Cómo notificar una brecha de datos personales

 ¿Qué hace este módulo / funcionalidad?

El módulo de Brechas de Seguridad de Cyclus gestiona el proceso completo de notificación cuando se comprometen datos personales en tu organización. La Ley 21.719 establece que si se produce una vulneración de seguridad que afecte datos personales (como un acceso no autorizado, una filtración o la pérdida de información), debes notificar a la Agencia de Protección de Datos dentro de las 72 horas siguientes a la detección.

Cyclus activa un contador regresivo de 72 horas desde el momento en que registras la brecha, te envía alertas automáticas a las 48 horas (recordatorio) y a las 72 horas (límite legal), y registra cada acción que tomas para que puedas demostrar diligencia ante la autoridad.

Las brechas se clasifican por severidad (Baja, Media, Alta, Crítica), y solo las de severidad Alta o Crítica disparan la obligación legal de notificación a la Agencia. Sin embargo, es buena práctica registrar todas las brechas para mantener un historial completo.

## Primeros pasos

1. **Registra la brecha** — Ve a Brechas > Nueva brecha. Indica el título, descripción detallada, severidad estimada, fecha de detección y sistemas afectados. El sistema asignará un folio (ejemplo: BREACH-2026-0001) y calculará la fecha límite de notificación.

2. **Clasifica la severidad** — Evalúa el impacto: ¿cuántos titulares están afectados?, ¿qué tipo de datos se comprometieron (sensibles o no)?, ¿cuál es el riesgo para los titulares? Cyclus te ayuda con la clasificación según estos criterios.

3. **Investiga y contén** — Documenta las acciones de contención en los comentarios de la brecha. Registra qué sistemas aislaste, qué accesos revocaste y qué medidas inmediatas tomaste.

4. **Notifica a la Agencia** — Si la severidad es Alta o Crítica, usa la acción "Notificar a la Agencia" desde el detalle de la brecha. Cyclus registra la fecha y hora exacta del envío como evidencia de cumplimiento.

5. **Notifica a los titulares** — Cuando corresponda, usa la acción "Notificar a titulares" para registrar que informaste a las personas afectadas sobre la brecha y las medidas adoptadas.

## Preguntas frecuentes

**¿Qué son las 72 horas y desde cuándo se cuentan?**

El plazo de 72 horas comienza desde el momento en que tu organización detecta la brecha de seguridad, no desde que ocurrió. Por ejemplo, si un acceso no autorizado ocurrió el lunes pero lo detectaste el miércoles, las 72 horas se cuentan desde el miércoles. A diferencia del plazo ARCO+ (15 días hábiles), las 72 horas de brechas son corridas e incluyen fines de semana y feriados.

**¿Todas las brechas deben notificarse a la Agencia?**

No. La obligación legal de notificación aplica cuando la brecha puede generar un riesgo relevante para los titulares de los datos. En la práctica, esto corresponde a las brechas de severidad Alta o Crítica en Cyclus. Las brechas de severidad Baja o Media igualmente deben registrarse internamente como parte de tu accountability.

**¿Qué información debe incluir la notificación a la Agencia?**

La notificación debe incluir: naturaleza de la brecha, categorías y número aproximado de titulares afectados, tipos de datos comprometidos, consecuencias probables, medidas adoptadas y datos de contacto del DPO o responsable. Cyclus pre-completa parte de esta información con los datos del registro de la brecha.

**¿Una brecha LDPD puede vincularse a un incidente de ciberseguridad?**

Sí. Si la brecha de datos personales fue causada por un ciberataque, puedes vincularla con un incidente del módulo CYB. Esto permite gestionar ambas obligaciones de forma coordinada: los plazos de la Ley 21.719 (72h) y los de la Ley 21.663 (3h/12h/72h) corren en paralelo.

## Marco legal relacionado

- **Ley 21.719, Artículo 14 ter** — Obligación de notificar vulneraciones de seguridad a la Agencia de Protección de Datos dentro de las 72 horas desde la detección.

- **Ley 21.719, Artículo 14 quáter** — Obligación de notificar a los titulares afectados cuando la brecha pueda generar un riesgo relevante para sus derechos.

- **DS 295/2024** — Reglamento que detalla el contenido mínimo de la notificación, formato y canal de envío.

- **Sanciones** — El incumplimiento de la obligación de notificación puede generar multas de hasta 20.000 UTM (~USD 1.4M).

## ¿Necesitas más ayuda?

Contacta a nuestro equipo en soporte@cyclus.cl o abre un ticket desde el botón de soporte en la plataforma.