Protocolo de respuesta ante una brecha de datos en 72 horas
La Ley 21.719 obliga a notificar a la Agencia de Protección de Datos en máximo 72 horas desde que se toma conocimiento de una brecha. Aquí está el protocolo completo, hora a hora, con el árbol de decisión para saber a quién notificar.
¿Qué es una brecha bajo la Ley 21.719?
Una brecha de datos personales es cualquier incidente de seguridad que comprometa la confidencialidad, integridad o disponibilidad de datos personales. La definición es muy amplia. Incluye:
- Confidencialidad comprometida: hackeo con exfiltración, error humano que expone datos, base de datos pública por accidente.
- Integridad comprometida: alteración no autorizada de los datos (alguien modifica registros).
- Disponibilidad comprometida: ransomware que cifra los datos, eliminación accidental sin backup, caída prolongada de sistemas.
Timeline minuto a minuto: las 72 horas críticas
El conteo de las 72 horas empieza cuando la organización toma conocimiento del incidente — no cuando ocurrió. Esto es relevante: una brecha que sucedió hace 2 meses pero recién detectaste hoy, te da 72 horas desde hoy.
T+0 a T+6h — Detección y contención inmediata
- Activa el comité de crisis: DPO, TI, Legal, Comunicaciones y Operaciones.
- Aísla la fuente: desconecta el sistema afectado, revoca credenciales comprometidas, suspende accesos.
- Inicia el log forense: cada acción y decisión debe quedar registrada con timestamp.
- Preserva la evidencia: no borres logs ni reinicies sistemas hasta hacer copia forense.
T+6h a T+24h — Análisis y dimensionamiento
- Forense técnico: vector de ataque, sistemas comprometidos, vulnerabilidades explotadas.
- Estimación de alcance: ¿cuántos titulares afectados? ¿Qué categorías de datos?
- Clasificación de sensibilidad: ¿hay datos sensibles? ¿datos financieros? ¿menores?
- Comunicación interna: Gerencia General y Directorio informados.
T+24h a T+48h — Decisión de notificación
- Aplica el árbol de decisión (ver abajo) para definir a quién notificar.
- Redacta el borrador de notificación a la Agencia (puede usarse IA para acelerar).
- Revisión legal del borrador por el equipo jurídico o externos.
- Plan de comunicación a titulares si corresponde.
T+48h a T+72h — Notificación formal y registro
- Envío de la notificación a la Agencia antes del minuto 72:00.
- Notificación a titulares si el riesgo es alto (puede ser en paralelo).
- Cierre del expediente de fase 1 con hash SHA-256 que demuestre integridad de evidencia.
Árbol de decisión: ¿a quién debes notificar?
No toda brecha requiere notificación. La ley distingue tres situaciones:
Escenario 1: No hay riesgo para derechos del titular
Ejemplo: se cifra accidentalmente una base de prueba con datos ficticios, o se pierde un disco duro cifrado donde las claves siguen seguras. La Ley no obliga a notificar, pero debes mantener el registro interno.
Escenario 2: Hay riesgo pero NO es alto
Ejemplo: se filtran correos electrónicos de clientes a una empresa competidora. Hay perjuicio potencial (marketing no deseado) pero no daño significativo. Notificas a la Agencia en 72 horas, pero no a los titulares.
Escenario 3: Hay riesgo ALTO
Ejemplo: se exfiltra una base con RUTs, contraseñas hasheadas y números de tarjeta. Daño potencial alto (fraude, suplantación). Notificas a la Agencia en 72 horas y a los titulares afectados sin dilación indebida.
Qué debe contener la notificación a la Agencia
La notificación debe incluir al menos:
- Naturaleza de la brecha: qué pasó, cómo se descubrió.
- Categorías y número aproximado de titulares afectados.
- Categorías y volumen aproximado de registros comprometidos.
- Datos de contacto del DPO u otra persona responsable.
- Consecuencias probables de la brecha para los titulares.
- Medidas adoptadas o propuestas para mitigar los efectos.
Errores que multiplican el riesgo
- Esperar a tener "todo claro". El plazo corre. Una notificación parcial dentro de plazo es mejor que una completa fuera de plazo.
- No documentar las decisiones. Si no notificas, debes poder demostrar por qué evaluaste que no había riesgo.
- Comunicación pública prematura. Antes de notificar a la Agencia, no informes a prensa ni stakeholders externos.
- Borrar evidencia técnica. Logs, registros, dumps — todo debe preservarse. Sin evidencia, hay agravante.
- Ocultar al DPO. El DPO debe involucrarse desde la hora cero. Esconderle el caso al DPO es una infracción independiente.
Cómo prepararte ANTES de que ocurra
Las brechas no se evitan con suerte. Se gestionan con preparación. Estos son los elementos que tu organización debe tener listos antes de que ocurra el incidente:
- Procedimiento documentado con roles y responsabilidades claras.
- Comité de crisis definido con contactos 24/7.
- Plantilla de notificación pre-aprobada por legal.
- Plantilla de comunicación a titulares en tono adecuado.
- Simulacros anuales (tabletop exercises) que prueben el protocolo.
- Software que automatice el control de plazos y la cadena de custodia de evidencia.
El plazo de 72 horas no perdona
Confirmer360 calcula automáticamente el deadline, genera el borrador con IA, conserva evidencia hash SHA-256 y entrega plantilla oficial para la Agencia. Tu seguro de respuesta.
Ver módulo BrechasPrepárate antes de la brecha, no después
Confirmer360 estructura el protocolo completo: comité, plazos, plantillas, evidencia inmutable y cadena de custodia para la Agencia.
Solicitar demo gratuita