Después de una filtración, la prisa suele ser toda técnica: contener, erradicar, restaurar. Pero hay un reloj jurídico corriendo en paralelo, y no espera a que termine el forense.

Qué exige la ley

El artículo 48 de la LGPD determina que el controlador comunique a la ANPD y a los titulares la ocurrencia de un incidente de seguridad que pueda acarrear riesgo o daño relevante. La Resolución CD/ANPD n.º 15, del 24 de abril de 2024, fijó el plazo: tres días hábiles contados desde el conocimiento del incidente. Para los agentes de tratamiento de pequeño porte, el plazo se cuenta doble: seis días hábiles.

Cuando no es posible reunir toda la información a tiempo, la comunicación puede hacerse por etapas. La parte preliminar entra dentro del plazo, con justificación, y el complemento puede enviarse en hasta veinte días hábiles a contar desde la comunicación inicial.

Comunicar al titular es otra cosa

La notificación a la autoridad y la comunicación al titular tienen públicos distintos y no deben tener el mismo texto. El titular necesita entender, en lenguaje claro y accesible, qué datos suyos fueron afectados, qué riesgo representa eso y qué puede hacer al respecto. El jerga técnica y el eufemismo aquí no protegen a nadie: solo transfieren el costo del incidente a quien ya fue perjudicado.

Qué preparar antes de necesitarlo

• Un responsable designado para activar el proceso, con suplente.

• Plantillas de comunicación listas: para la ANPD, para los titulares y para la prensa.

• Criterio documentado de lo que la organización considera