Datos personales vulnerados: el Estado que legisla pero no se protege

El 30 de abril de 2026, mientras Chile dormía, un actor de amenazas identificado como rutify comprometía la infraestructura digital de dos de las instituciones más sensibles del país: la Tesorería General de la República y el Registro Civil. Credenciales administrativas filtradas, Claves Únicas expuestas, datos financieros de contribuyentes en riesgo. La Agencia Nacional de Ciberseguridad abrió una investigación. Las instituciones salieron a desmentir parcialmente. Y los ciudadanos, una vez más, quedaron esperando respuestas.

Pero detrás del ruido informativo hay una pregunta que nadie está formulando con claridad: ¿qué responsabilidad jurídica tiene el Estado cuando son sus propios sistemas los que fallan?

¿Qué dice nuestra Constitución?

El artículo 19 N°4 de la Constitución Política de la República asegura a todas las personas:

«El respeto y protección a la vida privada y a la honra de la persona y su familia, y asimismo, la protección de sus datos personales. El tratamiento y protección de estos datos se efectuará en la forma y condiciones que determine la ley.»

Este texto no siempre fue así. Fue la Ley 21.096, publicada el 16 de junio de 2018, la que incorporó la segunda parte de ese inciso mediante una reforma constitucional. Antes de esa fecha, la protección de datos personales se entendía implícitamente comprendida en el derecho a la vida privada, pero no tenía consagración expresa. Con esa reforma, Chile dio un paso histórico: elevó la protección de datos al rango de derecho fundamental autónomo, reconociendo que una persona no es solo cuerpo y nombre, sino también la información que la identifica, la describe y la define ante el mundo digital.

¿Por qué importa esto hoy? Porque cuando el Registro Civil o la TGR fallan en proteger sus sistemas, no estamos hablando solo de un problema técnico o administrativo. Estamos hablando de una lesión directa a un derecho que la Constitución garantiza expresamente.

¿Es el Estado un responsable de datos?

Sí, y sin matices. La Ley 21.719 — que entra en vigencia plena el 1 de diciembre de 2026 — define al responsable de datos como toda persona natural o jurídica, de carácter público o privado, que determina los fines y medios del tratamiento de datos personales. La propia ley declara en su artículo 1° que su objeto es regular el tratamiento de datos en conformidad al artículo 19 N°4 de la Constitución. El vínculo es explícito y deliberado.

La TGR administra datos financieros y tributarios de millones de chilenos. El Registro Civil custodia la identidad legal de toda la población. Ambas determinan qué datos recogen, cómo los almacenan y con qué propósito los usan. Son, por definición legal, responsables de datos — y eso les impone obligaciones concretas: implementar medidas de seguridad técnicas y organizativas adecuadas al nivel de riesgo; notificar oportunamente las brechas a la autoridad y a los titulares afectados; y realizar evaluaciones de impacto cuando el tratamiento involucre datos a gran escala o información especialmente sensible.

¿Se estaban cumpliendo esas obligaciones?

Es la pregunta incómoda que este incidente obliga a formular. Si credenciales de acceso administrativo fueron comprometidas y puestas en circulación, la respuesta preliminar apunta a que no. Una brecha de ese tipo no ocurre en sistemas correctamente segmentados, auditados y monitoreados. Ocurre donde hay descuido, subinversión o ausencia de protocolos adecuados.

El Estado chileno lleva años advirtiendo a empresas privadas sobre sus deberes en materia de protección de datos. Ha construido un andamiaje normativo que exige cumplimiento y sanciones. Pero cuando el infractor potencial es el propio Estado, el silencio se vuelve elocuente.

¿Quién fiscaliza al fiscalizador?

Aquí reside la tensión más profunda del sistema. La futura Agencia de Protección de Datos Personales tendrá atribuciones para fiscalizar, investigar y sancionar a los responsables de datos. Pero es un órgano del Estado. ¿Puede fiscalizar efectivamente a otros órganos del Estado? ¿Tiene la independencia real para hacerlo? ¿O enfrentaremos el mismo problema de siempre: una institucionalidad que funciona bien cuando el infractor es privado, pero que se paraliza frente al espejo?

Estas no son preguntas retóricas. Son preguntas que la ciudadanía tiene derecho a exigir que se respondan.

Lo que urge

Sus datos no son un subproducto del trámite que usted realizó en el Registro Civil ni del impuesto que pagó en la TGR. Son una extensión de su identidad — protegida expresamente por nuestra Constitución desde 2018. No pueden ser objeto de consumo para hackers, ni moneda de cambio en mercados oscuros de la red, ni tampoco un dato más perdido en una base de datos mal administrada por la burocracia estatal.

Chile construyó, con la reforma de 2018 y la Ley 21.719, uno de los marcos normativos de protección de datos más avanzados de la región. Ese edificio tiene cimientos constitucionales sólidos. Pero una norma no protege sola: protegen los sistemas seguros, los protocolos aplicados, la inversión real y — sobre todo — la voluntad política de que el Estado se someta a los mismos estándares que le exige a todos los demás.

La pregunta final no es si hubo un hackeo. La pregunta es si el Estado chileno estaba listo para evitarlo. Y si la respuesta es no, la Constitución — la misma que él mismo reformó en 2018 — exige que alguien responda por eso.

Pablo Martín Quinlan Arroyo

Estudiante de Derecho, Universidad Andrés Bello

Presidente, Observatorio Jurídico Iuris Mundi