada mediante contrato.

Contrato de encargo de tratamiento (DPA)

Contrato que regula cómo un encargado trata datos personales por cuenta del responsable: instrucciones, finalidad, medidas de seguridad, subencargados, plazo de aviso de incidentes y devolución o eliminación de los datos al terminar el servicio. Es lo primero que piden los clientes en un cuestionario de proveedores. Ver servicio de cadena de suministro →

CISO Virtual (vCISO)

Director de ciberseguridad externo que asume el rol estratégico del Chief Information Security Officer por horas mensuales definidas: plan de seguridad, gestión de riesgos, políticas, proveedores, incidentes y reporte a la gerencia, sin contratar un ejecutivo de planta. Ver servicio de CISO Virtual →

Brecha de datos personales

Incidente de seguridad que compromete la confidencialidad, integridad o disponibilidad de datos personales: acceso no autorizado, pérdida o filtración. La Ley 21.719 exige reportarlo a la Agencia sin dilaciones indebidas cuando exista un riesgo razonable para los titulares, y comunicarlo también a ellos en ciertos casos.

NIST CSF

Marco de ciberseguridad del NIST (National Institute of Standards and Technology, EE.UU.), organizado en funciones como Identificar, Proteger, Detectar, Responder, Recuperar y Gobernar en su versión 2.0. IDATA Chile lo aplica en su metodología de trabajo.

COBIT 2019

Marco de gobierno y gestión de TI desarrollado por ISACA. Alinea la tecnología con los objetivos estratégicos del negocio e integra liderazgo, recursos y gestión de riesgos tecnológicos. Complementa a ISO 27001 (gestión de seguridad) y NIST CSF (riesgo cibernético). IDATA Chile lo aplica en su metodología de trabajo.

ISO 22301 (continuidad de negocio)

Norma internacional certificable que especifica los requisitos de un Sistema de Gestión de Continuidad del Negocio (SGCN): cómo una organización se prepara, responde y se recupera ante incidentes que interrumpen su operación (BCP/DRP). IDATA Chile la aplica junto a ISO 27001: ver certificaciones ISO.