Ciberseguro en Chile: qué cubre realmente ante la Ley 21.719

El ciberseguro no es un solo producto: es un paquete de tres coberturas

A diferencia de un seguro de incendio o de un seguro de vida, el ciberseguro no tiene un tipo contractual propio en el Código de Comercio. En la práctica del mercado chileno, se estructura como una póliza que combina tres coberturas centrales, activadas por distintos tipos de eventos.

Qué gastos concretos cubre, más allá de la indemnización

Cuando se activa cualquiera de las tres coberturas, la póliza típicamente ampara también los llamados "costos de remediación":

• Costos forenses: investigar la causa, alcance y magnitud del incidente.
• Costos de recuperación de datos: recuperar o reemplazar datos y programas perdidos, borrados, corrompidos o encriptados.
• Gastos de representación legal: incluida la defensa en procedimientos administrativos o regulatorios.
• Costos de notificación: a las personas afectadas y a la autoridad correspondiente.
• Costos de relaciones públicas: para proteger o mitigar el daño reputacional.
• Costos de extorsión cibernética: ante una amenaza creíble de ransomware, con consentimiento previo de la aseguradora.
• Costos de monitoreo de crédito: para las personas afectadas, generalmente por 12 meses.

Claims made: la misma lógica que en D&O, con un matiz adicional

Como la mayoría de los seguros de responsabilidad civil moderna, el ciberseguro típicamente opera bajo la modalidad claims made: lo que activa la cobertura no es que el incidente haya ocurrido durante la vigencia de la póliza, sino que el reclamo se presente durante esa vigencia. La fecha de retroactividad y el período de descubrimiento son, igual que en una póliza D&O, los puntos que más vale la pena revisar al contratar o cambiar de aseguradora.

En la práctica del mercado, el gatillo suele ser más específico que un simple "reclamo durante la vigencia": para las coberturas de daño propio, exige que el evento ocurra y sea descubierto por el asegurado dentro de la vigencia (o que haya ocurrido sin conocimiento previo y se descubra durante ella); para las coberturas frente a terceros, exige además que el reclamo se presente por primera vez dentro de ese mismo período.

La ciberhigiene básica como condición de cobertura, no solo recomendación

Es habitual que la póliza exija, como condición para que opere la cobertura, estándares mínimos de seguridad: antivirus activo y actualizado, aplicación oportuna de parches de seguridad, firewalls correctamente configurados, y respaldos periódicos de los datos. El incumplimiento de estos estándares suele estar, además, expresamente listado como una exclusión aparte —una especie de doble cerrojo sobre el mismo punto.

No todas las pólizas tratan este incumplimiento de la misma manera. En algunas, existe una válvula de escape: el asegurado puede igual cobrar si demuestra que el incumplimiento no fue por dolo ni por negligencia grave, o que el incidente concreto no fue causado ni agravado por ese incumplimiento. En otras —más frecuente en pólizas de mayor envergadura— esa válvula no existe, y el estándar exigido es más técnico y objetivo: parches aplicados dentro de un plazo pactado para vulnerabilidades formalmente publicadas y calificadas por su severidad, y respaldos con una frecuencia mínima determinada. Este es, en la práctica, uno de los puntos donde más vale la pena comparar el condicionado exacto antes de contratar.

Exclusiones habituales

• Fallecimiento, lesiones personales o daño a bienes corporales —salvo la angustia mental derivada de un evento de datos o de seguridad de la red.
• Actos intencionales, criminales o fraudulentos cometidos o aprobados por un jefe superior, socio o director de la empresa.
• Fallas de terceros fuera del control de la empresa, como cortes de electricidad o de telecomunicaciones externas.
• Costos de actualizar o mejorar aplicaciones, sistemas o redes.
• Transferencia electrónica de fondos propios de la empresa —corresponde a una póliza de fidelidad o crimen, aunque algunas pólizas de ciberseguro sí ofrecen esta cobertura como extensión (ver más abajo).
• Ataques atribuibles a un estado soberano en el contexto de un conflicto bélico o de una "operación cibernética" —con mecanismos de atribución cada vez más precisos (ver más abajo).

Fraude del gerente ("fondos desviados"): una cobertura con una exclusión que sorprende

Algunas pólizas incluyen, como extensión opcional, cobertura por fondos transferidos fraudulentamente desde las cuentas de la empresa como consecuencia de un ataque cibernético —el clásico "fraude del CEO" o compromiso de correo corporativo. Pero conviene leer la letra chica: es habitual que esta cobertura excluya expresamente las pérdidas facilitadas por phishing o por instrucciones dadas telefónicamente o de viva voz. En otras palabras: si el fraude se concretó porque alguien llamó por teléfono haciéndose pasar por un gerente, puede quedar fuera de esta cobertura específica, aunque el resultado —la pérdida del dinero— sea idéntico a un caso que sí calificaría. Es un matiz que vale la pena revisar antes de asumir que esta extensión cubre cualquier fraude de este tipo.

La exclusión de guerra cibernética: cómo se prueba, y su conexión con la Ley 21.663

Las pólizas más sofisticadas excluyen los ataques atribuibles a un estado soberano en el marco de un conflicto, pero no dejan la atribución a la libre apreciación de la aseguradora: exigen que la pruebe dentro de un plazo acotado —en la práctica del mercado, del orden de tres meses desde que se notifica el hecho—, citando fuentes objetivas como el gobierno del país presuntamente afectado, un equipo oficial de respuesta a incidentes, o agencias de ciberseguridad reconocidas —entre las que ya se menciona expresamente a la Agencia Nacional de Ciberseguridad (ANCI), creada por la Ley 21.663—. Si la aseguradora no logra esa prueba dentro del plazo, la exclusión pierde fuerza en la práctica. Es un ejemplo concreto de cómo la Ley 21.663 ya se está incorporando al lenguaje contractual del mercado asegurador chileno.

Por qué esto importa ahora: la Ley 21.719

Chile publicó en diciembre de 2024 la Ley 21.719, que moderniza por completo la protección de datos personales y entra en plena vigencia el 1 de diciembre de 2026. Crea la Agencia de Protección de Datos Personales, con facultades para fiscalizar de oficio, investigar denuncias y sancionar directamente —a diferencia del régimen actual, que dependía de que el propio afectado demandara ante tribunales.

Si la vulneración afecta datos sensibles, datos de niños menores de 14 años, o datos económicos, financieros o comerciales, la empresa además debe notificar directamente a cada titular afectado, o por un medio de alcance nacional si eso no es posible. Las infracciones se clasifican en leves, graves y gravísimas, con multas que —en los tramos revisados en ejemplos aplicados de la ley— van de alrededor de 5.000 a 10.000 UTM para las graves, con un tramo superior para las gravísimas.

El riesgo que casi nadie está mirando: la responsabilidad civil del artículo 47

Además de las multas administrativas, la Ley 21.719 crea una acción civil de indemnización de perjuicios separada. El responsable de datos debe indemnizar el daño patrimonial y extrapatrimonial que cause a un titular cuando infrinja la ley y de ello resulte un perjuicio real. Tres elementos hacen que este riesgo sea distinto de una multa:

• La carga de la prueba está invertida: si se acredita la infracción, se presume la culpa de la empresa, que debe probar que actuó con la diligencia debida.
• El acceso está condicionado: la acción de indemnización solo puede interponerse una vez que la resolución de la Agencia esté ejecutoriada —o firme la sentencia del reclamo de ilegalidad—, y se tramita en procedimiento sumario.
• El daño incluye lo extrapatrimonial, no solo pérdidas económicas directas, lo que abre la puerta a indemnizaciones por angustia o estigmatización derivada de una filtración.

Hasta ahora, muchas empresas chilenas gestionaban el riesgo de una brecha de datos como un problema exclusivamente técnico. Con la Ley 21.719, se convierte además en un riesgo legal y financiero de dos pisos —sanción administrativa primero, exposición civil después— que un ciberseguro está diseñado específicamente para transferir. La propia regulación conecta, además, el deber de seguridad de esta ley con los estándares técnicos de la Ley 21.663, Marco de Ciberseguridad.

Cómo opera el seguro en la práctica ante un incidente

Una característica central de este tipo de póliza es que está pensada para activarse desde el momento mismo en que ocurre el incidente, no solo al final del proceso:

1. La empresa asegurada activa un sistema de gestión de crisis apenas toma conocimiento de un evento cubierto.
2. Entra en acción un gestor o coordinador de incidencias —un rol que en las pólizas más sofisticadas incluye un panel de expertos forenses, legales y de relaciones públicas ya pre-acordados con la aseguradora— que coordina las medidas inmediatas y activa los equipos necesarios para ejecutar las coberturas de remediación. Usar ese panel suele evitar el trámite de pedir autorización previa para cada gasto; elegir asesores propios, en cambio, normalmente sí la requiere.
3. En paralelo, se realiza la liquidación del siniestro para determinar la cobertura y el monto de la pérdida, conforme a las reglas generales vigentes en Chile —incluido el plazo de pago del Decreto Supremo N° 1.055 una vez acordada la indemnización.

En un incidente de ransomware o de filtración masiva, las primeras horas son las que determinan el costo final. Esa es la diferencia entre un ciberseguro bien contratado y simplemente "tener un seguro más".

Casos que han hecho noticia en Chile

Chile no ha sido ajeno a incidentes de gran escala: el ataque de ransomware que en 2020 obligó a BancoEstado a cerrar sucursales, o los ciberataques masivos como WannaCry, que en su momento afectaron a empresas y servicios en decenas de países incluido Chile, muestran que el riesgo no es hipotético. Directorios de empresas chilenas han identificado públicamente los ciberataques como uno de los mayores riesgos que enfrentan sus compañías.

Preguntas frecuentes

¿Mi empresa necesita un ciberseguro si no es una empresa tecnológica?

Sí. La Ley 21.719 aplica a toda organización que trate datos personales, sin importar su tamaño o rubro, lo que incluye datos de trabajadores, clientes, proveedores y postulantes a empleo.

¿El ciberseguro cubre el pago de un rescate de ransomware?

Puede cubrir los costos de extorsión cibernética como parte de los costos de remediación, típicamente sujeto a que la empresa obtenga el consentimiento previo de la aseguradora antes de pagar.

¿La Ley 21.719 exige reportar una filtración de datos dentro de 72 horas?

No. A diferencia del reglamento europeo (GDPR), la Ley 21.719 no fija un plazo fijo en horas. Exige reportar a la Agencia por los medios más expeditos posibles y sin dilaciones indebidas, un estándar de razonabilidad evaluado caso a caso.

¿Qué diferencia hay entre un seguro de responsabilidad civil general y un ciberseguro?

La responsabilidad civil general normalmente exige daño material o corporal y opera por ocurrencia. El ciberseguro típicamente excluye el daño material o corporal, opera bajo la modalidad claims made, y cubre categorías de costo que la responsabilidad civil general no contempla.

¿El ciberseguro cubre el fraude del CEO o transferencias hechas tras una llamada telefónica falsa?

Depende del condicionado. Algunas pólizas cubren fondos desviados por un ataque cibernético, pero excluyen expresamente las pérdidas facilitadas por phishing o por instrucciones dadas telefónicamente o de viva voz, aunque el resultado económico sea el mismo.

¿Qué pasa si no cumplí con los estándares mínimos de seguridad que exige mi póliza?

En algunas pólizas existe una válvula de escape: puede igual cobrar si demuestra que el incumplimiento no fue por dolo ni negligencia grave, o que el incidente no fue causado ni agravado por ese incumplimiento. En otras, especialmente las de mayor envergadura, esa válvula no existe.