Vulneraciones de seguridad: cuándo y cómo reportarlas a la Agencia
Una vulneración de seguridad es cualquier incidente que destruye, filtra, pierde o altera datos personales, o que permite que alguien acceda a ellos sin autorización: un correo enviado a la persona equivocada, un computador robado, un ataque de ransomware o una base de datos expuesta en internet. La Ley 19.628, con el texto de la Ley 21.719, obliga a reportarlas a la Agencia y, en ciertos casos, a las personas afectadas. Esta guía explica cuándo, cómo y qué registrar.
Qué dice la ley
«El responsable deberá reportar a la Agencia, por los medios más expeditos posibles y sin dilaciones indebidas, las vulneraciones a las medidas de seguridad que ocasionen la destrucción, filtración, pérdida o alteración accidental o ilícita de los datos personales que trate o la comunicación o acceso no autorizados a dichos datos, cuando exista un riesgo razonable para los derechos y libertades de los titulares.»Ley 19.628, artículo 14 sexies
Tres ideas clave:
- No toda vulneración se reporta: se reporta cuando hay un riesgo razonable para los derechos y libertades de las personas. Por eso hay que evaluar cada incidente y dejar constancia de esa evaluación.
- No hay un plazo en horas: la ley exige hacerlo «por los medios más expeditos posibles y sin dilaciones indebidas». En la práctica, eso significa tener el procedimiento listo antes de que ocurra.
- Aunque no se reporte, se registra: la ley obliga a registrar las comunicaciones, y la evaluación interna es lo que permite justificar la decisión de no reportar.
Qué se debe registrar
El mismo artículo exige que el responsable registre las comunicaciones, «describiendo la naturaleza de las vulneraciones sufridas, sus efectos, las categorías de datos y el número aproximado de titulares afectados y las medidas adoptadas para gestionarlas y precaver incidentes futuros».
Cuándo hay que avisar a las personas afectadas
Además de la Agencia, hay que comunicar la vulneración a los titulares cuando se refiera a:
| Tipo de datos | Ejemplos |
|---|---|
| Datos personales sensibles | Salud, origen étnico, afiliación política o sindical, creencias religiosas, vida sexual, datos biométricos. |
| Datos de niños y niñas menores de catorce años | Listas de alumnos, fichas de salud escolar. |
| Datos sobre obligaciones de carácter económico, financiero, bancario o comercial | Deudas, tarjetas, cuentas bancarias. |
La comunicación debe hacerse «en un lenguaje claro y sencillo, singularizando los datos afectados, las posibles consecuencias de las vulneraciones de seguridad y las medidas de solución o resguardo adoptadas», a cada titular afectado. Si eso no es posible, se hace mediante un aviso en un medio de comunicación social masivo y de alcance nacional.
Si el incidente ocurre en un proveedor
Cuando los datos los trata un encargado (un proveedor que trabaja por cuenta de la empresa), la ley le exige reportar la vulneración al responsable (artículo 15 bis). Por eso los contratos de encargo deben fijar un plazo concreto para ese aviso: el responsable no puede cumplir su propio deber si se entera tarde.
Te mostramos en 30 minutos cómo se organiza el cumplimiento de una empresa en DPOCentral, desde el registro hasta la evaluación de impacto.
Agenda una demo por WhatsAppVer planesUn procedimiento en cinco pasos
- Detectar y contener: cortar el acceso, recuperar lo que se pueda y preservar la evidencia.
- Evaluar el riesgo: qué datos, cuántas personas, qué tan sensible es y qué consecuencias puede tener.
- Decidir y reportar: si hay riesgo razonable, reportar a la Agencia sin dilaciones; si los datos son de los tres tipos de la tabla, comunicar también a los titulares.
- Registrar: naturaleza, efectos, categorías de datos, número aproximado de afectados y medidas adoptadas.
- Aprender: corregir la causa y revisar las medidas de seguridad de las actividades afectadas.
La seguridad que se espera antes del incidente
El artículo 14 quinquies obliga al responsable y al encargado a aplicar medidas técnicas y organizativas apropiadas al riesgo, que incluyan según corresponda la seudonimización y el cifrado, la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas, la capacidad de restaurar el acceso a los datos tras un incidente y un proceso de verificación periódica de la eficacia de las medidas.
Errores frecuentes
- Esperar a tener toda la información. El reporte se hace sin dilaciones y se completa después.
- No dejar constancia de la decisión de no reportar. Si la Agencia pregunta, esa evaluación es la defensa.
- Contratos de encargo sin plazo de aviso. El proveedor avisa cuando quiere y la empresa pierde días.
Cómo lo resuelve DPOCentral
DPOCentral registra cada incidente con los datos que exige la ley, ayuda a evaluar si corresponde reportar y a quién, y deja la evaluación y las comunicaciones como evidencia. Cada incidente abre además las brechas de seguridad de las actividades afectadas, para corregir la causa.
Esta guía explica la Ley 19.628, con las modificaciones de la Ley 21.719, a partir de su texto oficial publicado por la Biblioteca del Congreso Nacional. Es material informativo y no reemplaza la asesoría de un abogado para un caso concreto.