Cuando hay una fuga de datos, el reloj corre desde el momento en que la detectas, no desde que decides qué hacer. Y las decisiones importantes —qué comunicar, a quién y cuándo— se toman en horas.
Por eso el protocolo se define antes. Improvisar la respuesta a un incidente es garantía de errores que después no se pueden deshacer.
Hora 0 a 2 — Contener
Lo primero no es legal, es técnico: detener la fuga. Aislar el sistema comprometido, revocar accesos, cambiar credenciales.
En paralelo, y esto sí es legal: preservar la evidencia. No borrar registros, no reinstalar servidores, no "limpiar" nada. Los logs son lo que después permite determinar el alcance, y determinar el alcance es lo que define qué hay que notificar.
Hora 2 a 6 — Determinar el alcance
Tres preguntas:
- ¿Qué datos se vieron afectados? No "datos de clientes" en abstracto: qué campos concretos. No es lo mismo nombre y correo que datos financieros o datos sensibles.
- ¿De cuántas personas? Y si son identificables.
- ¿Qué puede hacer alguien con esos datos? Es la pregunta que determina si la afectación es significativa.
Hora 6 a 12 — Decidir la notificación
La obligación se activa cuando la vulneración afecta de forma significativa los derechos patrimoniales o morales de los titulares. Entonces hay que informarles sin demora, para que puedan tomar medidas.
El análisis no es mecánico y conviene documentarlo: qué se evaluó, con qué criterio y por qué se concluyó lo que se concluyó. Si después alguien cuestiona la decisión, ese razonamiento es tu defensa.
Ten presente que la autoridad cambió: desde la ley vigente en marzo de 2025 es la Secretaría Anticorrupción y Buen Gobierno, no el INAI.
Hora 12 a 24 — Comunicar
Si procede notificar, la comunicación debe permitir al titular tomar medidas. Eso significa decirle:
- Qué pasó, en lenguaje claro
- Qué datos suyos están involucrados
- Qué riesgo concreto corre
- Qué está haciendo la empresa
- Qué puede hacer él
Lo que no funciona: un comunicado corporativo vago que minimiza el incidente. Si el titular no entiende qué datos suyos se filtraron, la notificación no cumplió su función.
Los errores clásicos
Esperar a tener toda la información. Nunca vas a tenerla completa. Se comunica con lo que se sabe y se actualiza.
Que lo maneje solo el área técnica. Sistemas contiene el incidente; la decisión de notificar es legal y de negocio.
Borrar evidencia por limpiar. Es el error que impide después determinar el alcance real.
No avisar internamente. Si el personal de atención a clientes no sabe qué pasó, va a improvisar respuestas.
Lo que hay que tener listo de antemano
- Quién decide. Una persona con autoridad para activar el protocolo a las tres de la mañana.
- El inventario de datos. Si no sabes qué datos tienes y dónde, no puedes determinar el alcance en horas.
- Plantillas de comunicación, para adaptar en lugar de redactar bajo presión.
- Contactos externos identificados: asesor legal, forense informático, seguro si lo tienes.
El protocolo cabe en una página. Lo que no cabe en una página es explicar por qué no lo tenías cuando lo necesitabas.