Si tu empresa chilena procesa, almacena o transmite datos de tarjetas de crédito o débito, el estándar PCI DSS aplica a ti — independientemente de tu tamaño. Esta guía explica qué es, qué niveles existen, qué debes implementar y cómo afecta a los e-commerce en Chile.
El PCI DSS (Payment Card Industry Data Security Standard) es el estándar de seguridad desarrollado por las principales marcas de tarjetas (Visa, Mastercard, American Express, Discover y JCB) para proteger los datos de los titulares de tarjetas. No es una ley chilena — es un estándar de la industria que se convierte en obligación a través de los contratos con los procesadores de pago y los bancos adquirentes.
¿Qué es PCI DSS?
El PCI DSS es el estándar de seguridad de la industria de tarjetas de pago. Fue creado en 2004 por el PCI Security Standards Council (PCI SSC), un organismo fundado por Visa, Mastercard, American Express, Discover y JCB. La versión vigente es la PCI DSS v4.0, publicada en 2022.
El estándar aplica a cualquier organización que procese, almacene o transmita datos de titulares de tarjetas de pago. Esto incluye comercios, procesadores de pago, proveedores de servicios y cualquier entidad que tenga acceso a esos datos.
📋 Datos básicos de PCI DSS
| Nombre completo | Payment Card Industry Data Security Standard |
| Versión vigente | PCI DSS v4.0 (2022) |
| Gestionado por | PCI Security Standards Council |
| Aplica a | Quien procese, almacene o transmita datos de tarjetas |
| Obligatoriedad | Contractual (a través de acuerdos con bancos y procesadores) |
| Validación | Anual (según nivel de comercio) |
Niveles de cumplimiento PCI DSS
El nivel de cumplimiento requerido depende del volumen de transacciones con tarjeta que procesa tu empresa al año. A mayor volumen, más exigente es la validación:
| Nivel | Volumen anual | Validación requerida |
|---|---|---|
| Nivel 1 | Más de 6 millones de transacciones/año | Auditoría anual por QSA + escaneo trimestral ASV |
| Nivel 2 | 1–6 millones de transacciones/año | Cuestionario SAQ anual + escaneo trimestral ASV |
| Nivel 3 | 20.000–1 millón de transacciones e-commerce/año | Cuestionario SAQ anual + escaneo trimestral ASV |
| Nivel 4 | Menos de 20.000 transacciones e-commerce/año o hasta 1 millón en otros canales | Cuestionario SAQ anual recomendado + escaneo ASV si aplica |
La mayoría de los e-commerce y pymes chilenas que aceptan tarjetas caen en el Nivel 4. Sin embargo, si usas una pasarela de pago como Transbank, Mercado Pago o Flow, parte del cumplimiento recae en ellos — no en ti. Lo que sí debes controlar es tu propio entorno.
Los 12 requisitos de PCI DSS
PCI DSS v4.0 organiza sus controles en 12 requisitos agrupados en 6 objetivos:
1. Red segura
Instalar y mantener controles de red (firewall). No usar contraseñas por defecto de fabricante.
2. Proteger datos del titular
Proteger los datos almacenados. Cifrar la transmisión de datos en redes públicas.
3. Gestión de vulnerabilidades
Usar y actualizar antivirus. Desarrollar sistemas y aplicaciones seguros.
4. Control de acceso
Restringir acceso a datos según necesidad. Identificar y autenticar el acceso a componentes del sistema. Restringir acceso físico.
5. Monitorización y pruebas
Rastrear y monitorizar accesos a la red y datos. Probar regularmente sistemas y procesos de seguridad.
6. Política de seguridad
Mantener una política que aborde la seguridad de la información para todo el personal.
PCI DSS para e-commerce en Chile
Si tienes una tienda online en Chile que acepta tarjetas, la forma en que gestionas los pagos determina tu nivel de responsabilidad:
✓ Pasarela externa (menor riesgo)
Si usas Transbank, Mercado Pago, Flow o Stripe y el cliente introduce su tarjeta directamente en la pasarela (iframe o redirección), los datos de tarjeta nunca tocan tus servidores. Tu responsabilidad PCI DSS es mínima — aplica el SAQ A.
✗ Formulario propio (mayor riesgo)
Si los datos de tarjeta pasan por tus servidores antes de llegar al procesador, tu responsabilidad es mucho mayor. Necesitas implementar controles técnicos completos y validarte con un SAQ más exigente o una auditoría QSA.
⚠️ Recomendación para e-commerce chilenos
Usa siempre una pasarela externa con iframe o redirección para que los datos de tarjeta nunca toquen tus servidores. Es la forma más sencilla y segura de minimizar tu alcance PCI DSS. Si ya vendes con formulario propio, consulta con un especialista para evaluar la migración.
Cómo cumplir PCI DSS en Chile paso a paso
Define tu alcance
Identifica todos los sistemas, redes y personas que intervienen en el procesamiento de datos de tarjetas. Reducir el alcance es la forma más eficiente de simplificar el cumplimiento — usar una pasarela externa es el método más común.
Determina tu nivel y el SAQ correspondiente
Según tu volumen de transacciones y cómo procesas los pagos, determina qué nivel te corresponde y cuál de los cuestionarios SAQ debes completar (SAQ A, SAQ A-EP, SAQ D, etc.).
Realiza un análisis de brechas
Evalúa el estado actual de tus controles frente a los 12 requisitos de PCI DSS. Identifica qué tienes, qué falta y qué necesita mejorar. Un análisis de vulnerabilidades es parte fundamental de este paso.
Implementa los controles faltantes
Aplica los controles técnicos y organizativos necesarios: firewall, cifrado, gestión de accesos, registros de auditoría, política de seguridad documentada y capacitación del personal.
Completa el SAQ y el escaneo ASV
Completa el cuestionario de autoevaluación correspondiente y, si aplica tu nivel, realiza el escaneo trimestral de vulnerabilidades externas con un proveedor ASV aprobado por el PCI SSC.
Mantén el cumplimiento de forma continua
PCI DSS no es una certificación puntual — es un proceso continuo. Revisa tus controles regularmente, actualiza tus sistemas, forma a tu equipo y repite la validación anualmente. El cumplimiento con la ley marco de ciberseguridad complementa este proceso para organizaciones reguladas.
Consecuencias de no cumplir PCI DSS
El incumplimiento de PCI DSS no genera sanciones legales directas en Chile, pero sí consecuencias contractuales y económicas significativas:
Multas del procesador
Los bancos adquirentes y procesadores pueden imponer multas mensuales de entre USD 5.000 y USD 100.000 por incumplimiento sostenido.
Pérdida del derecho a procesar tarjetas
En casos graves, el procesador puede cancelar el contrato y el comercio pierde la capacidad de aceptar tarjetas de crédito y débito.
Responsabilidad por fraude
Si ocurre una brecha de datos y se demuestra incumplimiento de PCI DSS, el comercio puede ser responsable de los costos de fraude, contracargos e investigación forense.
Daño reputacional
Una brecha de datos de tarjetas genera pérdida de confianza de clientes, cobertura mediática negativa y abandono de la plataforma.
Preguntas frecuentes sobre PCI DSS en Chile
¿Necesitas evaluar el cumplimiento PCI DSS de tu empresa?
Te ayudamos a determinar tu nivel, identificar brechas y preparar tu entorno para la validación anual.
Sin compromiso · Respuesta en menos de 24 horas