1. No hay un plazo de 72 horas para reportar una brecha
El artículo 14 sexies pide reportar las vulneraciones de seguridad «sin dilaciones indebidas». No fija horas.
Las 72 horas vienen de otra ley: la Ley 21.663 de ciberseguridad, para las instituciones que deben reportar incidentes al CSIRT. Un organismo puede estar sujeto a las dos, pero son obligaciones distintas.
2. El delegado de protección de datos no es obligatorio
El artículo 50 dice que el responsable «podrá» designar un delegado. Es voluntario.
En la práctica, igual conviene que alguien tenga el cumplimiento a su cargo y que esté designado por resolución.
3. La ley no nombra el registro de tratamientos
El registro de actividades de tratamiento no aparece como obligación con ese nombre. Lo que la ley exige es poder demostrar que se cumple.
Llevar el registro es la forma práctica de demostrarlo: qué datos se tratan, para qué, con qué base legal, dónde se guardan y quién accede.
4. En un órgano público, la multa la paga el jefe superior del servicio
A los órganos públicos no se les aplica la escala de multas en UTM de los privados. El artículo 44 sanciona al jefe superior del servicio:
- Multa del 20 % al 50 % de su remuneración mensual.
- Si la infracción persiste, el doble de la sanción y suspensión en el cargo por 5 días.
- Con datos sensibles, como los de salud, multa del 50 % y suspensión de hasta 30 días.
5. La prórroga no cambia las sanciones
La fecha fijada por la ley es el 1 de diciembre de 2026. En octubre de 2026 el Senado tramita el proyecto del Boletín 18.623-07, que propone postergarla. Mientras no se apruebe, la fecha vigente sigue siendo el 1 de diciembre de 2026.
El proyecto discute la fecha, no el régimen de sanciones. Con o sin prórroga, implementar toma meses.