[{"data":1,"prerenderedAt":288},["ShallowReactive",2],{"blog-/blog/datos-personales/fuga-de-datos-primeras-24-horas":3,"prev-/blog/datos-personales/fuga-de-datos-primeras-24-horas":252,"next-/blog/datos-personales/fuga-de-datos-primeras-24-horas":226,"related-/blog/datos-personales/fuga-de-datos-primeras-24-horas":255,"author-Hyperion Derecho y Negocios":264},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":202,"cta":203,"date":209,"dateModified":209,"description":210,"draft":211,"extension":212,"faq":213,"featured":211,"fechaRevision":209,"howto":226,"image":226,"imageAlt":226,"intent":227,"jurisdiccion":228,"keywords":229,"meta":233,"navigation":234,"path":235,"publishedTime":226,"readingTime":236,"relatedAreas":237,"relatedCalculadoras":239,"relatedLaws":240,"revisadoPor":242,"seo":243,"seoTitle":244,"stem":245,"tags":246,"vigenciaAl":209,"__hash__":251},"blog/blog/datos-personales/fuga-de-datos-primeras-24-horas.md","Fuga de datos: el protocolo de las primeras 24 horas","Hyperion Derecho y Negocios","/abogados/hyperion",{"type":9,"value":10,"toc":191},"minimark",[11,15,23,28,31,38,42,45,73,77,84,87,94,98,105,123,126,130,136,142,148,154,158,184],[12,13,14],"p",{},"Cuando hay una fuga de datos, el reloj corre desde el momento en que la detectas, no desde que decides qué hacer. Y las decisiones importantes —qué comunicar, a quién y cuándo— se toman en horas.",[12,16,17,18,22],{},"Por eso el protocolo se define ",[19,20,21],"strong",{},"antes",". Improvisar la respuesta a un incidente es garantía de errores que después no se pueden deshacer.",[24,25,27],"h2",{"id":26},"hora-0-a-2-contener","Hora 0 a 2 — Contener",[12,29,30],{},"Lo primero no es legal, es técnico: detener la fuga. Aislar el sistema comprometido, revocar accesos, cambiar credenciales.",[12,32,33,34,37],{},"En paralelo, y esto sí es legal: ",[19,35,36],{},"preservar la evidencia",". No borrar registros, no reinstalar servidores, no \"limpiar\" nada. Los logs son lo que después permite determinar el alcance, y determinar el alcance es lo que define qué hay que notificar.",[24,39,41],{"id":40},"hora-2-a-6-determinar-el-alcance","Hora 2 a 6 — Determinar el alcance",[12,43,44],{},"Tres preguntas:",[46,47,48,61,67],"ol",{},[49,50,51,54,55,60],"li",{},[19,52,53],{},"¿Qué datos se vieron afectados?"," No \"datos de clientes\" en abstracto: qué campos concretos. No es lo mismo nombre y correo que datos financieros o ",[56,57,59],"a",{"href":58},"/glosario/datos-sensibles","datos sensibles",".",[49,62,63,66],{},[19,64,65],{},"¿De cuántas personas?"," Y si son identificables.",[49,68,69,72],{},[19,70,71],{},"¿Qué puede hacer alguien con esos datos?"," Es la pregunta que determina si la afectación es significativa.",[24,74,76],{"id":75},"hora-6-a-12-decidir-la-notificación","Hora 6 a 12 — Decidir la notificación",[12,78,79,80,83],{},"La obligación se activa cuando la vulneración afecta ",[19,81,82],{},"de forma significativa"," los derechos patrimoniales o morales de los titulares. Entonces hay que informarles sin demora, para que puedan tomar medidas.",[12,85,86],{},"El análisis no es mecánico y conviene documentarlo: qué se evaluó, con qué criterio y por qué se concluyó lo que se concluyó. Si después alguien cuestiona la decisión, ese razonamiento es tu defensa.",[12,88,89,90,93],{},"Ten presente que la autoridad cambió: desde la ley vigente en marzo de 2025 es la ",[19,91,92],{},"Secretaría Anticorrupción y Buen Gobierno",", no el INAI.",[24,95,97],{"id":96},"hora-12-a-24-comunicar","Hora 12 a 24 — Comunicar",[12,99,100,101,104],{},"Si procede notificar, la comunicación debe permitir al titular ",[19,102,103],{},"tomar medidas",". Eso significa decirle:",[106,107,108,111,114,117,120],"ul",{},[49,109,110],{},"Qué pasó, en lenguaje claro",[49,112,113],{},"Qué datos suyos están involucrados",[49,115,116],{},"Qué riesgo concreto corre",[49,118,119],{},"Qué está haciendo la empresa",[49,121,122],{},"Qué puede hacer él",[12,124,125],{},"Lo que no funciona: un comunicado corporativo vago que minimiza el incidente. Si el titular no entiende qué datos suyos se filtraron, la notificación no cumplió su función.",[24,127,129],{"id":128},"los-errores-clásicos","Los errores clásicos",[12,131,132,135],{},[19,133,134],{},"Esperar a tener toda la información."," Nunca vas a tenerla completa. Se comunica con lo que se sabe y se actualiza.",[12,137,138,141],{},[19,139,140],{},"Que lo maneje solo el área técnica."," Sistemas contiene el incidente; la decisión de notificar es legal y de negocio.",[12,143,144,147],{},[19,145,146],{},"Borrar evidencia por limpiar."," Es el error que impide después determinar el alcance real.",[12,149,150,153],{},[19,151,152],{},"No avisar internamente."," Si el personal de atención a clientes no sabe qué pasó, va a improvisar respuestas.",[24,155,157],{"id":156},"lo-que-hay-que-tener-listo-de-antemano","Lo que hay que tener listo de antemano",[106,159,160,166,172,178],{},[49,161,162,165],{},[19,163,164],{},"Quién decide."," Una persona con autoridad para activar el protocolo a las tres de la mañana.",[49,167,168,171],{},[19,169,170],{},"El inventario de datos."," Si no sabes qué datos tienes y dónde, no puedes determinar el alcance en horas.",[49,173,174,177],{},[19,175,176],{},"Plantillas de comunicación",", para adaptar en lugar de redactar bajo presión.",[49,179,180,183],{},[19,181,182],{},"Contactos externos"," identificados: asesor legal, forense informático, seguro si lo tienes.",[185,186,188],"alert",{"type":187},"warning",[12,189,190],{},"El protocolo cabe en una página. Lo que no cabe en una página es explicar por qué no lo tenías cuando lo necesitabas.",{"title":192,"searchDepth":193,"depth":194,"links":195},"",2,3,[196,197,198,199,200,201],{"id":26,"depth":193,"text":27},{"id":40,"depth":193,"text":41},{"id":75,"depth":193,"text":76},{"id":96,"depth":193,"text":97},{"id":128,"depth":193,"text":129},{"id":156,"depth":193,"text":157},"datos-personales",{"title":204,"description":205,"label":206,"to":207,"icon":208},"¿Necesitas resolver esto en tu empresa?","Cuéntanos tu situación y te decimos qué tan urgente es y qué haríamos. La primera valoración no tiene costo.","Evalúa tu asunto","/consulta","i-lucide-scale","2026-09-14","Cuando hay una vulneración de seguridad, el margen para decidir qué notificar y a quién es de horas. El protocolo que conviene tener definido antes de necesitarlo.",false,"md",[214,217,220,223],{"question":215,"answer":216},"¿Estoy obligado a avisar a los titulares?","Cuando la vulneración afecte de forma significativa los derechos patrimoniales o morales de los titulares, existe obligación de informarles sin demora para que puedan tomar medidas. Determinar si el caso encuadra requiere análisis rápido.",{"question":218,"answer":219},"¿Tengo que avisar a la autoridad?","La ley vigente desde marzo de 2025 sustituyó al INAI por la Secretaría Anticorrupción y Buen Gobierno. El alcance de las obligaciones de notificación debe evaluarse caso por caso, sobre todo mientras no exista reglamento.",{"question":221,"answer":222},"¿Qué pasa si no aviso y se sabe después?","Además de la infracción, el daño reputacional de que los titulares se enteren por un tercero suele ser mayor que el del incidente mismo.",{"question":224,"answer":225},"¿Debo pagar el rescate si es ransomware?","Es una decisión de negocio con implicaciones legales serias. Pagar no garantiza recuperación ni impide la divulgación, y puede tener consecuencias adicionales. Conviene tomarla con asesoría, no en caliente.",null,"transactional","federal",[230,231,232],"que hacer si hay fuga de datos","vulneracion de seguridad datos personales","notificar fuga de datos mexico",{},true,"/blog/datos-personales/fuga-de-datos-primeras-24-horas",4,[238],"/areas-de-practica/proteccion-de-datos",[],[241],"/marco-legal/ley-federal-de-proteccion-de-datos-personales","hyperion",{"title":5,"description":210},"Fuga de Datos: Qué Hacer","blog/datos-personales/fuga-de-datos-primeras-24-horas",[247,248,249,250],"Incidentes","LFPDPPP","Seguridad","Datos personales","UldX6IwSeeLgE6aGCi21-m8Uh4tKTr6UjjndZ_aB-2M",{"path":253,"title":254},"/blog/datos-personales/derechos-arco-procedimiento-pyme","Derechos ARCO: cómo montar el procedimiento en una empresa pequeña",[256,259],{"path":253,"title":254,"description":257,"date":258,"category":202,"image":226,"imageAlt":226,"readingTime":236},"No responder una solicitud ARCO es una infracción por sí misma. Cómo montar un procedimiento que funcione sin un área de cumplimiento dedicada.","2026-08-31",{"path":260,"title":261,"description":262,"date":263,"category":202,"image":226,"imageAlt":226,"readingTime":194},"/blog/datos-personales/aviso-de-privacidad-plantilla","Por qué tu aviso de privacidad de plantilla no te protege","Un aviso copiado describe tratamientos que no haces y omite los que sí. Qué revisa realmente una verificación y cómo se construye un aviso que sirva.","2026-04-09",{"id":265,"areas":266,"avatar":226,"bio":274,"cedulaProfesional":226,"colegios":275,"curriculum":276,"ejerceDesde":226,"entityType":277,"expertise":278,"extension":279,"idiomas":280,"meta":282,"name":6,"order":283,"posgrados":284,"role":285,"slug":242,"social":226,"stem":286,"universidad":226,"url":7,"__hash__":287},"abogados/abogados/hyperion.yml",[267,268,269,270,271,272,273],"Derecho corporativo y societario","Derecho laboral","Derecho fiscal","Contratos mercantiles","Propiedad intelectual","Litigio mercantil y cobranza","Protección de datos y compliance","Contenido preparado y revisado por el equipo del despacho. Las guías se escriben a partir de asuntos que hemos llevado y se actualizan cuando cambia la norma que las sustenta.",[],[],"Organization","Hyperion Derecho y Negocios es un despacho orientado a empresa. Publicamos guías prácticas por área de práctica y seguimiento de las reformas que afectan a las empresas mexicanas, con el fundamento legal de cada afirmación y la fecha de última revisión visible en cada texto.","yml",[281],"Español",{},0,[],"Equipo editorial del despacho","abogados/hyperion","I6jm73FDN3vfUEzKB3IGb4RB63lTxaF6qZmPF3nS9dY",1791413511981]