Ley 21.719 en banca y seguros: que sus sistemas puedan probarlo

En banca y seguros la Ley 21.719 se suma a una supervisión que ya existe: bancos, compañías de seguros, corredoras y las entidades inscritas al amparo de la Ley Fintec 21.521 están sujetas a la Comisión para el Mercado Financiero, y las cajas de compensación de asignación familiar, al control y fiscalización de la Superintendencia de Seguridad Social (artículo 23 de la Ley 16.395 y artículo 3 de la Ley 18.833). Desde el 1 de diciembre de 2026 se añade el régimen de protección de datos personales de la Ley 19.628 en el texto fijado por la Ley 21.719, cuya autoridad es la Agencia de Protección de Datos Personales.

El Capítulo 20-10 de la Recopilación Actualizada de Normas de la CMF, «Gestión de Seguridad de la Información y Ciberseguridad», fue incorporado por la Circular N° 2.261, de 6 de julio de 2020, dictada por Resolución N° 3.255, y sus instrucciones rigen a contar del 1 de diciembre de 2020. El propio Capítulo se define como un conjunto de disposiciones basadas en buenas prácticas que deben considerarse «lineamientos mínimos a cumplir por las entidades», y precisa que la debida adhesión a ellos forma parte de la evaluación de gestión que la Comisión realiza a los bancos en el ámbito de los riesgos operacionales, atendiendo al volumen y complejidad de sus operaciones.

En el Título IV de la Norma de Carácter General N° 454 de la CMF —«Marco de gestión de riesgo de ciberseguridad»—, dentro del bloque de Evaluación de riesgo y control, la Comisión señala que «en cuanto al criterio de calificación de activos críticos, estos deberán ser clasificados desde una perspectiva de confidencialidad, integridad y disponibilidad», y añade que la aseguradora «deberá tener especial consideración en la clasificación de aquellos activos cuya seguridad se relacione con la garantía de protección de la privacidad y el resguardo de los datos personales y sensibles», identificándolos en su inventario y detallando las medidas asociadas al cumplimiento de la legislación vigente en esta materia. La NCG 454, de 18 de mayo de 2021, se dirige a entidades aseguradoras y reaseguradoras, y el pasaje forma parte de un bloque que la propia norma presenta como mejores prácticas, a implementar de manera proporcional y con enfoque basado en riesgo.

El artículo 154 de la Ley General de Bancos (DFL N° 3 de 1997, del Ministerio de Hacienda; promulgado el 26 de noviembre de 1997 y publicado el 19 de diciembre de 1997) sujeta a secreto bancario los depósitos y captaciones de cualquier naturaleza que reciban los bancos: sus antecedentes solo pueden proporcionarse a su titular, a quien este haya autorizado expresamente, a quien lo represente legalmente o a quien la ley autorice a pedirlos. Las demás operaciones quedan sujetas a reserva y solo pueden darse a conocer a quien demuestre un interés legítimo, siempre que el conocimiento de esos antecedentes no cause daño patrimonial al cliente.

La Ley 21.719 no modifica la Ley General de Bancos ni el régimen de secreto bancario. Su articulado permanente se agota en tres artículos: el primero introduce las modificaciones a la Ley 19.628 sobre protección de la vida privada, el segundo suprime el literal m) del artículo 33 del artículo primero de la Ley 20.285 sobre acceso a la información pública, y el tercero suprime el artículo 15 bis de la Ley 19.496 sobre protección de los derechos de los consumidores.

Desde el 1 de diciembre de 2026, el responsable deberá reportar a la Agencia de Protección de Datos Personales, por los medios más expeditos posibles y sin dilaciones indebidas, las vulneraciones a las medidas de seguridad que ocasionen la destrucción, filtración, pérdida o alteración accidental o ilícita de los datos personales que trate, o la comunicación o acceso no autorizados a dichos datos, cuando exista un riesgo razonable para los derechos y libertades de los titulares (art. 14 sexies inciso primero de la Ley 19.628, texto fijado por la Ley 21.719). Además deberá registrar esas comunicaciones —naturaleza de la vulneración, efectos, categorías de datos, número aproximado de titulares afectados y medidas adoptadas— y, cuando afecten a datos sensibles, a datos de niños y niñas menores de catorce años o a datos de obligaciones económicas, financieras, bancarias o comerciales, comunicarlas también a los titulares.

La ley chilena no fija para el reporte de brechas un plazo en horas equivalente al del RGPD. El RGPD, en cambio, fija 72 horas (art. 33.1). Atención al solapamiento sectorial: si la entidad está calificada como operador de importancia vital bajo la Ley 21.663, ahí sí hay reloj —alerta temprana dentro de 3 horas y actualización dentro de 72 horas ante el CSIRT Nacional (art. 9º)—, y ese deber convive con el de la Ley 19.628.

Ante un incidente de seguridad la carga de la prueba recae en el responsable. El art. 14 quinquies, inciso final, de la Ley 19.628 (texto fijado por la Ley 21.719, vigente desde el 1 de diciembre de 2026) dispone: «Ante la ocurrencia de un incidente de seguridad, y en caso de controversia judicial o administrativa, corresponderá al responsable acreditar la existencia y el funcionamiento de las medidas de seguridad adoptadas en base a los niveles de riesgo y a la tecnología disponible». Diseñamos el circuito de detección, calificación y escalado una vez, y que responda a cada marco que aplique a su entidad.

El artículo 4° de la Ley 21.663, Ley Marco de Ciberseguridad, califica como servicios esenciales, entre otros, los proveídos por instituciones privadas que realizan actividades de «banca, servicios financieros y medios de pago» y de «administración de prestaciones de seguridad social». El listado no es cerrado: la Agencia Nacional de Ciberseguridad puede calificar otros servicios como esenciales mediante resolución fundada de su Director Nacional, sometida a consulta pública, cuando su afectación pueda causar un grave daño a la población, a sectores relevantes de la economía o al normal funcionamiento de la sociedad.

Vermont presta en Chile servicios de tecnología de la información gestionados por terceros, una de las actividades que el artículo 4 de la Ley 21.663 enumera entre los servicios esenciales.

Para las instituciones bancarias, la ANCI declaró cuatro criterios de inclusión en la nómina de operadores de importancia vital (Resolución Exenta N° 87, Diario Oficial de 17 de diciembre de 2025): la calificación anual de bancos de importancia sistémica que efectúa la CMF conforme al Capítulo 21-11 de la Recopilación Actualizada de Normas; la opinión técnica de la propia CMF, emitida especialmente en el marco de ese proceso; la prestación de servicios financieros dirigidos a personas naturales —cuentas corrientes, captación de depósitos, créditos de consumo y créditos de vivienda—; y la presencia territorial de la entidad, considerando por ejemplo si cuenta con sucursales a lo largo del país y en diversas regiones.

En la nómina de la primera etapa del primer procedimiento de calificación, el apartado de banca, servicios financieros y medios de pago incluye siete compañías de seguros de vida. El criterio de inclusión fue precisamente que se tratara de compañías de seguros de vida —el llamado segundo grupo—, por el componente de ahorro de sus operaciones y las obligaciones e inversiones de largo plazo a que dan origen, y dentro de ese grupo se consideró a las entidades con participación de mercado relevante. El procedimiento se cerró con una segunda etapa, que incorporó entidades adicionales también en sectores ya calificados.

Con la publicación de la nómina definitiva de la segunda etapa el 24 de julio de 2026, la ANCI cerró el primer procedimiento de calificación de operadores de importancia vital: 239 de las 372 instituciones precalificadas en abril de 2026 quedaron calificadas en esa segunda etapa, y el total de las dos etapas asciende a 1.154 instituciones (cifra de la ANCI a 24 de julio de 2026). La Ley 21.663 obliga a revisar y actualizar la calificación al menos cada tres años, de modo que la cifra volverá a moverse.

El artículo 26 de la Ley 21.663 dispone que, cuando las normas o instrucciones de una autoridad sectorial —la CMF, en banca y seguros— establezcan obligaciones con efectos al menos equivalentes a las previstas en los protocolos, normas o instrucciones de la ANCI, prevalecerán las disposiciones de la autoridad sectorial. La prevalencia no opera sola: el mismo artículo exige que la Agencia y la autoridad sectorial dicten previamente una norma conjunta de carácter general que fije los criterios para evaluar esa equivalencia, y añade que, si la normativa sectorial no alcanza a todas las entidades del sector, las normas de la ANCI siguen siendo plenamente aplicables a las no exceptuadas. A la fecha de esta revisión, 11 de septiembre de 2026, no nos consta que se haya dictado esa norma conjunta ANCI–CMF.