Miguel Ángel Reyes Poblete
Universidad San Sebastián, Concepción
El 8 de abril de 2024 se publicó en el Diario Oficial la ley marco de ciberseguridad, N°21.663, que por primera vez reguló a nivel legal esta temática.
Además del tema sustantivo de ciberseguridad, regula una serie de aspectos tanto procedimentales administrativos como procesales que paso brevemente a analizar.
Como primer aspecto es destable como técnica legislativa el que el art. 3 contemple un listado de principios rectores que manifiestan los objetivos de la ley, que servirán en su aplicación.
En segundo lugar, en la operatoria en lo pertinente, a nivel de principios se establecen una serie de deberes para el Estado, destacando la coordinación entre los entes estatales, lo que requerirá una proactividad y colaboración para reaccionar pronto así como prevenir, velando por la seguridad en ciberespacio.
Como tercer aspecto, se imponen, entre otros, a nivel de principios el de cooperación con la autoridad, de respuesta responsable y de seguridad informática.
Por otra parte, en lo pertinente se establece que se cuáles son los servicios esenciales, permitiendo que se establezcan otros, permitiendo que se someta a consulta pública y se pueda aplicar la ley de bases de los procedimientos administrativos, considerando la motivación del acto administrativo así como sus impugnaciones y revisiones. En el mismo orden de ideas se encuentra la calificación de operadores de importancia vital, que también se rigen por dicha norma, a lo que se agrega la necesidad de informes para la regulación de materias que competen a varios entes estatales conforme al Art. 37 bis de la ley 19.880. Se establecen una serie de deberes, que en caso de incumplimientos se establecen sanciones, con sus respectivos procedimientos administrativos.
En quinto lugar, cabe señalar que la norma en general establece que se dictarán una serie de protocolos y estándares para la prevención y gestión de riesgos relativos a la ciberseguridad, mitigación y contención del impacto de problemas relativas a la continuidad operacional del servicio o confidencialidad e integridad de la información o redes o sistemas informáticos.
Como sexto aspecto, se crea como servicio público la Agencia Nacional de Ciberseguridad con una serie de funciones, en lo pertinente, regulatorias, de control, de coordinación y sancionatorias.
Ya en el ámbito procesal se contemplan en la ley varias materias que serán objeto de procedimientos judiciales, dentro de los cuales encontramos:
- En el Art 11 letra k) que permite que el particular a quien se pide por la agencia proporcionar todas las facilidades necesarias en casos de incidentes de impacto significativo, caso en que la Agencia sólo podrá acceder previa autorización judicial, que conocerá un ministro de la Corte de Apelaciones de Santiago, cuya resolución es apelable. Dicho recurso se conocerá en cuenta, sin más trámite, debiendo funcionar extraordinariamente el tribunal de ser necesario para el sólo conocimiento del recuso. En caso de interponerse recusaciones o implicancias, será conocido al día siguiente;
- Dicho procedimiento se utilizará también en caso de requerimientos de acceso a redes y sistemas informáticos conforme al art. 11 letra ñ) relativos a la fiscalización del cumplimiento de la ley, sus reglamentos, protocolos, estándares técnicos e instrucciones tanto generales como particulares que emita la Agencia, para lo que puede citar a personas;
- Instruir procedimientos administrativos sancionatorios, pudiendo citarse a personas que deben colaborar con la investigación (art. 11 letras n y o);
- Se exime del deber de denunciar a los responsables de informar vulnerabilidades de ciberseguridad;
- En el art. 42 se contempla un procedimiento administrativo sancionatorio en base a la ley 19.880, con una fase de formulación de cargos, etapa de defensa (descargos) y prueba así como conclusión
- El art. 41 regula un procedimiento simplificado si el inculpado se allana a los cargos. Si se defiende se aplica el Art. 40;
- El art. 43 establece algunas particularidades de los recursos administrativos, cuya interposición suspende el plazo para reclamar de ilegalidad;
Por otra parte, además del art. 11 letra k), el Art. 46 regula el procedimiento de reclamación judicial, permitiendo presentar un reclamo de ilegalidad ante la Corte de Apelaciones de Santiago o la del lugar de domicilio del reclamante, dentro de los 15 días siguientes a la notificación de la resolución impugnada, muy relacionado al recurso de casación en el fondo, permitiendo la dictación de orden de no innovar cuando el acto reclamado pueda ocasionar un daño irreparable al recurrente. Si se declara admisible se requiere informe dentro de 10 días a la Agencia, permitiendo que se reciba a prueba regido por los incidentes. Vencido el probatorio se traen los autos en relación. En caso de acogerse el reclamo se ordena, de ser procedente, la rectificación del acto reclamado y la dictación de la resolución si corresponde. La resolución que se dicte es reclamable a la Corte Suprema dentro de 10 días, que conocerá en cuenta. Supletoriamente rigen tanto el Código de Procedimiento Civil y Código Orgánico de Tribunales.
Por último, cabe considerar que conforme a la temática de la ley, buena parte de estas temáticas son reservadas, lo que trae aparejado sanciones tanto administrativas como penales en caso de incumplimiento.
A modo de resumen, la normativa en comento contempla tanto procedimientos administrativos como contencioso administrativos que deben agregarse como nuevas regulaciones a las ya profusas regulaciones, con la particularidad que en general se limitan a aplicar instituciones tradicionales del derecho procesal. Considerando la urgencia de resolución de estas problemáticas, aparece razonable contar con plazos acotados para sustanciar y resolver.
Para concluir, como ha señalado reiteradamente la Corte Suprema en los informes de los proyectos de ley, llama la atención como se establece un nuevo tanto procedimiento administrativo como contencioso administrativo, haciendo falta una ley o código de lo procesal administrativo, particularmente en el ámbito sancionatorio para contar con parámetros mínimos para plantear la defensa, sin perjuicio de reconocer que se emplean elementos procesales tradicionales para aliviar las falencias sistémicas referidas.