Protocolo de respuesta a incidentes de seguridad de datos personales, con registro y notificación en 48 horas

PROTOCOLO DE RESPUESTA A INCIDENTES DE SEGURIDAD DE DATOS PERSONALES

[RAZÓN SOCIAL]

1. QUÉ ES UN INCIDENTE

Todo evento que afecte la confidencialidad, integridad o disponibilidad de datos personales: pérdida o robo de equipos o documentos, accesos no autorizados, envío de datos a destinatarios equivocados, ciberataques, borrado accidental o publicación indebida.

2. EQUIPO DE RESPUESTA

RolNombre y cargoContacto

Coordinador (Oficial de Datos Personales o responsable designado)[ ][ ]

Tecnología / seguridad de la información[ ][ ]

Legal[ ][ ]

Comunicaciones / Gerencia[ ][ ]

3. PASOS Y PLAZOS

PasoQué hacerPlazo

1. Reporte internoTodo trabajador o proveedor que detecte un posible incidente lo reporta al coordinador por [correo / teléfono]. Los proveedores encargados avisan de inmediato.Inmediato

2. ContenciónAislar equipos, cambiar contraseñas, bloquear accesos, pedir la eliminación de correos enviados por error, preservar evidencias.Primeras horas

3. EvaluaciónDeterminar qué datos, cuántos titulares, si hay datos sensibles, causa, consecuencias probables y si está contenido.Dentro de las 24 horas

4. Notificación a la AutoridadSi afecta grandes volúmenes de datos o datos sensibles: notificar a la Autoridad Nacional de Protección de Datos Personales. Si es digital, también al Centro Nacional de Seguridad Digital.Máximo 48 horas desde que se conoció

5. Comunicación a los afectadosInformar a los titulares en lenguaje sencillo qué pasó, qué datos y qué pueden hacer, salvo que no haya daño y el incidente esté contenido.Máximo 48 horas

6. Remediación y cierreCorregir la causa, actualizar medidas y registrar las lecciones aprendidas.Según el caso

4. CONTENIDO DE LA NOTIFICACIÓN A LA AUTORIDAD

1. Naturaleza del incidente, fecha y forma en que se detectó.

2. Categorías y número aproximado de titulares y de registros afectados; tipos de datos.

3. Datos de contacto del Oficial de Datos Personales o del responsable.

4. Consecuencias probables para los titulares.

5. Medidas adoptadas o propuestas para remediar el incidente y mitigar sus efectos.

6. Si la notificación es tardía, las razones del retraso.

5. REGISTRO DE INCIDENTES

N°FechaDescripciónDatos y titulares afectados¿Notificado? (fecha)MedidasCierre

[1][ ][ ][ ][Sí / No: motivo][ ][ ]

6. MODELO DE COMUNICACIÓN A LOS AFECTADOS

«Estimado(a) [nombre]: el [fecha] detectamos [descripción sencilla del incidente], que pudo afectar los siguientes datos suyos: [datos]. Inmediatamente [medidas adoptadas]. Le recomendamos [cambiar su contraseña / estar atento a mensajes sospechosos / no compartir códigos]. Para consultas, escríbanos a [correo] o llame al [teléfono]. Lamentamos lo ocurrido. [Nombre y cargo].»

NOTAS PARA ADAPTAR ESTE MODELO (elimina esta página antes de aprobarlo) Notificación en 48 horas. Ante incidentes que afecten grandes volúmenes de datos o datos sensibles, el responsable debe notificar a la Autoridad como máximo dentro de las 48 horas de haber tomado conocimiento, y justificar cualquier demora (Reglamento, art. 34.1 y 34.2). Afectados. También debe informarse a los titulares en 48 horas y en lenguaje sencillo, salvo que no haya daño y el incidente esté contenido (art. 34.3 y 34.4). Los incidentes digitales se reportan además al Centro Nacional de Seguridad Digital (art. 34.5). Proveedores. El encargado del tratamiento debe informar de inmediato al responsable (art. 36): inclúyelo en los contratos con proveedores. Medidas de seguridad. Revisa los privilegios de acceso al menos cada seis meses, conserva los registros de actividad (logs) al menos dos años y haz copias de respaldo al menos semanales (arts. 46 y 51).