Plazos y redacción del informe de filtración: primer aviso 3–5 días, informe definitivo 30 días (60 si hay indicio de propósito fraudulento)

La obligación de reportar una filtración de datos personales se determina por si el incidente encaja en uno de los cuatro supuestos que establece el reglamento de ejecución de la Comisión para la Protección de la Información Personal (PPC). Los supuestos son: “información personal que requiere especial consideración”, “riesgo de perjuicio patrimonial”, “riesgo de finalidad fraudulenta” y “casos en que el afectado supera las 1.000 personas”; dado que todos incluyen situaciones en las que existe “posibilidad de que haya ocurrido”, es necesario empezar a evaluar sin esperar confirmación total.

Los reportes se realizan en dos fases: informe inicial y definitivo. El informe inicial debe entregarse “con prontitud” (la PPC señala aproximadamente 3–5 días como referencia) y puede limitarse a los hechos que ya se conocen. El informe definitivo debe presentarse dentro de los 30 días desde el día en que se tuvo conocimiento (si existe riesgo de finalidad fraudulenta, el plazo es de 60 días), y en él se completan los puntos que aún estaban sin determinar en el informe definitivo. El cómputo comienza el día en que cualquiera de los departamentos de la entidad tuvo conocimiento, no el día en que se informó a la alta dirección.

En casos anteriores se observa con frecuencia que las cifras o el alcance del impacto comunicados en la primera notificación se amplían en las comunicaciones posteriores. Por ello, se recomienda redactar el primer aviso partiendo de la premisa de que los números pueden aumentar y estructurarlo en cuatro apartados: (1) lo que se sabe, (2) lo que no está confirmado (indicar un valor máximo o un rango), (3) las acciones que deben tomar los usuarios y (4) la fecha prevista de la próxima actualización; esto ayuda a evitar malentendidos. Las empresas deberían tener preparados de antemano una red de contactos, cuadros de decisión y registros, y una plantilla para informar a la PPC, para no dudar en el momento del incidente.

El artículo también recoge la advertencia de la PPC (7 de octubre de 2026) y la promulgación de la ley de protección de datos personales enmendada (17 de julio de 2026), y presenta puntos prácticos a tener en cuenta bajo las normas vigentes. Precisa que el texto no constituye asesoramiento legal y recomienda que las decisiones finales en casos concretos se verifiquen con el departamento jurídico o con los materiales y consultas de la PPC.