La nueva Ley de Datos pone a prueba a los programas de seguros corporativos

El próximo 1 de diciembre de 2026 marcará un punto de inflexión para las empresas que operan en Chile. Ese día entra en plena vigencia la Ley N° 21.719 sobre Protección de Datos Personales, una de las reformas regulatorias más relevantes de los últimos años en materia de gobierno corporativo, cumplimiento normativo y administración de riesgos.

La nueva normativa crea la Agencia de Protección de Datos Personales (APDP), redefine las obligaciones aplicables al tratamiento de información personal e incorpora un régimen sancionatorio significativamente más exigente que el existente hasta ahora.

Sin embargo, mientras gran parte de la preparación empresarial se ha concentrado en cumplimiento, adecuación tecnológica y fortalecimiento de controles de ciberseguridad, comienza a surgir una pregunta distinta dentro del mercado asegurador:

¿Los programas de seguros corporativos actualmente contratados fueron estructurados para responder a este nuevo entorno regulatorio?

Más que crear un riesgo completamente nuevo, la Ley 21.719 parece estar poniendo a prueba algo más profundo: la arquitectura completa de transferencia de riesgos que muchas organizaciones han construido durante años.

Un riesgo que trasciende el ciberataque

Durante mucho tiempo, el riesgo asociado a los datos personales fue entendido principalmente como un problema tecnológico.

Una intrusión informática.

Una filtración de información.

Una caída operacional.

Pero la nueva legislación amplía considerablemente esa visión.

El tratamiento de datos personales deja de ser únicamente una materia de seguridad informática y pasa a convertirse en una exposición transversal que involucra procesos comerciales, recursos humanos, proveedores, experiencia de clientes, gobierno corporativo, continuidad operacional y cumplimiento regulatorio.

La consecuencia práctica es que el riesgo ya no se limita al incidente que origina el problema.

Comienza a extenderse hacia sus efectos financieros, legales, regulatorios y reputacionales.

Desde la perspectiva aseguradora, esto obliga a revisar una premisa que todavía permanece instalada en muchas organizaciones: asumir que contar con seguros corporativos equivale automáticamente a estar protegido frente a las consecuencias económicas derivadas de una contingencia vinculada a datos personales.

Cuando el programa de seguros deja de evaluarse por póliza y comienza a evaluarse por exposición

Uno de los fenómenos que podría comenzar a observarse durante los próximos meses es la aparición de diferencias relevantes entre el riesgo que las empresas creen haber transferido y el riesgo que efectivamente mantienen retenido.

Las pólizas tradicionales de responsabilidad civil fueron concebidas principalmente para responder frente a daños ocasionados a terceros y no necesariamente frente a exposiciones regulatorias asociadas al tratamiento de datos.

Los programas patrimoniales tampoco suelen incorporar componentes vinculados a privacidad o exposición digital.

Incluso dentro de las coberturas de ciberriesgo existen diferencias importantes entre compañías, condiciones particulares, definiciones de evento, exclusiones, sublímites y alcances regulatorios.

Esto significa que dos empresas con estructuras aseguradoras aparentemente similares podrían enfrentar niveles de protección muy distintos frente a un mismo evento.

En este nuevo escenario, revisar únicamente el límite total contratado deja de ser suficiente.

La pregunta comienza a desplazarse hacia aspectos más específicos:

• ¿Qué eventos activan realmente la cobertura?

• ¿Qué gastos regulatorios quedan incorporados?

• ¿Existen sublímites específicos?

• ¿Cómo opera la defensa frente a procedimientos administrativos?

• ¿Qué parte del riesgo permanece finalmente dentro de la empresa?

  
  

Un desafío que también obliga a evolucionar a las aseguradoras

La nueva ley no solo plantea preguntas para quienes contratan seguros.

También abre un desafío estratégico para las compañías aseguradoras.

Así como el desarrollo del ciberriesgo obligó a crear nuevas capacidades técnicas, metodologías de suscripción y criterios de acumulación, la protección de datos comienza a consolidarse como una dimensión propia dentro del análisis asegurador corporativo.

Entre los desafíos que empiezan a instalarse destacan:

• evaluar exposición acumulada asociada a privacidad;

• profundizar capacidades de análisis de controles tecnológicos;

• revisar modelos de suscripción;

• desarrollar nuevas extensiones y coberturas;

• redefinir límites y estructuras de protección;

• fortalecer esquemas de reaseguro para riesgos emergentes.

En ese contexto, podría comenzar a observarse una evolución desde las actuales pólizas de ciberriesgo hacia soluciones más integrales que combinen exposición tecnológica, continuidad operacional, defensa regulatoria y gestión reputacional.

La conversación ya llegó al directorio

La entrada en vigencia de la Ley 21.719 también está cambiando el perfil de quienes toman decisiones.

Históricamente, los riesgos tecnológicos tendieron a quedar concentrados en áreas de TI o seguridad.

Hoy la conversación comienza a involucrar directamente a gerencias generales, finanzas, riesgos corporativos, fiscalías, compliance y directorios.

La razón es simple.

Una contingencia relacionada con datos personales ya no amenaza únicamente la operación tecnológica.

Puede afectar resultados financieros, continuidad del negocio, confianza de clientes y valor económico de la organización.

Por ello, cada vez cobra más importancia que quienes definen la estrategia aseguradora adopten una lógica distinta:

No preguntarse solamente si existe una póliza.

Sino entender si esa póliza fue realmente diseñada para el riesgo que enfrenta la empresa.

El tiempo para prepararse comienza a reducirse

La adecuación aseguradora no ocurre de manera inmediata.

Las revisiones de programas, procesos de suscripción, análisis de exposición y negociación de condiciones requieren tiempo.

Y en muchos casos implican ajustes internos previos para que determinados riesgos puedan ser aceptados por el mercado asegurador.

La entrada en vigencia de la Ley 21.719 probablemente no redefinirá únicamente la forma en que las empresas administran los datos personales.

También podría transformarse en uno de los mayores ejercicios de revisión que haya enfrentado el mercado de seguros corporativos en los últimos años.

Para las aseguradoras, esto abre una oportunidad para evolucionar productos, fortalecer capacidades técnicas y desarrollar nuevas propuestas de valor en torno al riesgo digital y regulatorio.

Para las empresas, el desafío será avanzar desde una lógica tradicional de contratación de pólizas hacia una revisión más profunda de sus estrategias de transferencia de riesgo.

Porque en el nuevo escenario regulatorio, la calidad de un programa de seguros dejará de medirse únicamente por el límite contratado y comenzará a evaluarse por su capacidad real de responder frente a exposiciones cada vez más complejas e interconectadas.