Cumplir no es solo proteger: es poder probarlo
Muchas organizaciones sienten que cumplen con la Ley 21.719 porque ya implementaron políticas de privacidad, capacitaron a sus equipos y adoptaron diversas herramientas de seguridad. El problema surge cuando ese cumplimiento debe demostrarse ante una fiscalización.
La ley no solo exige proteger los datos personales: exige que exista evidencia verificable de que las medidas fueron implementadas, mantenidas y auditadas. Y esto aplica tanto a grandes corporaciones como a instituciones educativas y organizaciones con flotas de dispositivos distribuidos.
Este artículo te explica qué controles necesitas implementar según la Ley 21.719, qué evidencia concreta requiere cada uno, y cómo herramientas como Prey pueden ayudarte a generar esa documentación de forma automática y continua.
¿Qué exige exactamente la Ley 21.719 en materia de control de dispositivos?
La Ley 21.719 de Protección de Datos Personales de Chile establece que las organizaciones que tratan datos personales deben implementar medidas técnicas y organizativas para garantizar su protección. En materia de endpoints (computadores, tablets, smartphones), los artículos 14 quinquies y 14 sexies exigen:
- Medidas de seguridad apropiadas al riesgo
- Gestión de brechas con notificación en 72 horas
- Registro de actividades de tratamiento
- Evaluaciones de impacto cuando el tratamiento es de alto riesgo
Pero hay un punto clave que muchas organizaciones pasan por alto: todo esto debe estar documentado y ser auditable. No basta con tener controles; hay que poder demostrar que están activos, que se mantienen y que funcionan.
Artículos clave y su impacto operativo
| Artículo | Exigencia | Implicancia para TI |
|---|---|---|
| 14 quinquies | Medidas de seguridad técnicas y organizativas | Cifrado, control de acceso, políticas de dispositivos |
| 14 sexies | Notificación de brechas en 72 horas | Logs de ubicación, acciones remotas documentadas |
| 15 | Evaluación de impacto en protección de datos | Inventario de dispositivos con datos sensibles |
| 14 septies | Registro de actividades de tratamiento | Trazabilidad de acciones sobre dispositivos |
Controles de dispositivos que necesitas y la evidencia que cada uno requiere
Para cumplir con la Ley 21.719 en materia de endpoints, necesitas implementar controles específicos y, sobre todo, generar evidencia continua de que esos controles están activos. Aquí desglosamos los principales:
Inventario de dispositivos
Mantener un registro actualizado de todos los dispositivos que procesan datos personales es el primer paso. Sin visibilidad, no hay control posible. El inventario debe incluir:
- Modelo, sistema operativo, número de serie
- Usuario asignado y ubicación
- Estado de cifrado y software instalado
- Fecha de última conexión
Evidencia requerida: reportes de inventario exportables con fecha, detalle de hardware/software y estado de seguridad.
Geolocalización y seguimiento
Saber dónde están tus dispositivos en todo momento es fundamental para demostrar control. Ante una fiscalización, debes poder demostrar que sabes dónde están los dispositivos que contienen datos personales.
Evidencia requerida: historial de ubicaciones con timestamps, logs de geofencing (entradas/salidas de zonas definidas).
Bloqueo y borrado remoto
Cuando un dispositivo se pierde o es robado, la capacidad de bloquearlo o borrar sus datos de forma remota es esencial para contener una posible brecha.
Evidencia requerida: logs de acciones remotas ejecutadas (bloqueo, borrado, alarma), con fecha, hora, usuario que ejecutó la acción y resultado.
Cifrado de disco
El cifrado de disco completo (como BitLocker) asegura que, aunque alguien acceda físicamente al dispositivo, no pueda leer los datos. La Ley 21.719 lo considera una medida de seguridad técnica esencial.
Evidencia requerida: estado de cifrado por dispositivo, fecha de activación, alertas de incumplimiento.
Automatización de políticas de seguridad
Las políticas manuales son difíciles de auditar. Las automatizaciones permiten ejecutar acciones preventivas sin intervención humana, como bloquear un dispositivo que sale de una zona autorizada.
Evidencia requerida: registro de automatizaciones configuradas, logs de ejecución, excepciones y fallos.
Cómo Prey te ayuda a generar evidencia de cumplimiento
Prey es una plataforma de seguridad de endpoints diseñada para dar a los equipos de TI visibilidad, control y trazabilidad sobre su flota de dispositivos. En el contexto de la Ley 21.719, Prey actúa como una capa de evidencia continua que documenta automáticamente las medidas de seguridad implementadas.
Inventario automatizado
Prey genera un inventario completo de hardware y software de todos los dispositivos conectados, incluyendo sistema operativo, almacenamiento, RAM, número de serie y software instalado. Este inventario se actualiza automáticamente y puede exportarse para auditorías.
Tracking siempre activo
Con GPS y triangulación Wi-Fi, Prey registra la ubicación de cada dispositivo en tiempo real y mantiene un historial de ubicaciones. Esto permite demostrar ante un auditor exactamente dónde estaba cada dispositivo en cualquier momento.
Geofencing con logs
Puedes definir zonas geográficas permitidas y recibir alertas cuando un dispositivo entra o sale. Cada evento queda registrado con timestamp, coordenadas y dispositivo involucrado.
Acciones remotas documentadas
Bloqueo, borrado, alarma y recuperación de archivos: cada acción remota ejecutada desde Prey queda registrada con fecha, hora, usuario que la ejecutó y resultado. Esto es exactamente lo que necesitas para demostrar respuesta ante incidentes.
Estado de cifrado BitLocker
Prey monitorea el estado de cifrado BitLocker en dispositivos Windows, permitiendo identificar rápidamente qué equipos no están cifrados y generando alertas de incumplimiento.
Automatizaciones de seguridad
Configura acciones automáticas basadas en comportamiento: si un dispositivo sale de una zona, se bloquea automáticamente. Si un dispositivo no reporta en X días, se envía una alerta. Todo queda documentado en el log de actividad.
Mapeo de controles Prey vs. exigencias de la Ley 21.719
| Exigencia Ley 21.719 | Control en Prey | Evidencia generada |
|---|---|---|
| Medidas de seguridad (Art. 14 quinquies) | Cifrado, bloqueo remoto, geofencing | Logs de acciones, estado de cifrado, alertas |
| Notificación de brechas (Art. 14 sexies) | Tracking en tiempo real, acciones de contención | Timeline de incidente con timestamps |
| Registro de tratamiento (Art. 14 septies) | Inventario HW/SW, historial de ubicaciones | Reportes exportables con fecha |
| Evaluación de impacto (Art. 15) | Inventario de dispositivos con datos sensibles | Dashboard de estado de flota |
Cómo prepararte para una fiscalización: checklist práctico
Si la Agencia de Protección de Datos (o un auditor externo) te pide demostrar cumplimiento, necesitas tener lista la siguiente documentación:
Antes de la fiscalización
- Inventario de dispositivos actualizado con estado de seguridad
- Política de seguridad de endpoints documentada y aprobada
- Registro de acciones remotas ejecutadas en los últimos 12 meses
- Historial de ubicaciones de dispositivos con datos sensibles
- Configuración de automatizaciones activas y su log de ejecución
- Estado de cifrado por dispositivo
- Plan de respuesta a incidentes que incluya procedimientos para dispositivos perdidos/robados
Durante la fiscalización
- Acceso al dashboard de Prey para demostrar controles en tiempo real
- Exportación de reportes con un clic
- Demostración de acciones remotas (bloqueo, localización)
- Evidencia de geofencing y automatizaciones activas
Errores comunes que debes evitar
- Tener políticas pero no evidencia de ejecución: una política sin logs es solo papel
- No mantener el inventario actualizado: dispositivos sin registro son puntos ciegos
- Depender de procesos manuales: sin automatización, la evidencia es inconsistente
- No documentar incidentes pasados: cada incidente debe tener un registro completo
Conclusión: el cumplimiento no es un estado, es un proceso continuo
La Ley 21.719 no pide perfección; pide diligencia demostrable. Esto significa que tu organización debe poder mostrar, en cualquier momento, que tiene controles activos, que los mantiene y que responde cuando algo falla.
Prey te ayuda a convertir esa exigencia en un proceso automatizado: desde el inventario hasta la respuesta a incidentes, cada acción queda documentada y lista para auditoría.
Si tu organización maneja datos personales y tiene dispositivos distribuidos, empieza hoy con Prey y transforma tu cumplimiento en evidencia real.
