Legal Hold y congelación de datos

1) Qué es Legal Hold y por qué lo necesita

Legal Hold (moratoria legal para la eliminación/modificación de datos) es una «congelación» administrada de datos específicos potencialmente relevantes para la investigación, auditoría, reclamación, proceso judicial o regulatorio. El objetivo es preservar la integridad probatoria: evitar la destrucción, modificación o limpieza automática según los horarios de retención mientras exista riesgo legal.

• Puntualidad: hold se introduce sin demora después de una «expectativa razonable» de disputa/verificación.
• Precisión: sólo se congelan los conjuntos relevantes (minimización de datos).
• Observabilidad y auditabilidad: todas las acciones son lógicas y están disponibles para su verificación.
• Reversibilidad: hay un procedimiento claro para quitar hold y volver a los horarios de eliminación normales.

2) Cuando se introduce Legal Hold: disparadores tipo

Notificación de la reclamación, queja del regulador, órdenes de supervisión.
Investigación interna (cumplimiento/seguridad/finanzas/AML).
eDiscovery/consultas de consultores externos.
Incidentes de seguridad (filtración, fraude).
Señales de las líneas de protección: Legal, DPO, CISO, Auditoría Interna.

3) Volumen de congelación: fuentes de datos

Almacenamiento operativo: DAB de transacciones, registros de pagos, KYC/KYB, señales AML.
Comunicaciones corporativas: correo, chats, registros de llamadas, tickets.
Repositorios de archivos y DWH/dataleks: capas crudas y derivadas.
Backups y archivos: snapshots, almacenamiento WORM, S3 Object Lock/immutability.
Procesadores de terceros: proveedores KYC, PSP, plataformas de marketing, cloud.

Importante: la congelación se aplica a copias y derivados (ETL/vitorks/cachés).

4) Roles y Responsabilidades (RACI)

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

5) Proceso de extremo a extremo (SOP)

1. Iniciación: Legal registra el caso, forma el «scope»: temas, fechas, sujetos, sistemas.
2. Evaluación y mapeo: Data Owners + Legal Ops crea una lista de fuentes/tablas/backups.

• Incluir etiquetas/reglas hold en el DLP/EDRM/archiving.
• Superponer auto-eliminación/anonimización en los esquemas afectados.
• Para backups: aplique immutability/WORM; fijar retention override.
• 4. Notificaciones (Legal Hold Notice): a los destinatarios (custodios) - que están obligados a guardar y no eliminar.
• 5. Control de ejecución: confirmaciones, recordatorios, formación, seguimiento de infracciones.
• 6. Revisión periódica: mínimo mensual - si el hold es relevante, si no hay exceso de cobertura.
• 7. Retiro hold: decisión escrita de Legal; Lista de verificación de recuperación de directivas normales.
• 8. Disposicià ³ n defensible: reanudar las eliminaciones programadas y la anonimización, fijación en los registros.

6) Políticas de retención y «congelación»: cómo se combinan

Regla: Hold suspende los plazos de retención correspondientes sólo para los objetos afectados.
Conflicto con Privacy by Design: ampliar mínimamente el scope; no bloquear conjuntos «no incluidos».
Granularidad: objeto (ID/sujeto), tabla/lote, espacio/baqueta, tipo de documento.

7) Medidas de control técnico

Almacenamiento inmutable: WORM/S3 Object Lock, Write-Once volumes, sistemas de archivos registrables.
Control de integridad: hashes, cadenas de pruebas, registro de auditoría (sólo append).
Congelación en la DB: banderas de política y desencadenantes que prohíben UPDATE/DELETE con las claves especificadas.
Archiving de comunicaciones: registro automático de correo/chats con la API Legal Hold (journaling, AIP/EDRM).
Integración DLP/EDRM: etiquetas «LegalHold = true», prohibición de eliminación, exportación por caso.
Backups: backups hold individuales, con vida útil prolongada, prueba de recuperación.
Observabilidad: casos de hold dashboard, SLA, errores de aplicación, políticas de «deriva».

8) Puntos de integración (arquitectura de referencia)

Gestión de casos (Legal): sistema de casos ↔ directorio de datos ↔ orquestador de políticas.
IAM/Secrets: delega el acceso mínimo necesario para exportar/ver.
Data Catalog/Lineage: «colorear» automáticamente los datasets dependientes.
CI/CD de las configuraciones de retención: reglas hold - como código (policy-as-code), rugido/versiones.
SIEM/SOAR: alertas sobre intentos de eliminación/modificación bajo hold.

9) Conflictos y cómo resolverlos

DSAR/Derecho de eliminación vs Legal Hold: la solicitud de la entidad puede ser legalmente pospuesta si los datos están sujetos a retención para cumplir con las obligaciones legales; fijamos la justificación y notificamos el retraso a la entidad.
Minimización y proporcionalidad: revisar scope; separe los datos personales no relacionados.
Cruzador de transferencias: si tenemos copias en otras jurisdicciones, verificamos los fundamentos legales y los mecanismos de transferencia (SCC/BCR/registros locales).
Cifrado y claves: no se puede «eludir» la destrucción de claves; Las rotaciones KMS están documentadas.

10) Contexto regulatorio (con fines de referencia)

eDiscovery/Civil Process Standards (por ejemplo, FRCP 37 (e)) - sanciones por pérdida de ESI.
GDPR/leyes de datos locales: legalidad del almacenamiento, notificaciones, limitación de objetivos.
Financiero/AML: períodos de retención prescritos (transacciones, KYC) que pueden ser más largos que los habituales.

(Las normas actuales son aclaradas por Legal para su jurisdicción/mercados.)

11) Métricas y SLA

Time-to-Hold: desde el disparador hasta la aplicación en todos los sistemas de destino (objetivo: ≤24 h).
Coverage:% de custodios/sistemas confirmados bajo hold (objetivo: 100%).
Drift/Violations: intentos de eliminación/edición bloqueados por directivas.
Scope Creep: la proporción de objetos irrelevantes es reducir con una revisión mensual.
Time-to-Release: desde la solución Legal hasta la retirada total (objetivo: ≤48 -72 h).

12) Lista de comprobación de lanzamiento de Legal Hold

• Registrar el caso y las bases legales.
• Formar scope (sujetos, fechas, sistemas, tipos de datos).
• Actualizar el mapa de datos y lineage.
• Incluir reglas hold en DLP/archivos/DB/archivos/backups.
• Enviar Notificaciones e Instrucciones Legales Hold.
• Habilitar monitoreo y alertas.
• Arregle los backups de tolerancia a fallas (immutability) y pruebe la recuperación.
• Plan de revisión periódica y fecha de la próxima auditoría.

13) Plantilla Legal Hold Notice (breve)

Asunto: Legal Hold: compromiso de conservación de datos

Destinatarios: [Lista de custodios/propietarios de datos]

Base: [No. Caso/Tipo de proceso]

Que conservar: [sistemy/papki/tablitsy/pochtovye los cajones/bandas de las fechas]

Prohibido: eliminar, modificar, limpiar, sobrescribir, cifrar sin acuerdo

Instrucciones: dónde y cómo almacenar, etiquetas/etiquetas, contacto Legal Ops

Plazo: hasta la notificación de retirada por separado

Confirmación: enlace/formulario para confirmar la lectura y ejecución

14) Procedimiento de retirada Legal Hold (Release)

1. Decisión Legal + descripción de las razones.
2. Exportación final/consolidación de pruebas (si es necesario).
3. Revocación de notificaciones, lógica de tiempo.
4. Restaurar las políticas habituales de retocación y anonimato.
5. Informe de cierre: qué había debajo de hold, quién fue notificado, qué eliminaciones se reanudaron.

15) Errores frecuentes y cómo evitarlos

Escope borroso → exceso de almacenamiento, riesgos de privacidad y costos.
Ignorar los backups y los cachés → congelación incompleta, la vulnerabilidad del caso.
No hay immutabilidad → riesgo de modificación no autorizada.
La mala comunicación con los custodios → el factor humano y las irregularidades.
La falta de revisión regular → holds «eternos» sin necesidad.

16) Mini playbook «en el suelo» (operativo)

DBA: aplicar los atributos 'legal _ hold = true' en los lotes/claves afectados; activar los desencadenadores de auditoría; bloquear los cambios DDL de los esquemas.
Almacenamiento: transferir los baquetas/carpetas correspondientes al modo WORM/Retention Lock; crear snapshots.
Mail/Chat: habilitar el registro y la exportación para el caso; prohibición de purge.
DWH/ETL: marcar las tablas como sólo lectura; congelar las purgas planificadas de los partidos históricos.
Backups: réplicas dedicadas con un plazo de vencimiento ampliado; comprobación de recuperación semanal.
Monitoreo: alertas en Slack/Email sobre cualquier evento DELETE/TTL en scope.

17) Política (texto modelo)

La organización introduce Legal Hold inmediatamente cuando hay una expectativa razonable de disputa/verificación.
El volumen hold está determinado por los principios de necesidad y proporcionalidad.
Todos los empleados están obligados a cumplir con las notificaciones y confirmar la ejecución.
La inmutabilidad técnica está garantizada por medios de immutabilidad y audit-logging.
Hold se revisa al menos 1 vez cada 30 días.
La retirada de hold se formaliza por escrito y se acompaña de la restauración de las políticas estándar.

18) Secciones relacionadas wiki

Privacidad por Diseño y Minimización de Datos

Gráficos de almacenamiento y eliminación de datos

Eliminación y anonimización de datos

Legal/Regulatory Requests & eDiscovery

Gestión de incidentes y fuerza

DLP/EDRM y archiving de comunicaciones

Resultado

Legal Hold es una «congelación» controlada, medible y auditada de datos estrictamente definidos. Un programa fuerte se basa en: (1) un disparador rápido y un scope preciso, (2) una inmutabilidad técnica (WORM, bloqueo de objetos, auditoría), (3) roles transparentes y SLA, (4) una revisión regular y una retirada segura de hold con retorno a la retención normal.