Delegado de ciberseguridad y delegado de protección de datos en Chile: diferencias y responsabilidades
Conoce las funciones de ambas figuras, el marco normativo que las regula y cómo distinguir sus responsabilidades dentro de una organización.
La ciberseguridad y la protección de datos personales están estrechamente relacionadas, pero no son lo mismo. Una organización puede necesitar fortalecer sus controles tecnológicos y, al mismo tiempo, revisar cómo recopila, utiliza, conserva y protege la información personal que administra.
En este contexto aparecen dos funciones que conviene diferenciar: el delegado de ciberseguridad y el delegado de protección de datos personales. Aunque pueden colaborar frente a un incidente, sus objetivos, responsabilidades y marcos normativos no son equivalentes.
El delegado de ciberseguridad se relaciona con la coordinación y gestión de la seguridad digital dentro del marco que corresponda. El delegado de protección de datos se centra en el cumplimiento de las obligaciones relativas al tratamiento de datos personales. La exigencia de contar con cada figura debe analizarse según la normativa aplicable y las características de la institución.
¿Qué es un delegado de ciberseguridad?
El delegado de ciberseguridad es una figura vinculada a la coordinación de las responsabilidades de seguridad digital de una institución. Su función concreta depende del marco normativo aplicable, de la naturaleza de la organización y de las responsabilidades que le hayan sido asignadas.
En Chile, la Ley N.º 21.663, conocida como Ley Marco de Ciberseguridad, establece un marco institucional y obligaciones para las entidades comprendidas en su ámbito. Para las instituciones sujetas a exigencias específicas, la designación y las funciones relacionadas con ciberseguridad deben revisarse considerando las disposiciones legales y las instrucciones vigentes.
Coordinación de seguridad
Articular a los equipos y responsables que participan en la gestión de riesgos, la prevención y la respuesta ante incidentes de ciberseguridad.
Gestión de incidentes
Apoyar la coordinación de la respuesta, la comunicación interna y el seguimiento de las medidas que correspondan según el procedimiento establecido.
Seguimiento de medidas
Contribuir al seguimiento de controles, procedimientos y acciones destinadas a mejorar la postura de seguridad de la institución.
Comunicación y escalamiento
Facilitar la coordinación entre las áreas técnicas, la dirección y otros responsables cuando un evento requiere decisiones oportunas.
Es importante no confundir esta función con la administración diaria de todos los sistemas tecnológicos. La operación de firewalls, redes, plataformas y herramientas de seguridad puede estar a cargo de equipos internos o proveedores especializados, de acuerdo con la estructura de la organización.
¿Qué es un delegado de protección de datos personales?
El delegado de protección de datos personales es una figura orientada a apoyar la correcta aplicación de las obligaciones relacionadas con el tratamiento de datos personales. Su trabajo se vincula con la forma en que una organización obtiene, utiliza, almacena, comparte y elimina información que identifica o puede identificar a personas.
En Chile, la Ley N.º 21.719 introduce modificaciones al régimen de protección de datos personales y establece nuevas disposiciones cuya entrada en vigor está prevista para el 1 de diciembre de 2026. La obligación de designar una persona para esta función debe evaluarse conforme a la legislación aplicable, sin asumir que todas las empresas están sujetas automáticamente a una misma exigencia.
Una base de datos puede estar protegida frente a accesos no autorizados y, aun así, existir problemas relacionados con la legitimidad del tratamiento, la transparencia, la finalidad del uso o el ejercicio de los derechos de las personas. La seguridad técnica y el cumplimiento en materia de datos personales deben abordarse de manera complementaria.
Responsabilidades habituales de esta función
- Asesorar sobre el tratamiento de datos: apoyar la revisión de procesos que utilizan información personal.
- Promover el cumplimiento: contribuir a que las áreas conozcan y apliquen las obligaciones que les correspondan.
- Identificar riesgos: colaborar en la revisión de prácticas de recopilación, conservación, acceso y comunicación de datos.
- Apoyar la gestión de incidentes: coordinar con las áreas pertinentes cuando un evento pueda afectar datos personales.
- Facilitar la documentación: ayudar a mantener evidencia de procedimientos, decisiones y medidas de protección aplicadas.
El alcance efectivo de estas responsabilidades debe definirse según la normativa vigente, la estructura de gobierno de la organización y las funciones que se asignen formalmente a la persona responsable.
Delegado de ciberseguridad vs. delegado de protección de datos: diferencias principales
Ambas funciones pueden intervenir en un mismo escenario, pero lo hacen desde perspectivas diferentes. La siguiente tabla resume sus principales diferencias conceptuales.
| Aspecto | Delegado de ciberseguridad | Delegado de protección de datos |
|---|---|---|
| Enfoque | Seguridad digital, gestión de riesgos e incidentes. | Tratamiento de datos personales y cumplimiento de las obligaciones aplicables. |
| Objetivo | Coordinar y apoyar la protección de sistemas, servicios e infraestructura digital. | Promover la adecuada gestión de los datos personales y las garantías de las personas. |
| Ámbito técnico | Puede abarcar redes, sistemas, aplicaciones, accesos y continuidad operacional. | Puede abarcar finalidades, bases de tratamiento, conservación, acceso y derechos de titulares. |
| Incidentes | Apoya la coordinación de la respuesta técnica y de seguridad. | Evalúa, desde su ámbito, las implicancias del incidente para los datos personales y las obligaciones aplicables. |
| Normativa de referencia | Ley N.º 21.663 y las disposiciones aplicables a la institución. | Ley N.º 19.628, sus modificaciones por la Ley N.º 21.719 y las disposiciones aplicables. |
| Trabajo conjunto | Coordina con protección de datos, tecnología, continuidad y dirección. | Colabora con ciberseguridad, asuntos legales, tecnología y las áreas que tratan datos personales. |
Esta comparación es funcional y no sustituye las definiciones legales. Las atribuciones concretas de cada figura dependen de las disposiciones aplicables y de cómo la institución organice sus responsabilidades.
¿Qué establece la normativa chilena?
Para entender ambas figuras es necesario distinguir dos marcos legales que se relacionan, pero que tienen objetivos diferentes.
Ley Marco de Ciberseguridad
Establece el marco institucional de ciberseguridad en Chile y obligaciones para las entidades comprendidas en su ámbito, incluyendo disposiciones sobre reporte de incidentes y exigencias aplicables a determinados sujetos.
Reforma a la protección de datos personales
Modifica la legislación chilena sobre datos personales, incorpora nuevas disposiciones y establece un régimen cuyo inicio de vigencia está previsto para el 1 de diciembre de 2026.
¿Todas las empresas deben designar ambas figuras?
No es correcto afirmar que todas las empresas chilenas deben designar obligatoriamente un delegado de ciberseguridad y un delegado de protección de datos bajo las mismas condiciones.
La obligación debe determinarse revisando la normativa que corresponda a cada institución, sus características y las disposiciones específicas que le resulten aplicables. Además, conviene distinguir entre una designación legalmente exigida, una función interna asignada por la organización y una recomendación de buenas prácticas.
Verifica el ámbito de aplicación de cada ley, las obligaciones específicas de tu organización y las instrucciones vigentes. La evaluación jurídica debe considerar el caso concreto y no basarse solamente en el nombre del cargo.
¿Cómo deben colaborar ambas figuras?
Cuando un incidente afecta sistemas que contienen datos personales, la coordinación entre seguridad y protección de datos resulta especialmente importante. Cada responsable aporta información distinta para que la organización pueda contener el evento, entender su alcance y evaluar las actuaciones que correspondan.
Detectar y evaluar el incidente
El equipo técnico reúne alertas, registros y antecedentes iniciales para identificar sistemas afectados, posibles accesos no autorizados y riesgos operacionales.
Coordinar la contención
Los responsables técnicos aplican las medidas que correspondan para limitar el impacto y preservar evidencia, de acuerdo con los procedimientos definidos.
Evaluar el impacto sobre los datos personales
Se determina qué información podría estar involucrada, qué se ha confirmado y qué obligaciones de comunicación o actuación podrían resultar aplicables.
Coordinar reportes y decisiones
La organización revisa los canales, destinatarios y plazos que correspondan a cada obligación, evitando asumir que una notificación reemplaza automáticamente a otra.
Documentar y mejorar
Se registra lo ocurrido, las medidas adoptadas y las oportunidades de mejora para fortalecer los controles y los procedimientos de respuesta.
Por ejemplo, si una organización detecta un acceso no autorizado a un servidor que almacena información de clientes, el equipo de ciberseguridad puede concentrarse en investigar y contener la intrusión. La función de protección de datos, cuando corresponda, puede apoyar la evaluación de las implicancias sobre la información personal y las obligaciones asociadas. Ambas perspectivas se complementan, pero no son intercambiables.
Cómo prepararse como organización
Independientemente de cómo se distribuyan formalmente las funciones, las organizaciones pueden avanzar en una estructura de trabajo que conecte seguridad tecnológica, cumplimiento normativo y gestión de riesgos.
Identificar responsabilidades
Define quién toma decisiones, quién coordina los incidentes, quién revisa las implicancias legales y quién mantiene informada a la dirección.
Revisar sistemas y datos
Identifica los activos críticos, los sistemas que procesan datos personales y las dependencias entre aplicaciones y servicios.
Documentar procedimientos
Establece criterios de escalamiento, responsables titulares y suplentes, canales de comunicación y mecanismos de registro.
Evaluar controles de seguridad
Revisa accesos, actualizaciones, monitoreo, respaldos y procedimientos de respuesta según los riesgos identificados.
Lista de revisión inicial
- ¿La organización ha identificado las normas que le resultan aplicables?
- ¿Existen responsables definidos para seguridad digital y protección de datos?
- ¿Se sabe qué sistemas contienen información personal y quién puede acceder a ella?
- ¿Existe un procedimiento documentado para gestionar incidentes?
- ¿Se han revisado los canales y plazos de comunicación que podrían aplicar?
- ¿Los responsables y equipos conocen sus funciones y han practicado cómo coordinarse?
El apoyo tecnológico como parte de una estrategia integral
La asignación de responsabilidades debe acompañarse de controles técnicos y procedimientos que permitan prevenir, detectar y responder a incidentes. La tecnología, por sí sola, no resuelve todas las obligaciones normativas, pero puede contribuir a reducir riesgos y mejorar la capacidad de respuesta.
Según las necesidades de cada organización, una estrategia de ciberseguridad puede considerar controles de acceso, protección perimetral, monitoreo, gestión de vulnerabilidades, continuidad operacional y soporte especializado.
En Neuronet ayudamos a las organizaciones a evaluar sus necesidades tecnológicas y alternativas de ciberseguridad, considerando su infraestructura, sus objetivos y los riesgos que buscan abordar.
¿Necesitas fortalecer la ciberseguridad de tu organización?
Conversemos sobre tu infraestructura, tus necesidades de protección y las alternativas tecnológicas que pueden apoyar tu estrategia de seguridad.
Contactar a Neuronet →Preguntas frecuentes sobre los delegados de ciberseguridad y protección de datos
¿Cuál es la diferencia entre un delegado de ciberseguridad y uno de protección de datos?
El delegado de ciberseguridad se vincula con la coordinación de la seguridad digital y la gestión de riesgos dentro del marco aplicable. El delegado de protección de datos se centra en las obligaciones relacionadas con el tratamiento de información personal. Sus funciones pueden complementarse, pero no son equivalentes.
¿Todas las empresas en Chile deben tener un delegado de ciberseguridad?
No debe asumirse que la obligación es idéntica para todas las empresas. Es necesario revisar la Ley N.º 21.663, su ámbito de aplicación y las disposiciones específicas que correspondan a la institución.
¿Todas las empresas deben designar un delegado de protección de datos?
La obligación debe evaluarse conforme a la Ley N.º 19.628, las modificaciones introducidas por la Ley N.º 21.719 y las disposiciones aplicables a cada organización. No conviene generalizar sin revisar el supuesto legal concreto.
¿Cuándo entra en vigor la Ley 21.719?
La entrada en vigor de la Ley N.º 21.719 está prevista para el 1 de diciembre de 2026. Las organizaciones deberían revisar con anticipación las obligaciones que les correspondan y planificar las adecuaciones necesarias.
¿Una misma persona puede asumir ambas funciones?
La viabilidad depende de las exigencias legales aplicables, las funciones concretas, la capacidad de ejercerlas adecuadamente y los posibles conflictos de interés. Antes de combinar responsabilidades, conviene realizar una evaluación jurídica y organizacional.
¿Qué ocurre si un incidente de ciberseguridad afecta datos personales?
La organización debe gestionar la respuesta técnica y evaluar, en paralelo, las implicancias para los datos personales. Las obligaciones de reporte o comunicación deben determinarse según las normas aplicables a cada caso; una notificación no reemplaza automáticamente a otra.
¿Qué puede hacer una empresa para prepararse?
Puede identificar las normas aplicables, definir responsables, inventariar los sistemas y datos críticos, documentar procedimientos de respuesta y revisar sus controles de seguridad. El plan debe adaptarse a los riesgos y características de la organización.
Fuentes normativas de referencia
- Biblioteca del Congreso Nacional de Chile: consulta de la Ley N.º 21.663, Ley Marco de Ciberseguridad.
- Biblioteca del Congreso Nacional de Chile: consulta de la Ley N.º 19.628 y la Ley N.º 21.719 sobre protección de datos personales.
- Agencia Nacional de Ciberseguridad (ANCI): información institucional y normativa de ciberseguridad.
Este contenido tiene fines informativos y no constituye asesoría jurídica. Las obligaciones específicas deben verificarse conforme al texto legal vigente, las instrucciones aplicables y las características de cada organización.
