Impacto de la Ley de Ciberseguridad y Protección de Datos en DAEM y SLEP
I. Resumen Ejecutivo
La Ley N° 21.663 (Ciberseguridad) y la Ley N° 21.719 (Protección de Datos Personales, vigencia plena programada para el 1 de diciembre de 2026) imponen a los órganos de la Administración del Estado un nuevo estándar de diligencia tecnológica y tutela. Este estándar transita desde un modelo históricamente reactivo e informal hacia uno de prevención, rendición de cuentas y fiscalización con sanciones efectivas.
Las 5 obligaciones de mayor impacto
II. Marco Normativo Aplicable
2.1. Ley N° 21.663 — Ciberseguridad
Establece la institucionalidad nacional, creando la Agencia Nacional de Ciberseguridad (ANCI) como servicio público descentralizado con facultades sancionatorias. Crea el CSIRT Nacional. Los DAEM y SLEP, como órganos de la Administración del Estado, son sujetos obligados.
2.2. Ley N° 21.719 — Protección de Datos
Reforma íntegramente la Ley N° 19.628. Crea la Agencia de Protección de Datos Personales (APDP). [Nota: se recomienda verificar el estado definitivo de su instalación a diciembre de 2026].
2.3. Interacción con Leyes del Sector Educación y Rol de la Superintendencia
La Ley N° 20.370 (LGE) consagra el resguardo de la integridad de los estudiantes, extensible hoy al ámbito digital. La Ley N° 21.040 ordena la transferencia de administración desde DAEM hacia SLEP.
2.4. Naturaleza Jurídica: DAEM vs. SLEP
| Dimensión | DAEM (Régimen Municipal) | SLEP (Ley N° 21.040) |
|---|---|---|
| Naturaleza | Dirección municipal. Sin personalidad jurídica. | Servicio público con personalidad jurídica y patrimonio propio. |
| Responsable legal | Municipalidad (Alcalde). | SLEP (Director Ejecutivo). |
| Ante Ley 21.719 | Responsable de tratamiento: la Municipalidad. | Responsable de tratamiento: el SLEP. |
III. Obligaciones en Ciberseguridad (Ley N° 21.663)
a) Gobernanza y Medidas Técnicas (art. 8)
- Gobernanza: SGSI, planes de continuidad, simulacros, y designación de encargado de ciberseguridad.
- Técnicas: Autenticación multifactor (MFA), parcheo de servidores, segmentación de red, respaldos inmutables y cifrado.
b) Reporte de incidentes (art. 9)
| Tipo de reporte | Plazo máximo | Contenido mínimo |
|---|---|---|
| Alerta temprana | 3 horas | Identificación del incidente, sistemas afectados, gravedad. |
| Reporte intermedio | 72 horas | Detalle de sistemas comprometidos, datos afectados, contención. |
| Reporte final | 30 días | [Regido por Ley 19.880 sobre días hábiles admin.] Análisis completo. |
c) Régimen sancionatorio
Las multas administradas por la ANCI alcanzan hasta 10.000 UTM (graves) y 20.000 UTM (gravísimas). Para órganos del Estado, a estas multas se suma la responsabilidad administrativa y sumarios contra las jefaturas.
IV. Protección de Datos Personales (Ley N° 21.719)
a) Derechos ARCOP y Cruces Normativos
Respuesta en 30 días corridos para Acceso, Rectificación, Cancelación, Oposición y Portabilidad (2 días hábiles para Bloqueo).
b) Delegado de Protección de Datos (DPD) y Contraloría
La designación del DPD (art. 49) es exigible si la organización opta por certificar un Modelo de Prevención de Infracciones. Para DAEM y SLEP, esto es estratégicamente ineludible.
c) Datos de menores de edad
V. Brechas y Riesgos Identificados
| Brecha | Descripción | Nivel de riesgo |
|---|---|---|
| Compras Públicas (Ley 19.886) | Licitaciones de software sin especificaciones de ciberseguridad. | Crítico |
| Infraestructura y Presupuesto | Equipos obsoletos y partidas municipales sin rubros de ciberseguridad. | Crítico |
| Shadow IT e Informalidad | Docentes usando apps no autorizadas. WhatsApp para notas médicas. | Crítico |
| Protocolos | Inexistencia de planes de respuesta. Cultura de ocultamiento. | Alto |
5.7. Compras Públicas y Adquisición Tecnológica
La contratación de licencias mediante Mercado Público suele basarse en precio. Ahora, las bases de licitación deberán incorporar obligatoriamente cláusulas sobre residencia de datos, certificaciones ISO y cumplimiento de las leyes 21.663/21.719.
VI. Hoja de Ruta de Cumplimiento
FASE 1: DIAGNÓSTICO (Meses 0-2) ├── Mapeo de datos personales y activos TI ├── Gap Analysis vs Leyes 21.663 / 21.719 └── Auditoría de contratos y bases tipo en Mercado Público FASE 2: DISEÑO (Meses 2-4) ├── Designación de DPD y Encargado Ciberseguridad ├── Modelo de Prevención de Infracciones (art. 49) └── Actualización de cláusulas de licitación y adendas FASE 3: IMPLEMENTACIÓN (Meses 4-8) ├── Despliegue técnico: MFA, segmentación, respaldos ├── Erradicación de flujos informales de datos └── Capacitación obligatoria del personal FASE 4: MONITOREO (Permanente) ├── Auditorías semestrales de accesos └── Integración en matriz de riesgos (Auditorías CGR)
VII. Conclusiones y Recomendaciones
El incumplimiento expone a los establecimientos a sumarios administrativos, intervención de la Superintendencia de Educación, auditorías de Contraloría y multas fiscales de hasta 40.000 UTM.
Recomendaciones priorizadas
VIII. Referencias Normativas
- Ley N° 21.663, Ley Marco sobre Ciberseguridad e Infraestructura Crítica.
- Ley N° 21.719, Protección de Datos Personales.
- Ley N° 21.040, Sistema de Educación Pública.
- Ley N° 20.370, Ley General de Educación.
- Ley N° 18.695, Orgánica Constitucional de Municipalidades.
- Ley N° 19.886, Ley de Compras Públicas.
- Ley N° 21.120, Ley de Identidad de Género.
- Ley N° 19.880, Bases de los Procedimientos Administrativos.
- Decreto Supremo N° 295/2024 (Reglamento incidentes).
- Instrucciones y oficios de la CGR, Superintendencia de Educación, ANCI y APDP.