Seguridad que se puede acreditar
Ante un incidente de seguridad, y si se abre una controversia judicial o administrativa, corresponde a la empresa acreditar que las medidas existían y funcionaban. Declararlas no basta.
Medidas proporcionales al riesgo, evaluadas con regularidad
La ley no entrega una lista cerrada de controles obligatorios: exige medidas técnicas y organizativas apropiadas al riesgo, considerando el estado de la técnica, los costos, y la naturaleza, el alcance, el contexto y los fines del tratamiento. Una empresa que trata fichas clínicas no puede resguardarlas igual que una lista de correos.
Sí menciona expresamente cuatro cosas: el cifrado y la seudonimización de los datos; la capacidad de garantizar de forma permanente la confidencialidad, integridad, disponibilidad y resiliencia; la capacidad de restaurar el acceso a los datos rápidamente tras un incidente; y un proceso de verificación y evaluación regular de la eficacia de las medidas. Ese último punto es el que más se olvida: no basta con implementar, hay que revisar y dejar constancia de la revisión.
Ante la ocurrencia de un incidente de seguridad, y en caso de controversia judicial o administrativa, corresponderá al responsable acreditar la existencia y el funcionamiento de las medidas de seguridad adoptadas en base a los niveles de riesgo y a la tecnología disponible.
A esto se suman dos deberes vecinos: el de secreto o confidencialidad, que subsiste incluso después de terminada la relación con la persona y alcanza a trabajadores y proveedores (artículo 14 bis), y el de reportar a la Agencia las vulneraciones de seguridad sin dilaciones indebidas cuando exista un riesgo razonable para los derechos y libertades de los titulares, avisando además a las personas afectadas cuando los datos son sensibles, de niñas y niños menores de catorce años o de carácter económico, financiero, bancario o comercial (artículo 14 sexies).
El problema no suele ser la falta de controles
Casi todas las empresas medianas tienen respaldos, antivirus, contraseñas y algún control de acceso. Lo que no tienen es cómo demostrar, en una fecha determinada del pasado, qué controles existían, quién era su responsable, cuándo se revisaron por última vez y con qué resultado. Cuando ocurre un incidente, reconstruir esos antecedentes bajo presión aumenta el riesgo de omisiones, inconsistencias y evidencia incompleta.
Medidas apropiadas al riesgo, revisadas con regularidad, y la capacidad de acreditar después que existían y funcionaban, si un incidente termina en una controversia judicial o administrativa.
La prueba tiene que ser anterior al incidente. Un informe escrito el día después no acredita el estado del día anterior.
Orbix mantiene un inventario vivo de 35 controles repartidos en nueve dominios, cada uno anclado al artículo que lo sostiene. Cada control queda en uno de cinco estados (implementado, parcial, ausente, no lo sabe, no aplica) con su responsable, su fecha de última revisión y la evidencia adjunta.
Los controles no se declaran en abstracto: se responden por área, con preguntas en lenguaje de negocio, y la plataforma calcula la cobertura por dominio. Un dominio donde nadie sabe responder aparece marcado como falta de visibilidad, que es distinto de estar incumplido, y se trata distinto.
Cada cambio de estado queda registrado en la cadena de auditoría con fecha, autor y huella. Eso es lo que permite mostrar cuál era la postura de seguridad en la fecha de un incidente, sin depender de la memoria de nadie.
Cómo se organiza el inventario
Cómo tratamos los datos que usted nos confía
Los datos viajan y se almacenan cifrados. La infraestructura sobre la que corre Orbix opera en Estados Unidos, de modo que hay transferencia internacional de datos. La ley chilena no obliga a que los datos se queden en el país. Lo que exige es que la transferencia se ampare en alguna de las vías del artículo 27, que se informe públicamente junto con las garantías que la cubren (artículo 14 ter letra h) y que el responsable pueda acreditar ante la Agencia que se hizo conforme a la ley (artículo 28). La vía que corresponde a nuestro caso es la de cláusulas contractuales con garantías adecuadas, que es la letra b del artículo 27, con el estándar que fija el artículo 28. Estamos cerrando esos contratos con nuestros proveedores de infraestructura; cuando estén firmados lo diremos acá con la fecha, y no antes. Con cada cliente se firma un contrato de encargo de tratamiento: en su operación, Orbix es encargado y usted sigue siendo el responsable.
No publicamos insignias de certificaciones que no poseemos. Toda certificación futura se publicará junto con el documento que permita verificarla.
El 1 de diciembre de 2026 la ley será plenamente exigible
La puesta en marcha toma alrededor de un mes; cerrar todas las brechas depende de cada empresa. En una demostración de 30 minutos revisamos su caso: qué tratamientos realiza, qué brechas tiene y por dónde partir.