Vulneraciones de datos personales: cómo debe responder una empresa ante un incidente de seguridad

Vulneraciones de datos personales: obligaciones y respuesta empresarial

El manejo de datos personales forma parte de las actividades ordinarias de prácticamente cualquier empresa que tenga relación con clientes, trabajadores, proveedores o prestadores de servicios. Nombres, domicilios, números telefónicos, correos electrónicos, información bancaria, expedientes laborales y otros datos de identificación suelen concentrarse en sistemas internos, plataformas digitales, servicios de almacenamiento en la nube o infraestructura tecnológica administrada por terceros.

Precisamente por ello, la protección de esa información exige controles administrativos, técnicos y físicos orientados a reducir riesgos de pérdida, alteración, acceso indebido, destrucción o divulgación sin autorización. Sin embargo, aun cuando una organización cuente con medidas de seguridad adecuadas, no puede asumirse que una vulneración resulte imposible. La gestión de datos personales debe prever tanto mecanismos preventivos como procedimientos de reacción para aquellos casos en los que el incidente ya se haya producido.

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares establece esta obligación de prevención. Su artículo 18 dispone que el responsable debe adoptar y conservar medidas de seguridad administrativas, técnicas y físicas que permitan proteger los datos frente al daño, pérdida, alteración, destrucción, uso, acceso o tratamiento no autorizado.

La propia disposición exige considerar, entre otros elementos, el nivel de riesgo, las consecuencias que pudieran generarse para las personas titulares, la naturaleza y sensibilidad de los datos y el desarrollo tecnológico disponible. En consecuencia, no existe una medida única aplicable a todas las organizaciones, sino que el sistema de protección debe responder a las características particulares de los tratamientos realizados y a los riesgos propios de cada operación.

Las vulneraciones de seguridad pueden presentarse de formas muy diversas. No se limitan a ataques informáticos o filtraciones masivas de bases de datos. También pueden originarse por la pérdida o destrucción indebida de información, el robo o extravío de dispositivos, la copia no autorizada de archivos, el acceso de personas que carecen de permisos, la modificación de registros o el tratamiento de datos en forma distinta a las instrucciones impartidas por el responsable.

En la práctica, un incidente puede derivar igualmente de errores humanos, del envío de información a un destinatario equivocado, de la pérdida de expedientes físicos, del uso inadecuado de contraseñas o de actuaciones realizadas por proveedores que tienen acceso a información de la empresa.

El hecho de que los datos se encuentren almacenados en infraestructura tecnológica administrada por un tercero tampoco elimina las obligaciones del responsable. La empresa que determina las finalidades y los elementos esenciales del tratamiento conserva esa calidad frente a las personas titulares.

Por esta razón, la contratación de servicios de almacenamiento, cómputo en la nube, administración tecnológica o ciberseguridad debe acompañarse de disposiciones contractuales y procedimientos internos que permitan identificar, escalar y comunicar oportunamente cualquier incidente que involucre información confiada al proveedor.

Uno de los aspectos centrales del régimen es la obligación de informar determinadas vulneraciones. El artículo 19 de la LFPDPPP establece que aquellas vulneraciones ocurridas en cualquier etapa del tratamiento que afecten de manera significativa los derechos patrimoniales o morales de las personas titulares deben ser comunicadas inmediatamente por el responsable. La finalidad consiste en permitir que las personas afectadas adopten oportunamente las medidas necesarias para proteger sus derechos.

La obligación de comunicar no depende, por tanto, únicamente de que exista una vulneración. Es necesario valorar la naturaleza del incidente, la información comprometida y la magnitud de las consecuencias que razonablemente pueden producirse.

Esta precisión resulta especialmente relevante porque la expresión "derechos patrimoniales o morales" utilizada por la Ley no corresponde a una clasificación de los datos personales en patrimoniales, identificativos o sensibles.

El artículo 19 centra el análisis en el derecho que puede sufrir una afectación significativa como consecuencia del incidente. Por ello, la exposición de un domicilio, teléfono, correo electrónico, identificación oficial u otro dato semejante puede generar una obligación de comunicación cuando las circunstancias permitan advertir un riesgo relevante de fraude, suplantación de identidad, acoso, invasión a la privacidad o perjuicio económico.

La información de naturaleza patrimonial permite observar con claridad esta lógica. Datos relacionados con cuentas bancarias, ingresos, egresos, propiedades, inversiones o situación económica pueden producir consecuencias financieras directas si llegan a manos de personas no autorizadas.

Sin embargo, la posibilidad de afectación no se limita a ese tipo de información. Un dato de identificación puede generar igualmente consecuencias económicas o personales, dependiendo de la forma en que sea utilizado. Por ello, la decisión de comunicar una vulneración debe construirse a partir de una valoración de las consecuencias previsibles y de la importancia que puedan alcanzar.

La referencia a los derechos morales presenta una dificultad adicional, ya que la LFPDPPP aplicable al sector privado no desarrolla de forma exhaustiva el alcance de ese concepto para efectos de una vulneración de seguridad.

No obstante, puede entenderse que comprende consecuencias relacionadas con la esfera extrapatrimonial de las personas, como la vida privada, el honor, la reputación, la integridad o determinados aspectos de su esfera personal.

Así, la divulgación de datos sensibles, información médica, fotografías privadas, comunicaciones personales o determinados datos de identificación puede representar una afectación suficientemente grave para justificar una comunicación inmediata al titular.

Como criterio orientador, la regulación emitida en materia de protección de datos para el sector público ha relacionado la afectación de derechos morales con elementos como sentimientos, afectos, creencias, honor, reputación, vida privada e integridad física o psíquica.

Se trata de un régimen distinto al aplicable a particulares, por lo que sus disposiciones no pueden trasladarse de manera automática a la LFPDPPP. Sin embargo, constituyen una referencia útil para advertir que el concepto de derechos morales posee un alcance mayor que la simple clasificación formal de los datos comprometidos.

Una vez que se identifica una posible vulneración, es también determinante establecer cuándo debe realizarse la comunicación.

El artículo 64 del Reglamento de la LFPDPPP vincula ese momento con dos elementos: que el responsable haya confirmado la existencia de la vulneración y que haya iniciado las acciones necesarias para revisar la magnitud de la afectación.

Esto implica que la empresa debe actuar con rapidez una vez que cuente con información suficiente para confirmar que el incidente ocurrió. La revisión técnica del evento no debe utilizarse como razón para retrasar injustificadamente una comunicación que permita a los titulares adoptar medidas de protección.

En este sentido, el artículo 64 señala que el responsable debe informar al titular cuando confirme la vulneración, haya iniciado la revisión exhaustiva de su alcance y exista una afectación significativa a sus derechos patrimoniales o morales.

La comunicación tampoco puede limitarse a una referencia genérica a la existencia de un incidente. El artículo 65 del Reglamento establece un contenido mínimo que permita a la persona afectada comprender lo sucedido y adoptar decisiones informadas.

La empresa debe señalar, al menos, la naturaleza del incidente, los datos personales involucrados, las recomendaciones que puede seguir el titular para proteger sus intereses, las acciones correctivas adoptadas de manera inmediata y los medios a través de los cuales puede obtener información adicional.

La finalidad de esta comunicación no consiste únicamente en cumplir una formalidad. Debe proporcionar información suficiente para que la persona afectada conozca el riesgo y pueda adoptar medidas concretas frente a sus posibles consecuencias.

El proceso de respuesta tampoco termina con la notificación. El artículo 66 del Reglamento obliga al responsable a analizar las causas que dieron origen a la vulneración y a implementar medidas correctivas, preventivas y de mejora destinadas a ajustar sus mecanismos de seguridad.

Después de un incidente, la organización debe determinar cómo ocurrió el acceso, pérdida, alteración o divulgación de la información, identificar las fallas que hicieron posible el evento y modificar los controles necesarios para reducir la posibilidad de que se repita.

Desde una perspectiva operativa, la respuesta empresarial debe desarrollarse por etapas. La primera consiste en contener el incidente, impedir nuevos accesos o afectaciones y preservar la información necesaria para investigar sus causas.

Después deberá identificarse qué sistemas fueron afectados, cuáles datos se encontraban involucrados, a qué personas corresponden y cuáles pueden ser las consecuencias del incidente.

Con esa información será posible determinar si existe una afectación significativa que haga necesaria la comunicación a los titulares.

Posteriormente deberán adoptarse las medidas correctivas correspondientes, documentarse las decisiones y actuaciones realizadas y revisarse los controles relacionados con el incidente, incluyendo políticas internas, contratos con proveedores, permisos de acceso, mecanismos de autenticación, respaldos y procedimientos de seguridad.

El análisis debe contemplar tanto información de clientes como de trabajadores. La existencia de una relación laboral no modifica la calidad de titular de la persona respecto de sus datos personales, por lo que las empresas continúan obligadas a proteger la información obtenida y utilizada durante esa relación.

Los sistemas de recursos humanos pueden concentrar información particularmente relevante, entre ella domicilios, cuentas bancarias utilizadas para el pago de salarios, identificaciones oficiales, datos fiscales, antecedentes académicos, información de seguridad social e incluso determinada documentación médica. Una vulneración en este tipo de sistemas puede, por ello, producir consecuencias patrimoniales y personales importantes.

De igual manera, las personas titulares conservan los derechos de acceso, rectificación, cancelación y oposición previstos por la LFPDPPP.

El hecho de que determinados tratamientos puedan realizarse sin consentimiento expreso bajo alguno de los supuestos permitidos por la legislación no significa que la información deje de encontrarse protegida. Mientras se trate de datos relacionados con una persona identificada o identificable, continúan siendo aplicables las obligaciones correspondientes al responsable.

La gestión adecuada de una vulneración comienza antes de que ocurra. Una organización que no cuenta previamente con procedimientos internos puede enfrentar dificultades para determinar con rapidez qué información fue comprometida, quiénes son las personas afectadas y cuál debe ser el alcance de la comunicación.

Por esa razón, conviene establecer responsables internos, mecanismos para recibir reportes de incidentes, criterios de escalamiento, procedimientos de coordinación entre áreas y formatos de comunicación previamente definidos.

La intervención coordinada de las áreas jurídica, tecnológica, administrativa y de recursos humanos permite que la respuesta no dependa de decisiones improvisadas adoptadas durante una situación de emergencia.

La existencia y documentación de estos mecanismos también puede ser relevante para determinar la responsabilidad de la organización.

La LFPDPPP contempla como infracción la vulneración de la seguridad de bases de datos, instalaciones, programas o equipos cuando ésta sea imputable al responsable. En consecuencia, conservar evidencia de las medidas preventivas adoptadas, de la reacción frente al incidente y de las correcciones implementadas puede ser determinante para acreditar la forma en que la empresa atendió sus deberes de seguridad.

Frente a una vulneración de datos personales, la actuación empresarial debe comenzar con la confirmación del incidente y continuar con la identificación de la información y de las personas afectadas. A partir de esos elementos debe efectuarse una valoración concreta del impacto potencial sobre los titulares.

La decisión de comunicar una vulneración no puede basarse únicamente en determinar si los datos comprometidos son identificativos, patrimoniales o sensibles. El criterio establecido por el artículo 19 de la LFPDPPP consiste en identificar si el incidente puede producir una afectación significativa a los derechos patrimoniales o morales de las personas.

El Reglamento complementa este criterio al establecer reglas respecto del momento de la comunicación, la información que debe proporcionarse y las acciones correctivas posteriores.

Por ello, cuando una empresa enfrente una pérdida, filtración, acceso indebido o utilización no autorizada de información personal, debe adoptar una respuesta rápida, documentada y proporcional a las características del incidente.

Si existe una posible afectación significativa, la comunicación oportuna permitirá que los titulares adopten medidas para proteger sus intereses. Paralelamente, la investigación de las causas y la modificación de los controles internos permitirán atender las obligaciones legales y disminuir el riesgo de que una vulneración semejante vuelva a producirse.

info@bcflaw.mx

contacto@bcfiscal.mx

Número de contacto:

+52 55 62830338

+52 55 41616827

+52 55 98162176

©BCF MG Consultores, S.C. 2015