Violaciones de datos personales: que la decisión de notificar no se detenga

Una violación de la seguridad de los datos personales genera dos tareas paralelas: contener el incidente y decidir qué debe comunicarse. Ninguna debe esperar a que termine la otra. Los ingenieros pueden seguir reconstruyendo los registros de acceso cuando el responsable del tratamiento ya dispone de información suficiente para evaluar la notificación.

El reto práctico es que esa decisión siga avanzando sin presentar supuestos como hechos. Un proceso de respuesta útil registra el momento del conocimiento, produce un conjunto mínimo de evidencias fiable, asigna la responsabilidad de la decisión y actualiza la evaluación a medida que cambian las conclusiones. Desde la perspectiva de un CTO, el entregable esencial no es una investigación forense completada en 72 horas. Es una decisión oportuna y defendible, respaldada por evidencias técnicas, con una titularidad clara de las preguntas pendientes.

Reconozca la violación antes de debatir la notificación

Una violación de la seguridad de los datos personales es algo más amplio que el robo de datos. El artículo 4, punto 12, del RGPD abarca toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o el acceso no autorizados a dichos datos.

Importan tres dimensiones:

Un mismo evento puede afectar a las tres. Un ransomware puede interrumpir el acceso, dañar registros y exponer información. Restaurar una copia de seguridad solo resuelve una parte de ese incidente.

Por tanto, tanto un correo electrónico mal dirigido como un incidente de ransomware pueden requerir una evaluación documentada, aunque las investigaciones sean distintas. A la inversa, un ataque fallido que no comprometió datos personales no es automáticamente una violación de la seguridad de los datos personales. Aun así, puede requerir una investigación de seguridad y una notificación conforme a otro régimen.

Empiece por establecer si se vieron afectados datos personales, no si alguien se ha quejado o si se ha producido un perjuicio económico. Los nombres, los identificadores de cuenta, los registros de empleados, los identificadores de dispositivos y las combinaciones de información aparentemente corriente pueden ser datos personales. Los registros seudonimizados pueden seguir siendo datos personales cuando las personas siguen siendo identificables.

En los incidentes de disponibilidad, examine las consecuencias en lugar de usar como atajo una duración fija de la interrupción. Perder el acceso al registro de una cita durante un tratamiento urgente no es lo mismo que interrumpir brevemente el acceso a una lista archivada de suscriptores de un boletín.

Determine el momento del conocimiento y designe al responsable de la decisión

Conforme al artículo 33 del RGPD, el responsable del tratamiento debe notificar a la autoridad de control competente sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de una violación de la seguridad de los datos personales, a menos que sea improbable que dicha violación constituya un riesgo para los derechos y libertades de las personas.

El plazo no empieza a correr automáticamente cuando comenzó el ataque subyacente. Del mismo modo, tampoco espera a un informe forense definitivo ni a la aprobación de la dirección. En las orientaciones de las autoridades de control, se entiende que hay constancia cuando existe un grado razonable de certeza de que se ha producido un incidente de seguridad que ha comprometido datos personales. Una investigación inicial puede establecer esa certeza; no debe convertirse en un mecanismo para aplazar la responsabilidad.

Mantenga separadas tres marcas de tiempo:

• Producción: cuándo ocurrió el incidente, si se conoce.
• Detección: cuándo alguien observó o notificó por primera vez un posible incidente.
• Conocimiento: cuándo la organización tuvo certeza suficiente de que se habían comprometido datos personales.

Registre las evidencias que respaldan el momento del conocimiento. Si una marca de tiempo es discutida, conserve las interpretaciones contrapuestas y su fundamento en lugar de sustituir discretamente la entrada anterior. Los retrasos en el escalado interno deben ser visibles, no utilizarse para suponer que el conocimiento empezó solo cuando el área de privacidad o la dirección recibieron el informe.

Setenta y dos horas significa horas transcurridas, incluidos fines de semana y festivos. Es un límite temporal máximo cuando sea posible, no un permiso para esperar si la notificación puede hacerse antes.

Asigne un coordinador del incidente que mantenga la cronología y las preguntas pendientes. Los responsables técnicos establecen los hechos; los expertos en privacidad evalúan las consecuencias y los requisitos legales; un representante autorizado del responsable del tratamiento es titular de la decisión de notificar. Si se ha designado un delegado de protección de datos (DPD), implíquelo de inmediato en su función independiente de asesoramiento y supervisión. No convierta al DPD en responsable de la contención ni suponga que sustituye la responsabilidad proactiva del responsable del tratamiento.

Designe suplentes. Un proceso que depende de la disponibilidad de un único directivo no es un proceso que funcione fuera del horario laboral.

Prepare en las primeras horas un conjunto de evidencias listo para decidir

La contención y la conservación de evidencias deben avanzar a la vez. Desconectar un equipo comprometido puede ser adecuado, pero borrarlo antes de recopilar las evidencias pertinentes puede destruir la base para evaluar el acceso y el alcance. A la inversa, conservar todos los artefactos no es motivo para dejar sin contener una divulgación activa.

Lo que sigue es una secuencia de respuesta práctica, no un calendario legal.

Estabilice el incidente

Revoque las sesiones o credenciales expuestas, restrinja los permisos inseguros, aísle los componentes afectados cuando proceda y detenga las transferencias mal dirigidas en curso. Registre cada acción, su hora y su efecto esperado. Conserve los registros pertinentes, las instantáneas de configuración, las cabeceras de los mensajes y otro material volátil antes de que los límites de conservación o el trabajo de recuperación los eliminen.

Restrinja el acceso a las evidencias del incidente. Una investigación de una violación de datos puede generar por sí misma colecciones sensibles: documentos de identidad, mensajes de empleados, datos de autenticación o listas de clientes afectados. Utilice una ubicación de evidencias aprobada en lugar de reenviar registros en bruto a través de un chat de incidentes con muchos participantes.

Elabore el paquete mínimo de hechos

Proporcione a los revisores de privacidad un relato breve y estructurado que contenga:

• Qué ocurrió y qué observaciones lo confirman.
• Sistemas, servicios y proveedores responsables afectados.
• Categorías de datos personales y categorías de personas afectadas.
• Número aproximado de personas y registros, con el método de recuento.
• Periodo de exposición, destinatarios conocidos y posibles vías de acceso.
• Protecciones pertinentes, incluidos el cifrado y el acceso a las claves.
• Consecuencias conocidas o plausibles para las personas.
• Medidas ya adoptadas y preguntas aún sin resolver.

Separe los hechos confirmados, las estimaciones fundamentadas y las hipótesis. «No aparece ningún evento de exportación en el registro de auditoría disponible» es más limitado que «no se accedió a ningún dato». Indique la cobertura de los registros y las lagunas de conservación para que los revisores entiendan lo que las evidencias no pueden establecer.

Mantenga una cola de preguntas

Asigne a cada pregunta sin resolver un responsable y una próxima fecha de revisión. Priorice las preguntas que pueden cambiar la decisión: si un objeto expuesto contenía datos personales, si un atacante accedió a las claves de cifrado o si los registros no disponibles afectaron a servicios esenciales.

Otras preguntas, como la técnica exacta de explotación inicial, pueden ser muy importantes para la corrección sin ser necesarias para la primera notificación. Mantener esas líneas de trabajo separadas evita que la curiosidad técnica retrase la actuación legal.

Un inventario actualizado de sistemas y datos agiliza este trabajo. El descubrimiento de datos para la privacidad aporta el contexto necesario para traducir «servicio de almacenamiento comprometido» en categorías de datos, finalidades del tratamiento y poblaciones afectadas identificables.

Evalúe el daño para las personas, no solo el impacto en el negocio

La excepción del artículo 33 es que sea improbable que exista un riesgo para los derechos y libertades. No es una regla según la cual solo deban notificarse las violaciones grandes, las que afectan a categorías especiales de datos o las que han causado un daño demostrado.

Evalúe tanto la probabilidad como la gravedad de las posibles consecuencias. Una divulgación pequeña puede ser grave, mientras que un incidente mayor puede contar con protecciones eficaces que reduzcan sustancialmente el riesgo. Documente por qué las circunstancias respaldan la conclusión.

Considere conjuntamente estas dimensiones:

El cifrado requiere un examen técnico. Un disco cifrado en reposo no protege necesariamente la información a la que se accede a través de una cuenta de aplicación comprometida. Determine la capa de cifrado, la separación de claves, los permisos del atacante y si había texto en claro utilizable disponible. El mismo razonamiento se aplica a las credenciales con hash: su protección depende del método y de las circunstancias, no de la etiqueta «con hash». Consulte cifrado y gestión de claves.

La confirmación de borrado por parte de un destinatario puede ser pertinente, sobre todo en una divulgación accidental a un destinatario conocido y colaborador. No es una prueba universal de que el riesgo haya desaparecido. Considere si el contenido se vio, se copió, se reenvió o era accesible por otro canal.

Evite convertir una puntuación numérica de riesgo en una conclusión jurídica automática. Una matriz de puntuación puede dar coherencia al razonamiento, pero los revisores siguen teniendo que explicar las consecuencias reales y las incertidumbres. La interrupción del negocio, la pérdida de ingresos y el daño reputacional para la organización pertenecen a la gestión operativa del incidente; no sustituyen a la evaluación de los efectos sobre las personas.

Vuelva a evaluar cuando lleguen hechos nuevos. Descubrir archivos adjuntos sensibles o que un atacante tuvo acceso a las claves puede cambiar una decisión inicialmente razonable de no notificar.

Tome dos decisiones de comunicación separadas

La notificación a la autoridad y la comunicación a las personas afectadas tienen umbrales distintos. Registre ambas decisiones de forma explícita, incluso cuando ninguna de ellas sea obligatoria.

Notifique con lo que se sabe

El artículo 33 exige que la notificación describa la naturaleza de la violación, incluidas, cuando sea posible, las categorías y el número aproximado de interesados y de registros afectados. También debe facilitar el nombre y los datos de contacto del DPD o de otro punto de contacto, describir las posibles consecuencias y describir las medidas adoptadas o propuestas, incluidas, si procede, las medidas para mitigar los efectos.

No espere a tener cifras exactas si dispone de estimaciones fiables y salvedades claras. El artículo 33, apartado 4, permite facilitar la información de manera gradual cuando no sea posible facilitarla simultáneamente, sin más dilación indebida. Conserve una copia de lo presentado, el acuse de recibo, el número de referencia y una lista de las actualizaciones comprometidas.

Si la notificación se realiza pasadas las 72 horas, indique los motivos del retraso. Incumplir el plazo no elimina la obligación. Explique la cronología real en lugar de ofrecer una afirmación genérica de que la investigación fue compleja.

Confirme pronto la autoridad competente y el canal de notificación, en particular en los tratamientos transfronterizos. No suponga que la autoridad del lugar donde está el servidor es el destinatario correcto.

Comunique cuando sea probable un alto riesgo

El artículo 34 del RGPD exige una comunicación en un lenguaje claro y sencillo a las personas afectadas, sin dilación indebida, cuando sea probable un alto riesgo. Su contenido incluye la naturaleza de la violación, los datos de contacto, las posibles consecuencias y las medidas pertinentes.

Explique qué pueden hacer las personas: por ejemplo, cambiar una contraseña afectada, rechazar instrucciones de pago sospechosas o utilizar un canal de soporte verificado. No dé a entender que los consejos de precaución les trasladan la responsabilidad.

El artículo 34 incluye excepciones cuando se han aplicado medidas eficaces que hacen ininteligibles los datos para cualquier persona no autorizada, cuando medidas posteriores garantizan que ya no es probable que se materialice el alto riesgo y cuando la comunicación supone un esfuerzo desproporcionado. Esta última exige una comunicación pública o una medida semejante igual de eficaz; no es un permiso para guardar silencio. La autoridad puede exigir la comunicación o valorar si se cumple alguna excepción.

Gestione los incidentes de los encargados sin perder el control de la evaluación

Un encargado del tratamiento debe informar al responsable sin dilación indebida tras tener conocimiento de una violación de la seguridad de los datos personales. No debe esperar a concluir por sí mismo que es necesaria la notificación a la autoridad de control. La evaluación del responsable no debe sustituirse por la etiqueta de «riesgo bajo» de un proveedor.

Solicite las evidencias pertinentes para su tratamiento: el inquilino o la cuenta afectados, las categorías de datos, el periodo de exposición, las evidencias de acceso, las protecciones, la contención y las preguntas sin resolver. Una declaración sobre el incidente a nivel de todo el proveedor puede no establecer cuáles de sus registros se vieron afectados.

El retraso de un proveedor no consume mecánicamente el plazo de 72 horas del responsable antes de que este tenga conocimiento. Aun así, puede retrasar las medidas de protección, oscurecer la cronología y plantear dudas sobre el cumplimiento de las obligaciones del encargado. Registre cuándo detectó el proveedor el incidente, cuándo tuvo conocimiento de él y cuándo se lo comunicó a usted.

Como recomendación contractual práctica, especifique contactos operativos, un aviso inicial rápido, una información mínima, actualizaciones continuas y asistencia en la investigación y las comunicaciones. Estas disposiciones deben apoyar los requisitos del artículo 28, no sustituirlos.

Cuando su organización sea a la vez encargada del tratamiento para sus clientes y responsable del tratamiento de los datos de sus empleados, tome decisiones separadas en función de cada rol. Un mismo incidente técnico puede exigir avisos a clientes en una condición y una evaluación de cara a la autoridad de control en otra.

Mantenga un rastro de decisiones que sobreviva al incidente

El artículo 33, apartado 5, exige documentar las violaciones de la seguridad de los datos personales, incluidos los hechos, sus efectos y las medidas correctivas adoptadas, de forma que la autoridad de control pueda verificar el cumplimiento. Esto incluye las violaciones que no se notificaron.

Un registro del incidente útil contiene:

• Identificador, alcance, coordinador y rol en el tratamiento del incidente.
• Marcas de tiempo de producción, detección, conocimiento y escalado.
• Referencias a las evidencias y límites de la telemetría disponible.
• Evaluación del riesgo, revisor, responsable de la decisión y horas de las decisiones.
• Conclusiones separadas sobre la notificación a la autoridad y la comunicación a las personas.
• Comunicaciones presentadas, acuses de recibo y actualizaciones posteriores.
• Acciones de contención, recuperación y prevención con sus responsables.
• Revisión de cierre y motivos de cualquier incertidumbre restante.

En caso de no notificar, escriba el razonamiento y no solo «por debajo del umbral». Identifique los hechos que respaldan que el riesgo era improbable y qué evidencias desencadenarían una nueva evaluación.

Conserve las evaluaciones sucesivas. Una conclusión temprana puede haber sido razonable a la vista de las evidencias disponibles aunque hallazgos posteriores la cambien. Sobrescribir la versión anterior oculta esa cronología.

Establezca de forma deliberada el acceso y la conservación. El artículo 33 no fija un plazo de conservación universal para los registros de violaciones. Elija un calendario justificado teniendo en cuenta la responsabilidad proactiva, las obligaciones aplicables y la minimización de datos. Cuando sea posible, conserve referencias a las evidencias en lugar de duplicar extensos conjuntos de datos personales.

La notificación no otorga inmunidad frente al escrutinio. Las autoridades pueden pedir aclaraciones y examinar las medidas de seguridad u otras obligaciones. Del mismo modo, evite tratar la notificación como un motivo para aplazar la contención mientras se esperan instrucciones del regulador.

Ejemplo práctico: una exportación de selección de personal expuesta

Este ejemplo es ilustrativo; sus horas y cifras son supuestos, no resultados notificados.

Supongamos que una organización descubre un viernes a las 16:00 que una exportación de selección de personal puede ser accesible a través de un enlace público de almacenamiento. El archivo contiene los nombres, los datos de contacto y las notas de la candidatura de 240 candidatos, además de algunos archivos adjuntos. A las 16:20, un ingeniero confirma que es posible acceder sin autenticación y verifica que el archivo contiene datos personales. El coordinador registra las 16:20 como el momento del conocimiento respaldado por las evidencias. El punto de referencia de 72 horas es el lunes a las 16:20, aunque la notificación debe seguir realizándose sin dilación indebida.

A las 16:35, el equipo ha eliminado el acceso público y ha conservado el historial de configuración y los registros de acceso disponibles. Esos registros solo cubren una parte del periodo de exposición. El equipo no puede concluir de manera responsable que nadie accedió al archivo.

La primera evaluación identifica un posible phishing dirigido y la revelación de intenciones laborales confidenciales. El contenido de los archivos adjuntos sigue siendo incierto. Los revisores de privacidad y el responsable de la decisión concluyen que no es improbable que exista un riesgo, por lo que es obligatoria la notificación a la autoridad de control. Por separado, evalúan si es probable un alto riesgo; el número de candidatos por sí solo no responde a esa pregunta.

La notificación inicial describe la exposición confirmada, el alcance aproximado, la cobertura incompleta de los registros, las consecuencias conocidas y la contención. Indica que la revisión de los archivos adjuntos sigue en curso e identifica a la persona responsable de facilitar las actualizaciones.

El sábado, la revisión descubre que una parte de los archivos adjuntos contiene información sobre salud. El equipo revisa la evaluación del alto riesgo y determina que es necesaria la comunicación a ese grupo afectado. Los mensajes describen la exposición pertinente y las precauciones prácticas sin revelar información de otros candidatos.

El registro completo conserva ambas evaluaciones, las evidencias de apoyo, los acuses de recibo de las presentaciones y las tareas correctivas. El seguimiento incluye controles de aprobación de las exportaciones, la prevención del acceso público, un registro de eventos adecuado y la comprobación de que los archivos de selección de personal ya no son accesibles públicamente.

La lección es operativa: la incertidumbre sobre el contenido de los adjuntos no impidió una notificación inicial, y los hallazgos posteriores cambiaron la decisión de comunicar a las personas sin invalidar la evaluación anterior basada en evidencias.

Haga el seguimiento de otras obligaciones de notificación en la misma cronología

Un mismo incidente puede desencadenar notificaciones conforme al RGPD, a contratos, a normativas sectoriales y a la normativa de ciberseguridad. Utilice una única cronología de los hechos, pero mantenga separadas las evaluaciones de cada obligación, los destinatarios, los responsables y los plazos.

El artículo 23 de NIS2 aborda los incidentes significativos de las entidades sujetas, con independencia de que afecten o no a datos personales. Su estructura de notificación a escala de la UE incluye una alerta temprana en 24 horas, una notificación del incidente en 72 horas y, por lo general, un informe final en el plazo de un mes desde la notificación. NIS2 se aplica a través de la legislación nacional: compruebe la aplicabilidad, los procedimientos nacionales y las normas sectoriales pertinentes en lugar de suponer que todas las organizaciones tienen estas obligaciones.

En el caso de las entidades financieras sujetas, DORA puede establecer requisitos sectoriales. No duplique automáticamente las notificaciones ni trate una única presentación como suficiente para todos los regímenes.

También puede ser obligatorio un aviso contractual a los clientes aunque no lo sea la notificación a la autoridad de control. Mantenga una matriz de notificaciones que identifique, para cada obligación aplicable, la fuente, el desencadenante, el destinatario, el responsable, la vía de presentación y la evidencia de que se ha completado.

Prepare los traspasos antes del próximo incidente

Una prueba práctica de preparación es un ejercicio un viernes por la tarde con un escenario de correo mal dirigido, de proveedor comprometido o de ransomware. Pida a los participantes que elaboren el primer paquete de hechos y el registro de decisiones reales, no que se limiten a describir la política.

Compruebe si el equipo puede:

• Contactar con el coordinador, el asesor de privacidad, el responsable de la decisión y los suplentes.
• Identificar los datos y proveedores pertinentes a partir de los inventarios existentes.
• Conservar los registros antes de que la restauración o los límites de conservación los eliminen.
• Acceder al canal de notificación correcto de la autoridad.
• Redactar una notificación por fases con las incógnitas claramente señaladas.
• Comunicarse de forma segura con los clientes y las personas afectadas.
• Registrar una decisión de no notificar y programar una nueva evaluación.

Cuando una respuesta dependa de encontrar a una persona desconocida o de recuperar credenciales inaccesibles, cree una tarea de preparación. Las responsabilidades del CISO y del DPD deben estar lo bastante claras como para que la determinación técnica de los hechos y el asesoramiento independiente en materia de privacidad puedan avanzar a la vez.

Secani puede respaldar el registro de cumplimiento revisable en torno a este trabajo. Modele los sistemas y proveedores afectados como objetos de destino, vincule las evidencias con los requisitos y decisiones pertinentes y asigne responsables a las tareas de seguimiento. Sus flujos de evidencias conectadas y de revisión admiten vínculos a las fuentes, comentarios, aprobaciones y marcas de tiempo. Trate los resúmenes asistidos por IA como borradores que requieren revisión humana; mantenga la contención y la investigación forense en los sistemas operativos y vincule sus evidencias al rastro de decisiones.

Preguntas que surgen durante la respuesta

¿Podemos esperar a una confirmación de borrado antes de decidir?

Solicítela de inmediato, pero continúe la evaluación en paralelo. Su importancia depende del destinatario, del contenido y de un posible acceso posterior. Una solicitud sin respuesta no es una evidencia de que la exposición haya terminado.

¿Qué ocurre si el portal de notificación no está disponible?

Registre los intentos y busque la vía de contacto alternativa publicada por la autoridad. Conserve la información lista para su presentación y explique cualquier retraso resultante. Un problema técnico de presentación no debe detener la evaluación ni la comunicación necesaria a las personas.

¿Cuándo se puede cerrar el incidente?

La recuperación operativa y el cierre en materia de privacidad son hitos separados. Confirme que se han completado los avisos y actualizaciones obligatorios, que las preguntas residuales tienen un responsable y que las acciones correctivas siguen teniendo seguimiento. Como siguiente paso práctico, contraste un caso reciente no notificado con la lista de comprobación del registro: si otro revisor no puede reconstruir la decisión, mejore el traspaso antes del próximo incidente.