A seis meses de la entrada en vigor de la Ley 21.719, que establece la normativa más estricta en materia de protección de datos en Chile, la situación del mercado asegurador se presenta preocupante. Las pólizas actualmente disponibles no incluyen explícitamente la cobertura de las multas que la nueva Agencia de Protección de Datos Personales (APDP) podrá imponer, que pueden llegar hasta los USD $1,55 millones en casos de infracciones gravísimas. Esta falta de protección deja a la mayoría de las empresas chilenas expuestas a un riesgo económico significativo y a un posible daño reputacional, especialmente aquellas que manejan grandes volúmenes de datos o información sensible.
La Ley 21.719, que regirá a partir del 1 de diciembre, dotará a la APDP con el poder de sancionar a las empresas con multas que equivalen hasta el 4% de sus ingresos anuales. Sin embargo, una revisión del panorama de las pólizas de seguro revela que, en su mayoría, estas fueron diseñadas antes de la existencia de dicha agencia y no contemplan las sanciones que esta puede imponer. Es un error común entre las empresas asumir que sus pólizas actuales, sean de responsabilidad civil o de ciberriesgo, las cubren ante esta nueva regulación. Esto crea una brecha peligrosa que muchas organizaciones aún no han gestionado.
Los especialistas advierten que las empresas deben tener en cuenta varios frentes de exposición bajo la nueva legislación. Estos incluyen la necesidad de defensa legal frente a la APDP, costos asociados a la notificación de afectados, las multas administrativas y el daño reputacional resultante de una posible inclusión en el Registro Nacional de Sanciones. No tener la debida cobertura en estas áreas puede significar que, ante una infracción, la empresa no solo enfrentará grandes costos legales, sino que también sufrirá un impacto negativo en la confianza de sus clientes, lo que resulta en una difícil recuperación comercial.
Para que una póliza responda adecuadamente a las exigencias de la Ley 21.719, debe contar con ciertos componentes críticos: cobertura de responsabilidad de privacidad, costos de respuesta a brechas, defensa reguladora y sanciones, y sublímites adecuados al tamaño de la empresa. Sin embargo, muchas pólizas en el mercado no abarcan estos elementos de forma efectiva, lo que deja a muchas empresas con una falsa sensación de seguridad. Por ejemplo, una póliza con un límite total considerable pero con sublímites bajos para gastos regulatorios puede resultar completamente insuficiente ante una crisis real.
A medida que se acerca la fecha de entrada en vigor de la ley, el tiempo se agota para que las empresas actualicen sus programas de seguros. Las grandes industrias se verán sujetas a sanciones desde el primer día, mientras que las PYMEs tendrán un año de gracia. Esto compromete la capacidad de las empresas para adecuarse a una normativa que exige una revisión detallada de su postura en ciberseguridad, un proceso que puede ser largo y complicado. Quienes esperan realizar esta evaluación en los últimos meses del año se encontrarán en una situación engañosamente peligrosa, ya que el plazo para actuar se acorta rápidamente.
