Los riesgos ocultos de usar el seguro cibernético como sustituto del cumplimiento con la Ley 21.719

La lógica parece atractiva: en vez de invertir en un programa completo de cumplimiento con la Ley 21.719 — con capacitaciones, asesoría jurídica, revisión de contratos e implementación de controles —, basta contratar un seguro cibernético robusto. Si algo sale mal, el seguro paga. Problema resuelto.

Ese razonamiento es un error estratégico grave. Y las empresas que lo adoptan descubren sus límites de la peor forma posible: en el momento en que más necesitan la cobertura.

Este artículo explica qué cubre realmente el seguro cibernético, qué riesgos nunca cubrirá, por qué las multas de la APDP no son segurizables de forma amplia y cómo estructurar una relación saludable entre cumplimiento y seguro.

El crecimiento del mercado de seguros cibernéticos en Chile

El mercado chileno de seguros cibernéticos ha crecido significativamente, impulsado por la creciente regulación de protección de datos y la explosión de ataques de ransomware en América Latina. Aseguradoras globales como Chubb, Allianz, Tokio Marine, AXA y otras ofrecen pólizas específicas para riesgos cibernéticos en el mercado chileno, adaptando productos ya consolidados internacionalmente.

La demanda creció porque las empresas reconocieron el riesgo financiero de los incidentes cibernéticos. Un ataque de ransomware puede costar millones entre rescate, paralización operativa, recuperación de datos y honorarios legales. El seguro ofrece una red de protección financiera real.

Pero junto con el crecimiento llegaron los equívocos sobre qué cubre el producto.

Lo que el seguro cibernético realmente cubre

Las pólizas de seguro cibernético varían entre aseguradoras, pero las coberturas más comunes incluyen:

Respuesta al incidente

Investigación forense digital: costos con especialistas en seguridad para identificar el origen, alcance e impacto del incidente
Gestión de crisis: honorarios de consultoría en comunicación de crisis, relaciones públicas durante y después del incidente
Servicios legales: honorarios de abogados especializados en privacidad y seguridad para orientar la respuesta

Costos regulatorios y notificación

Notificación de titulares: costos para identificar y comunicar a los titulares afectados por el incidente
Monitoreo de crédito: servicios ofrecidos a titulares cuyos datos financieros fueron expuestos
Apoyo al cumplimiento regulatorio: costos de cooperar con investigaciones de autoridades (no la multa en sí)

Pérdidas financieras directas

Interrupción de negocios: ingresos perdidos durante el período en que los sistemas están inoperativos
Extorsión cibernética: pago de rescate en ataques de ransomware (cobertura controvertida que algunas aseguradoras ofrecen con restricciones)
Restauración de datos y sistemas: costos de recuperación técnica tras el incidente

Responsabilidad civil

Indemnizaciones a terceros: valores pagados a personas naturales o jurídicas perjudicadas por el incidente, conforme a la póliza

Lo que el seguro cibernético NO cubre: los riesgos ocultos

Aquí está el punto crítico que muchas empresas descubren demasiado tarde.

1. Cobertura de multas de la APDP: limitada y condicional

Las sanciones administrativas aplicadas por la APDP — amonestación, publicación de la infracción, suspensión del tratamiento y multas de hasta 20.000 UTM o hasta 4% de los ingresos anuales — son segurizables de forma muy limitada en el mercado chileno.

La cobertura de multas y penalidades de organismos reguladores en el mercado de seguros cibernéticos opera bajo restricciones importantes:

No todas las pólizas incluyen: la cobertura de multas regulatorias es una extensión que debe contratarse explícitamente — y tiene costo adicional de prima
Sublímites inferiores: el sublímite de cobertura para multas regulatorias suele ser significativamente menor que el límite global de la póliza
Exclusión por dolo o negligencia grave: las aseguradoras pueden negar la cobertura de multas cuando se acredita que la empresa actuó con dolo o negligencia grave — justamente los casos en que la APDP tiende a aplicar las sanciones más severas
Empresas sin controles básicos no obtienen la extensión: el proceso de suscripción exige evaluación de madurez en seguridad y privacidad; empresas sin controles básicos pueden ver la extensión negada o con prima prohibitiva
Cubrir la multa ≠ cubrir la causa: el seguro puede eventualmente pagar la multa, pero no implementa los controles que la APDP determinará que se adopten, no recupera la reputación perdida y no reconstruye la confianza de clientes y socios

La trampa real: una empresa que contrató el seguro creyendo estar protegida puede descubrir — solo al momento de ser sancionada — que no contrató la extensión correcta, o que la exclusión por negligencia aplica a su caso. Y la empresa que más necesita la cobertura (por tener controles precarios) es frecuentemente la que tendrá más dificultades para obtenerla.

2. Daño reputacional de mediano y largo plazo

El seguro puede cubrir los costos inmediatos de gestión de crisis (comunicación, PR). Pero no cubre:

La erosión de la base de clientes durante los meses posteriores al incidente
La caída en el valor de contratos renovados
La dificultad de captar nuevos clientes que investigan el historial de la empresa
El costo de reconstruir la confianza con socios y proveedores

Estos daños son reales, mensurables a posteriori, pero no son pérdidas cubiertas por póliza.

3. Pérdida de contratos B2B por falta de cumplimiento comprobado

Las empresas clientes, especialmente multinacionales y empresas reguladas (bancos, aseguradoras, salud), exigen comprobación de cumplimiento con la Ley 21.719 como condición contractual. Una empresa que no puede demostrar su programa de privacidad pierde contratos — y el seguro no cubre los ingresos perdidos por esa razón.

Peor: el proceso de due diligence B2B ocurre antes de cualquier incidente. Una empresa sin cumplimiento puede no llegar a la fase de contratación.

4. Costos de implementación del programa de cumplimiento

Tras un incidente o una investigación de la APDP, la empresa frecuentemente recibe una orden de implementar controles que no existían. El costo de ese programa de adecuación — consultoría, sistemas, capacitación, revisión de contratos — no está cubierto por el seguro.

5. Exclusiones por ausencia de controles básicos

Este es quizás el punto más insidioso: muchas pólizas de seguro cibernético incluyen cláusulas de exclusión para siniestros derivados de negligencia evidente en la seguridad de la información. Si la empresa sufrió un ataque por usar contraseñas predeterminadas, no aplicar parches de seguridad básicos o no tener ningún sistema de protección, la aseguradora puede negar la cobertura alegando que la empresa no implementó controles mínimos.

En otras palabras: la empresa que más necesitaría el seguro (por tener controles precarios) puede ser justamente la que tendrá la cobertura negada.

6. Daño moral colectivo y acciones civiles colectivas

Las acciones colectivas iniciadas por SERNAC, el Ministerio Público o asociaciones de defensa del consumidor pueden resultar en condenas colectivas de gran envergadura. Las pólizas típicamente cubren responsabilidad civil por daños a titulares individuales, pero la cobertura de acciones colectivas es limitada y depende de los términos específicos de cada póliza.

La ilusión de la transferencia completa del riesgo

El concepto de transferencia de riesgo vía seguro es legítimo y valioso — pero tiene límites que muchas empresas no comprenden.

Lo que el seguro transfiere: el impacto financiero de determinados eventos a la aseguradora, dentro de los límites de la póliza.

Lo que el seguro no transfiere: la responsabilidad legal por el cumplimiento de la Ley 21.719, el riesgo reputacional, las sanciones regulatorias y la responsabilidad por los daños causados a los titulares.

Además, hay un efecto de selección adversa en el mercado de seguros cibernéticos: las aseguradoras realizan evaluaciones de riesgo rigurosas antes de emitir pólizas para empresas con volúmenes significativos de datos sensibles. Las empresas sin programas básicos de seguridad y privacidad:

Pueden tener la cobertura negada
Pagan primas significativamente más altas
Tienen deducibles (valores no cubiertos) más elevados

Paradójicamente, construir el cumplimiento reduce las primas del seguro además de reducir los riesgos.

Cuándo el seguro cibernético SÍ tiene sentido

Dicho todo esto, el seguro cibernético es una herramienta valiosa cuando se usa correctamente — como complemento del cumplimiento, no como sustituto.

Tiene sentido contratarlo cuando:

La organización ya cuenta con un programa básico de cumplimiento: controles implementados, bases de licitud documentadas, DPD designado (cuando aplique), contratos con encargados revisados
Los riesgos residuales son reales y sustanciales: incluso con controles, el riesgo de incidente existe y el impacto financiero sería significativo
El volumen de datos procesados justifica la cobertura: empresas con grandes bases de clientes, datos sensibles u operaciones críticas tienen exposición financiera real que el seguro mitiga
La póliza fue revisada jurídicamente: para entender exactamente qué está cubierto y qué exclusiones aplican al negocio específico

Hoja de ruta: cumplimiento primero, seguro después

El orden correcto es:

1. Implementar controles básicos de seguridad Cifrado de datos, control de acceso basado en función, autenticación multifactor, gestión de parches, respaldo seguro.

2. Estructurar el programa mínimo de cumplimiento con la Ley 21.719 Inventario de datos (RAT), bases de licitud documentadas, DPD designado cuando corresponda, contratos DPA con proveedores, política de privacidad actualizada, canal de atención al titular.

3. Elaborar EIPD para tratamientos de alto riesgo Identificar qué tratamientos exponen a la organización a los riesgos más graves e implementar controles proporcionales.

4. Capacitar al equipo Los incidentes causados por error humano son los más frecuentes. La capacitación reduce la probabilidad del evento.

5. Montar un plan de respuesta a incidentes Saber cómo responder cuando un incidente ocurre reduce drásticamente el impacto financiero y reputacional.

6. Evaluar el riesgo residual Tras los controles, ¿qué riesgos persisten? ¿Cuál es el impacto financiero potencial de cada uno?

7. Contratar el seguro cibernético para el riesgo residual relevante Con base en la evaluación del riesgo residual, decidir el alcance de la cobertura necesaria y comparar pólizas con revisión jurídica.

Conclusión: seguro y cumplimiento son socios, no alternativas

El seguro cibernético es una herramienta legítima e importante en la gestión de riesgos de privacidad. Pero tratarlo como sustituto del cumplimiento es una decisión que cobra su precio — sea al momento de renovar el contrato con un cliente B2B exigente, sea cuando la APDP sanciona y emite una multa que ninguna póliza pagará íntegramente.

Las empresas que entienden esto usan el seguro para lo que sirve: cubrir los riesgos financieros que persisten después de que los controles de cumplimiento están implementados. Para las demás, el aprendizaje suele llegar de la forma más cara posible.

Confidata ayuda a estructurar el programa de cumplimiento con la Ley 21.719 que las aseguradoras exigen como condición para emitir una póliza cibernética con cobertura completa — documentando controles, bases de licitud, EIPD y respuesta a incidentes.