Chile, Argentina y Perú en una matriz

Las leyes dicen «a tiempo» de tres maneras y la matriz las tiene que distinguir. Hay plazos en días hábiles, que obligan a mirar el calendario de un país. Hay plazos en horas, que corren sin mirar el calendario y, por eso, pueden vencer un domingo. Y hay fórmulas sin número, como «sin dilaciones indebidas» o «de forma inmediata», que no se convierten en una cifra: se anotan tal cual, con el artículo, y se tratan como el plazo más exigente que el plan pueda cumplir.

Convertir una fórmula sin número en «72 horas» porque otra ley lo dice es el error clásico de una matriz: le da a quien la lee una certeza que la ley no da.

En Brasil la autoridad es la ANPD, Autoridade Nacional de Proteção de Dados. En Perú, la Autoridad Nacional de Protección de Datos Personales se abrevia también ANPD. Son organismos distintos, de países distintos, con formularios, idioma y canales distintos. En una matriz o en un plan, una fila que dice «reportar a la ANPD» es una trampa: quien la lea a las tres de la mañana puede abrir el formulario del país equivocado.

Un buen plan nombra siempre la autoridad con su país. Consulta cuáles de las seis autoridades de la matriz comparten sigla.

En Argentina rigen la Ley 25.326 y, en seguridad, la Resolución 47/2018 de la Agencia de Acceso a la Información Pública, cuyas medidas son, como dice su propio título, «recomendadas» y traen un apartado de incidentes de seguridad. En lo que se revisó para este módulo no apareció un plazo legal con número ni una obligación expresa de notificar en la Ley 25.326. Eso no quiere decir que no exista nada: quiere decir que no se verificó, y la matriz tiene que decir las dos cosas.

La salida honesta es una celda que diga «sin plazo legal verificado», con la fuente y la fecha, marcada para revisión legal. Y mientras tanto, un estándar interno de Brújula: tratar el incidente argentino con el mismo rigor que los demás sin atribuirle a la ley una cifra que no tiene.

El Reglamento de la Ley 29733 de Perú, aprobado por el Decreto Supremo 016-2024-JUS, trae en su artículo 34 la obligación de notificar a la autoridad un incidente de seguridad que exponga grandes volúmenes de datos, afecte a muchas personas, involucre datos sensibles o cause un perjuicio evidente a los derechos del titular. El plazo es de 48 horas posteriores a haber tomado conocimiento del incidente, y la obligación subsiste aunque se haya resuelto internamente. Si hay que notificar después, se explican los motivos de la demora. El reglamento entró en vigencia a los 120 días calendario de su publicación, en marzo de 2025.

Horas son horas: corren de noche, en fin de semana y en festivo. Para practicarlo, la matriz trae una hipótesis: si la cartera de Brújula hubiera incluido clientes peruanos, con el mismo conocimiento del lunes 14.

La Ley 21.719 de Chile se publicó en el Diario Oficial el 13 de diciembre de 2024. Modifica la Ley 19.628 y crea la Agencia de Protección de Datos Personales. Su artículo 14 sexies obliga al responsable a reportar a la Agencia, por los medios más expeditos posibles y sin dilaciones indebidas, las vulneraciones a las medidas de seguridad cuando exista un riesgo razonable para los derechos de los titulares, y a comunicarlo a los titulares en ciertos casos, como los datos sensibles o los económicos.

Lo que no es seguro es cuándo. Según el artículo primero transitorio, rige desde el primer día del mes vigésimo cuarto posterior a la publicación. Esa cuenta da un día de diciembre de 2026 y esa fecha es la que lleva la matriz, con una advertencia: el texto de la Biblioteca del Congreso no se pudo abrir en la verificación, dos fuentes secundarias coinciden, y se reporta un proyecto para posponerla, sin verificar. Por eso la celda dice «secundaria».