Leyes en caso de filtraciones de datos y notificaciones

1) Introducción y objetivos

La filtración de datos no es sólo un incidente técnico, sino también un procedimiento legal con plazos claros, destinatarios y requisitos formales para el contenido de las notificaciones. Los errores en las primeras horas aumentan el riesgo de multas, demandas colectivas y pérdidas reputacionales. Este material es una «hoja de ruta» práctica para plataformas B2C (incluyendo iGaming/fintech) que ayuda a actuar de manera sincronizada: seguridad, abogados, PR, soporte al cliente y cumplimiento.

2) Lo que se considera una «filtración de datos personales»

Incidente personal de seguridad que resulta en la destrucción, pérdida, alteración, acceso no revelado o divulgación accidental o ilegal de datos personales. Lo importante es el hecho del riesgo para los derechos y libertades de los sujetos (confidencialidad, daño financiero, discriminación, phishing, etc.).

3) Funciones y responsabilidad

Controlador (operador): determina los objetivos y los medios de tratamiento; tiene la obligación primordial de notificar, tener en cuenta y elegir los fundamentos jurídicos.
Procesador (procesador/contratista): procesa los datos por encargo; está obligado a notificar sin demora al Contralor y a facilitar las investigaciones y notificaciones.
Controladores conjuntos - Coordinan un único punto de contacto y asignan áreas de responsabilidad en el acuerdo.

4) Umbral de notificación: tres niveles de riesgo

1. No hay riesgo (por ejemplo, un medio encriptado con claves confiables, las llaves no están comprometidas) → el registro del incidente, sin notificaciones externas.
2. Riesgo (existe la posibilidad de daño) → notificación al regulador dentro de los plazos establecidos.
3. Alto riesgo (daño significativo probable: finanzas, salud, niños, fugas masivas, grupos vulnerables) → notificación adicional a los sujetos en un lenguaje comprensible y sin demora.

5) Plazos de notificación (puntos de referencia para los modos clave)

EU/EEA (GDPR): el controlador notifica al regulador en el plazo de 72 horas desde que se conoció la fuga; entidades - «sin demora indebida» si el riesgo es alto.
UK GDPR/ICO: similar a 72 horas al regulador; almacenar el registro de incidentes.
Canadá (PIPEDA): al regulador y a las entidades lo antes posible si existe un «riesgo real de daño sensible»; Mantener un registro de al menos 24 meses.
Singapur (PDPA): en PDPC - tan pronto como sea posible, a más tardar 3 días después de la conclusión de la evaluación; a los sujetos - sin demora en el riesgo de daño significativo.
Brasil (LGPD): regulador y entidades - «en un plazo razonable»; punto de referencia - tan pronto como sea posible después de la confirmación.
Emiratos Árabes Unidos (Fed. PDPL )/ADGM/DIFC: en la mayoría de los casos, notificación al regulador en un plazo ~ 72 horas con alto riesgo.
Australia (BDN): evaluación de hasta 30 días; Notificación «tan pronto como sea posible» después de la confirmación del incidente «notificable».
UU. (leyes de tiempo completo): los plazos varían (a menudo «sin demora injustificada», a veces fijados entre 30 y 60 días). Umbrales en cuanto a volumen y tipos de datos, notificación a la Procuraduría/agencias en incidentes mayores.
India (DPDP): notificaciones al regulador/entidades - en el orden establecido por el regulador; Actuar con prontitud una vez identificados.

6) Qué debe haber en las notificaciones

• una breve descripción del incidente y una línea de tiempo;
• Categorías y volumen aproximado de datos y entidades afectadas;
• efectos probables;
• medidas adoptadas o propuestas (mitigación, prevención de la repetición);
• Contacto DPO/equipo responsable;
• status: comunicación previa marcada con un complemento posterior (si no todos los hechos están establecidos).

• lo que ocurrió en lenguaje simple y cuándo;
• cuáles son sus datos afectados y las posibles consecuencias;
• lo que ya se ha hecho (bloqueos, cambio de claves, rotación forzada de contraseñas, etc.);
• lo que el usuario puede hacer (2FA, cambio de contraseña, monitoreo de cuentas/historial de crédito);
• canales de apoyo, servicios gratuitos (por ejemplo, monitoreo de crédito cuando se filtran datos financieros).

7) Retraso admisible de la notificación

En varios regímenes se puede aplazar la notificación a petición de las fuerzas del orden si la divulgación inmediata impide la investigación. Fije por escrito la base y el período de aplazamiento.

8) Encriptación y «puerto seguro»

Muchas leyes eximen de notificar a las entidades si los datos han sido encriptados de forma fiable y las claves no están comprometidas. Documente algoritmos/administración de claves; aplique la tecnología. justificación del registro de incidentes.

9) Procedimiento de respuesta: línea de tiempo «primeras 72 horas»

T0–4 H.

Activar el plan IR; designar a los leads (SIRT, abogado, PR, DPO).
Aislamiento del vector de ataque, recolección de artefactos (registros, volcado), fijación del tiempo del sistema.
Cualificación primaria: ¿datos personales? ¿Qué categorías? ¿volumen? ¿Geografía? ¿Contratistas?

T4–24 H.

Evaluación del riesgo: efectos en los derechos y libertades; niños/finanzas/salud.
Solución: ¿notificación del regulador? (si es así, preparamos un «notice preliminary»).
Borrador de notificaciones a sujetos + FAQ para sapport; Mensajería PR.
Verificación de contratistas/procesadores: solicitud de informes, registros de eventos.

T24–72 H.

Enviar una notificación al regulador (si es necesario); lógica de envío.
Finaliza el conjunto de medidas de mitigación (cambio de contraseña forzado, rotación de claves, límites de tiempo de operaciones, 2FA).
Preparación de una declaración pública (si procede), puesta en marcha de una línea directa/bot.

Después de las 72 horas

Informes adicionales al regulador a medida que se aclaran; post-mortem; actualización de políticas y controles.

10) Gestión de contratistas y cadena de procesamiento

DPA contractual/responsabilidades del procesador: «notificación inmediata», canales de contacto 24/7, SLA por informe primario (por ejemplo, 24 horas).
Derecho del controlador a auditar/verificar las medidas de protección.
Registro obligatorio de todos los incidentes del contratista y de las medidas adoptadas.
Extender las obligaciones a los sub-procesadores.

11) Categorías especiales y grupos de riesgo

Niños, salud, finanzas, biometría, credenciales... casi siempre de alto riesgo → notificación prioritaria a las entidades.
Fugas combinadas (PII + créditos/tokens) → rotación forzada inmediata y token con discapacidad.
Geo-especificidad: algunos estados/países requieren notificar a las oficinas de crédito/ombudsman a gran escala.

12) Contenido y forma de las comunicaciones

Lenguaje comprensible (B1), sin jerga técnica.
Personalizar las llamadas, si es posible; de lo contrario, un anuncio público y un e-mail/push combinado.
Canales: e-mail + SMS/push (si es crítico) + banner en la cuenta; para casos masivos - publicación pública y preguntas frecuentes.
No incluya enlaces similares a phishing en los correos electrónicos; ofrezca una ruta a través de la página web/aplicación oficial.

13) Documentación y almacenamiento de registros

Registro de incidentes: fecha/hora, detección, clasificación, decisión de notificaciones y su justificación, textos de notificaciones, listas de correo, pruebas de envío, respuestas de los reguladores, medidas de remisión.
Vida útil - según el régimen (por ejemplo, PIPEDA - al menos 24 meses; de lo contrario, un período interno de 3 a 6 años).

14) Sanciones y responsabilidad

Sanciones a los reguladores (en la UE - son significativas cuando se producen infracciones sistémicas o se ignoran los plazos);

Demandas de entidades, órdenes de cambio de prácticas de seguridad;

Compromisos de monitoreo y reportaje después del incidente.

15) Errores típicos

Retraso debido al «perfeccionismo»: esperar una imagen completa en lugar de una notificación previa oportuna.
Subestimación de riesgos indirectos (phishing después de una fuga de correo electrónico + FIO).
Falta de coherencia entre los equipos (abogados/PR/seguridad/apoyo).
Contactos irrelevantes de los reguladores y «Country Matrix».
Ignora las responsabilidades contractuales de los procesadores y sub-procesadores.

16) Lista de verificación de preparación (antes del incidente)

1. Aprobar Política de Respuesta Incidente con roles y canales 24/7.
2. Designar a DPO/responsables y personas de confianza para que se comuniquen con los reguladores.
3. Preparar Country Matrix: plazos, destinos, umbrales, formularios.
4. Plantillas de correo electrónico listas: regulador, sujetos, medios de comunicación, preguntas frecuentes para el sapport.
5. Actualizar el registro de tratamientos, el mapa de datos y la lista de procesadores/sub-procesadores.
6. Trabajar table-top ejercicio una vez cada 6-12 meses.
7. Incluir en el DPA: «notificación en X horas», informe primario obligatorio, auditoría de registros.
8. Habilita el cifrado en reposo y en tránsito, el control de claves, las rotaciones secretas.
9. Establecer el monitoreo de anomalías de acceso a datos y alertas automáticas.
10. Preparar el PR-playbook y la política de declaraciones públicas.

17) Mini matriz de jurisdicciones (referencia consolidada)

(La matriz es el punto de referencia. Compruebe las normas actuales antes de aplicarlas.)

18) Plantillas de documentos (guardar en el repositorio)

Incident Response Policy + Runbook 72h

Data Breach Notification — Regulator (draft/preliminary/final)

Data Breach Notification — Individuals (e-mail/SMS/баннер/FAQ)

Press Statement & Q&A

Formulario de informe de Breach Processor (para contratistas)

Lessons Learned / Post-mortem template

Country Matrix. xlsx (contactos reguladores, plazos, umbrales)

19) Conclusión

Pasar con éxito el «corredor legal» cuando se filtra es velocidad + documentación + comunicación transparente. El principio es sencillo: notificación previa rápida, instrucciones comprensibles a los usuarios, coordinación clara con los reguladores y contratistas y, a continuación, perfeccionamiento de los detalles a medida que avanza la investigación. Los ejercicios regulares y el conjunto actual de plantillas reducen los riesgos legales y de reputación en el momento más crítico.