Obligaciones legales de las empresas ante filtraciones a través de contratistas

Como contexto, en los últimos años han destacado las fugas en cadena a través de contratistas y aplicaciones móviles, y se señala que daños similares tienden a propagarse simultánea y masivamente. El artículo organiza que la obligación de reporte se volvió obligatoria por las enmiendas y cambios en la aplicación de la Ley de Protección de la Información Personal, lo que ha sido un factor del aumento en el número de notificaciones.

Las medidas de gestión de seguridad requeridas en tiempo normal deben diseñarse desde las cuatro perspectivas —organizativa, humana, física y técnica— conforme al artículo 23 de la Ley de Protección de la Información Personal y sus guías. Las medidas no son uniformes; es importante decidirlas sobre una base de riesgo según el tamaño del negocio, la naturaleza de los datos manejados y la magnitud del perjuicio previsto.

Respecto a la gestión de los contratistas, se enfatiza que el artículo 25 de la Ley obliga al cedente a una "supervisión necesaria y adecuada". En la práctica, los pilares de la supervisión son la selección adecuada del contratista, la inclusión en el contrato de los requisitos de gestión de seguridad, y la comprensión, evaluación y revisión del estado del tratamiento; si hay subcontratación, es necesario confirmar también a los subcontratistas.

En cuanto a las obligaciones legales cuando ocurre una filtración, si concurre alguno de los cuatro tipos establecidos en las normas de ejecución (información especialmente sensible, riesgo de perjuicio patrimonial, finalidad ilícita, o más de 1.000 titulares afectados) se requiere informar a la Comisión de Protección de la Información Personal y, en principio, notificar a los interesados. Las notificaciones se realizan en dos etapas tras conocer el incidente: un informe preliminar (aproximadamente 3–5 días) y un informe definitivo (en principio 30 días, 60 días si hay finalidad ilícita).

En la respuesta inicial, es prioritario informar de inmediato a la autoridad responsable, detener la expansión del daño y preservar evidencias, mientras se investigan los hechos y el alcance del impacto para determinar rápidamente si debe hacerse la notificación. Para prevenir recurrencias, se exige revisar normas, estructuras, medidas técnicas, formación de empleados y gestión de contratistas basándose en el análisis de causas, y documentar las respuestas y las medidas adoptadas.