Diferencia entre Ley 21.719 y Ley 21.663

Chile cuenta con dos leyes principales en materia de seguridad y privacidad de la información: la Ley 21.719 de Protección de Datos Personales y la Ley 21.663 de Ciberseguridad e Infraestructura Crítica. Aunque ambas regulan aspectos de seguridad, tienen objetivos distintos, aplican a organizaciones diferentes y establecen plazos y obligaciones propias.

Muchas empresas deben cumplir ambas leyes simultáneamente, ya que un ciberataque puede comprometer datos personales y activar las obligaciones de las dos normativas al mismo tiempo. Cyclus gestiona ambos marcos legales en una sola plataforma, permitiendo vincular incidentes de ciberseguridad con brechas de datos personales y gestionar los plazos de cada ley de forma coordinada.

## Primeros pasos

1. **Determina cuáles leyes te aplican** — La Ley 21.719 aplica a toda organización que trate datos personales en Chile (prácticamente todas). La Ley 21.663 aplica principalmente a OIV, operadores esenciales y organizaciones con obligaciones de ciberseguridad.

2. **Activa los módulos correspondientes** — Si te aplica solo protección de datos, activa el módulo LDPD. Si también tienes obligaciones de ciberseguridad, activa el módulo CYB. Muchas empresas necesitan ambos.

3. **Configura los responsables de cada marco** — La Ley 21.719 requiere un DPO (Data Protection Officer). La Ley 21.663 requiere un Delegado de Ciberseguridad. Pueden ser la misma persona o personas distintas.

4. **Conoce los plazos de cada ley** — LDPD: ARCO+ en 15 días hábiles, brechas en 72 horas. CYB: incidentes en 3h/12h/72h. Cyclus calcula y monitorea todos los plazos de forma independiente.

5. **Vincula cuando corresponda** — Si un incidente de ciberseguridad compromete datos personales, vincula ambos registros en Cyclus para gestionar las dos obligaciones de notificación en paralelo.

## Preguntas frecuentes

**¿Cuál es la diferencia principal entre ambas leyes?**

La Ley 21.719 protege los datos personales de las personas (privacidad) y regula cómo las organizaciones recopilan, almacenan y usan esa información. La Ley 21.663 protege la infraestructura crítica del país contra amenazas de ciberseguridad. Una se enfoca en los derechos de las personas sobre sus datos; la otra en la resiliencia digital de las organizaciones e infraestructura del país.

**¿Puede aplicar una ley sin la otra?**

Sí. Una PYME que trata datos de clientes pero no opera infraestructura crítica solo debe cumplir la Ley 21.719. A la inversa, un operador de red eléctrica que no trata datos personales sensibles tendría principalmente obligaciones bajo la Ley 21.663. Sin embargo, en la práctica la mayoría de las empresas reguladas tratan datos personales y tienen activos digitales, por lo que ambas leyes coexisten.

**¿Qué pasa cuando un incidente activa ambas leyes?**

Si un ciberataque compromete datos personales, debes cumplir los plazos de ambas leyes en paralelo: notificar a la ANCI dentro de 3h/12h/72h (Ley 21.663) y notificar a la Agencia de Protección de Datos dentro de 72h (Ley 21.719). Cyclus permite vincular el incidente CYB con la brecha LDPD para gestionar ambos flujos de forma coordinada.

**¿Las multas son distintas?**

Sí. La Ley 21.719 contempla multas de hasta 20.000 UTM (~USD 1.4M). La Ley 21.663 contempla multas de hasta 40.000 UTM (~USD 2.8M) para OIV. Ambas multas son acumulables si se incumplen ambas normativas.

**¿Ante qué autoridad respondo en cada caso?**

Para la Ley 21.719, la autoridad es la Agencia de Protección de Datos Personales. Para la Ley 21.663, la autoridad es la ANCI (Agencia Nacional de Ciberseguridad) y el CSIRT Nacional. Son organismos distintos con facultades y procedimientos propios.

## Marco legal relacionado

- **Ley 21.719** — Ley sobre Protección de Datos Personales. Publicada diciembre 2024, vigencia escalonada 2025-2026. Aplica a toda organización que trate datos personales. Autoridad: Agencia de Protección de Datos. Multas: hasta 20.000 UTM.

- **Ley 21.663** — Ley Marco sobre Ciberseguridad e Infraestructura Crítica. Vigente desde abril 2024. Aplica a OIV, operadores esenciales y organizaciones con obligaciones de ciberseguridad. Autoridad: ANCI + CSIRT Nacional. Multas OIV: hasta 40.000 UTM.

- **DS 295/2024** — Reglamento compartido que detalla procedimientos para ambas normativas.

## ¿Necesitas más ayuda?

Contacta a nuestro equipo en soporte@cyclus.cl o abre un ticket desde el botón de soporte en la plataforma.