Colombia, la Ley 1581 y la SIC

La Ley 1581 de 2012 obliga al responsable del tratamiento a informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los titulares (artículo 17, literal n). A los encargados les impone lo mismo, hacia la Superintendencia de Industria y Comercio, en el artículo 18, literal k. La Circular de la SIC que lo desarrolla, hoy en la Circular Única, y el concepto que la SIC publicó en 2021 definen el incidente de forma amplia: cualquier evento o suceso que tenga como fin la violación de los códigos de seguridad, la adulteración, la pérdida, la consulta, el uso o el acceso no autorizado o fraudulento de datos personales.

Para GRC lo útil de una definición amplia es que no hace falta probar un daño para que haya incidente: basta el acceso no autorizado. La gravedad se discute después, en el informe.

CobraSur le avisó a Brújula el lunes 14 a las 11:30, y eso estuvo bien hecho. Pero no es el reporte a la autoridad. La ley le impone el deber de informar a la SIC a cada uno por su lado: al responsable (Brújula) en el artículo 17 y al encargado (CobraSur) en el 18. El aviso de un proveedor al responsable es una obligación contractual, o debería serlo; no cancela las legales de ninguno de los dos.

Es un patrón de GRC que se repite: cuando un tercero te avisa, anotas la hora, porque es el hecho que dispara tu reloj, pero no marcas nada como cumplido. Lo cumplido es lo que llegó a la autoridad.

El concepto de la SIC de abril de 2021 dice que los incidentes de seguridad se reportan dentro de los quince días hábiles siguientes al momento en que se detecten y sean puestos en conocimiento de la persona o área encargada de atenderlos. Dos detalles: «siguientes» significa que el día del aviso no cuenta, y «hábiles» significa que hay que mirar el calendario. En este escenario el calendario es una convención sencilla, de lunes a viernes sin festivos; en un caso real, qué días son hábiles y cómo cuenta la SIC lo confirma el área legal.

El conocimiento de Brújula es el aviso del 14 de septiembre a las 11:30. Cuenta quince filas hábiles después de esa fecha.

Según el mismo concepto de la SIC, el canal depende de quién es el obligado. El responsable que debe inscribir sus bases de datos en el Registro Nacional de Bases de Datos hace el reporte del incidente a través de ese mismo registro, dentro del plazo de quince días hábiles. Los responsables que no están obligados a inscribir sus bases y los encargados lo reportan en el mismo plazo mediante el módulo «Reporte de incidentes de seguridad» del aplicativo de la SIC.

Esto vuelve el registro de bases una evidencia de GRC: si la base afectada está inscrita, el canal está dicho. Consulta qué bases tiene inscritas Brújula y de cuál sale la cartera expuesta.

Cuando la autoridad o un auditor pregunta si la base afectada estaba inscrita, la respuesta no es «sí, creo»: es la constancia de inscripción con su código. Es una evidencia pequeña y barata de conseguir que cierra una pregunta que, sin ella, se vuelve una discusión.