Brechas · Incidentes · Seguridad de datos
Gestiona brechas de seguridad de datos personales con una respuesta trazable
Detectar un incidente es solo el comienzo. Una respuesta efectiva requiere contenerlo, evaluar su impacto, coordinar responsables, gestionar las comunicaciones aplicables y mantener evidencia de cada decisión.
Incidentes
¿Qué es una brecha de seguridad de datos personales?
Una vulneración puede involucrar destrucción, filtración, pérdida o alteración accidental o ilícita de datos personales, así como una comunicación o acceso no autorizado. Esa es la formulación que utiliza el artículo 14 sexies.
Reporte y evaluación
La Ley 21.719 no fija un plazo de 72 horas
Cuando existe un riesgo razonable para los derechos y libertades de los titulares, el responsable debe reportar la vulneración a la Agencia por los medios más expeditos posibles y sin dilaciones indebidas.
Sin plazo fijo de 72 horas
El análisis debe separar la Ley 21.719 de otros regímenes de ciberseguridad que puedan aplicar.
Riesgo razonable
El reporte se activa cuando la vulneración puede afectar derechos y libertades de las personas.
Medios expeditos
La comunicación a la Agencia debe realizarse sin dilaciones indebidas cuando corresponde.
Análisis concreto
El tipo de organización, datos e incidente puede modificar obligaciones complementarias.
Primero determina si la vulneración genera un riesgo razonable para las personas
Estas preguntas apoyan la evaluación inicial y no reemplazan el análisis del caso concreto.
Datos afectados
Qué categorías de datos personales fueron comprometidas y si existen datos sensibles.
Titulares
Cuántas personas podrían estar afectadas y qué tipo de vínculo tienen con la organización.
Confidencialidad
Si hubo acceso o comunicación no autorizados.
Integridad
Si la información fue alterada, modificada o contaminada.
Disponibilidad
Si hubo pérdida, destrucción o imposibilidad de acceso.
Perjuicio posible
Fraude, discriminación, exposición, daño económico u otro impacto para las personas.
Continuidad
Si la brecha continúa activa o si ya fue contenida.
Evidencia
Qué antecedentes respaldan cada decisión tomada durante el incidente.
Terceros
Si un encargado, plataforma cloud o proveedor tecnológico participa en el incidente.
Cada brecha necesita un expediente verificable
La ley exige registrar comunicaciones, naturaleza de la vulneración, efectos, categorías de datos, número aproximado de titulares afectados y medidas adoptadas para gestionarla y prevenir futuros incidentes.
| Campo | Registro operativo | Uso en la respuesta | Estado |
|---|---|---|---|
| Fecha de detección | Cuándo se identificó el evento | Base temporal para escalamiento | Registrado |
| Tratamientos afectados | Sistema, RAT, datos y titulares | Define alcance y responsables | Validación |
| Acciones y comunicación | Medidas, responsables, mensajes y evidencias | Sostiene accountability | Trazable |
Ejemplo ilustrativo. No corresponde a una plantilla legal completa ni reemplaza el análisis de cada organización.
Flujo operativo
De la detección al cierre del incidente
La respuesta necesita un flujo claro para pasar del evento técnico a la decisión responsable, la recuperación y el expediente de evidencia.
Registrar el evento
Identifica origen, hora, sistema afectado y primeras señales del incidente.
Limitar exposición
Reduce continuidad, propagación o acceso mientras se investiga el alcance.
Determinar riesgo
Revisa datos, titulares, sistemas, terceros e impacto potencial sobre las personas.
Activar responsables
Coordina privacidad, seguridad, legal, negocio y dirección cuando corresponda.
Definir mensajes
Gestiona reporte o comunicación aplicable según riesgo y tipo de datos afectados.
Cerrar con trazabilidad
Documenta decisiones, medidas, responsables, resultados y acciones de mejora.
RAT, terceros y seguridad
Responder rápido depende de saber dónde estaban los datos
Un RAT actualizado facilita identificar qué tratamiento fue afectado, qué sistemas intervienen, qué categorías de datos existen, quién es responsable y qué terceros están relacionados.
Conecta incidente y tratamiento
Relaciona el evento con sistema, tratamiento, datos, titulares y responsable operativo.
El incidente puede comenzar fuera
Proveedores tecnológicos y encargados deben reportar vulneraciones al responsable.
Reduce impacto con controles
MFA, RBAC, hardening, cifrado, monitoreo, backups, registros y recuperación.
Implementación
Construye una capacidad de respuesta antes del incidente
GTD acompaña el diseño, implementación y mejora del proceso para conectar roles, controles, terceros y evidencia.
Revisamos el punto de partida
Proceso actual, roles, sistemas, terceros, controles y brechas visibles.
Definimos playbook
Responsables, clasificación, criterios de riesgo, comunicación y escalamiento.
Preparamos la operación
Procedimientos, registros, canales, plantillas y mecanismos de evidencia.
Simulamos decisiones
Ejercicios de escritorio para validar roles, información disponible y tiempos.
Gestionamos trazabilidad
Conectamos incidentes, aprendizajes, controles y mejora continua.
Demostramos qué ocurrió
Control existente, detección, acción, responsable, resultado y respaldo.
Operación continua
Conecta incidentes, tratamientos y evidencia
PHARUS Privacy puede actuar como capa operativa para conectar tratamientos, responsables, riesgos y evidencia dentro de la gestión continua de privacidad.
Preguntas frecuentes
Preguntas frecuentes sobre brechas de datos personales
Respuestas breves para orientar la gestión de incidentes bajo la Ley 21.719.
¿Qué es una brecha de datos personales?
Una vulneración que puede ocasionar destrucción, filtración, pérdida, alteración, comunicación o acceso no autorizado.
¿La Ley 21.719 establece 72 horas para notificar?
No fija ese plazo; exige reportar a la Agencia sin dilaciones indebidas cuando existe riesgo razonable para los derechos y libertades de los titulares.
¿Toda brecha debe reportarse a la Agencia?
El artículo 14 sexies vincula el deber de reporte a vulneraciones que presenten un riesgo razonable para los derechos y libertades de los titulares.
¿Cuándo se debe avisar a los titulares?
En los supuestos específicos de datos sensibles, menores de catorce años y datos económicos, financieros, bancarios o comerciales establecidos por la ley.
¿Qué debe registrar la organización?
Naturaleza, efectos, categorías de datos, número aproximado de afectados y medidas de gestión y prevención futura, entre otros antecedentes necesarios para la trazabilidad.
¿Qué ocurre si la brecha está en un proveedor?
El encargado debe reportar la vulneración al responsable.
¿Necesitas diseñar o revisar tu proceso de respuesta?
Cuéntanos cómo gestiona actualmente tu organización los incidentes que pueden afectar datos personales y revisaremos contigo los próximos pasos para fortalecer el proceso, sus controles y evidencia.
¿Necesitas revisar tu preparación completa para la Ley 21.719?
Integra brechas, terceros, seguridad, RAT, derechos, controles y evidencia dentro de una ruta de implementación coherente.