Por Agustín Allende, Director de la Comisión de Data Privacy & Ética Digital.
El 26 de abril de 2024 la autoridad de protección de datos de Brasil, ANPD, aprobó el reglamento de comunicación de incidentes de seguridad que puedan implicar un riesgo o daño relevante a los titulares de los datos personales a través de la Resolución CD/ANPD 15, cuyo texto puede ser consultado en el siguiente enlace: https://www.in.gov.br/en/web/dou/-/resolucao-cd/anpd-n-15-de-24-de-abril-de-2024-556243024
El artículo 48 de la Ley 13.709 (2018) “Lei Geral de Proteção de Dados Pessoais” (LGPD), establece la obligación de los responsables de tratamiento de comunicar el hecho a la ANPD y al titular del dato personal que pueda acarrear riesgo o daño relevante, dentro de un plazo razonable a ser definido por ANPD.
La comunicación exigida debe, como mínimo, describir la naturaleza de los datos personales afectados, información sobre los titulares afectados, descripción de medidas técnicas y de seguridad utilizadas para proteger los datos, riesgos relacionados con el incidente, razones de la demora en la comunicación y las medidas que fueron o serán adoptadas para mitigar los efectos del perjuicio. Asimismo, en caso que ANPD entienda que la gravedad del incidente lo justifique, se deberá informar el mismo a través de diversos medios de comunicación.
En principio el plazo para notificar los incidentes a la ANPD es de 3 días hábiles desde que se tomó conocimiento que el incidente afecta datos personales. Resulta de sumo interés el criterio adoptado por ANPD, en cuanto a aplicar a las PyMEs un plazo de 6 días hábiles para notificar, pudiendo ser completadas en un plazo de 20 días hábiles, salvo para las PyMEs que regirá un plazo de 40 días. Iguales plazos rige para los supuestos en que sea requerido notificar a los titulares de los datos personales.
Si bien en nuestro país todavía no rige la obligación legal de notificar los incidentes de ciberseguridad, existe la obligación de adopción de medidas de seguridad robustas, entre las cuales se ubica la redacción de protocolos para lidiar con incidentes de ciberseguridad cursando las respectivas notificaciones pertinentes en un todo, de acuerdo con la práctica internacional y los tratados internacionales en la materia de los cuales Argentina es parte. Como el “Convenio 108+”, protocolo modificatorio del Convenio para la protección de las personas, con respecto al tratamiento automatizado de datos de carácter personal, incorporado a través de la sanción de la Ley No. 27.699.1
1 Ver artículo 7 del Convenio.
