El plan de notificaciones

Un plan de notificaciones es un cuadro con una fila por obligación: destino, inicio del reloj, regla y vencimiento. El vencimiento no se copia, se calcula con el inicio, la regla y el calendario del país. Una vez calculados, el orden de trabajo sale solo: primero lo que no tiene fecha porque dice «inmediata», después lo que vence antes y al final lo que da más margen. Lo que no tiene plazo numérico verificado se trabaja con el mismo cuidado que lo urgente, porque no hay una fecha a la que acogerse.

Calcula con lo que ya practicaste y compara solo las obligaciones que sí tienen plazo con número.

Con el plazo más corto a dos días, el análisis completo no va a estar listo a tiempo, y esperar a tenerlo sería pasarse del plazo. La Resolución CD/ANPD 15 de 2024 lo previó: cuando no se tiene toda la información dentro de los tres días hábiles, el controlador puede enviar una comunicación preliminar y complementarla de forma justificada dentro de los veinte días hábiles siguientes. La ANPD informa además que la comunicación voluntaria a tiempo se considera favorablemente al evaluar la actuación del controlador.

Lo que se envía en la preliminar es lo confirmado, y lo que falta se dice como pendiente. Eso es mejor que callar y es lo que el comité tiene que aprobar hoy.

Una notificación tiene un contenido mínimo que varía poco entre países: la naturaleza del incidente, los datos afectados, el número aproximado de titulares, las posibles consecuencias, las medidas adoptadas y un punto de contacto (es la lista que trae, por ejemplo, el artículo 34 del reglamento peruano). El paquete de Brújula tiene seis campos confirmados y uno desconocido: si los datos se usaron después de las descargas.

Ese campo desconocido es donde se pierde la credibilidad. Decir «no hubo uso» es afirmar algo que nadie sabe; decir «hubo fraude» es afirmar algo que nadie ha visto. Lo que el expediente sostiene es lo que se escribe, y lo demás se dice como lo que es.

El comité de riesgos del grupo tiene miembros que leen en inglés y quiere un mensaje corto antes de la reunión. Un buen mensaje de incidente en inglés técnico sigue el orden que ya conoces del reporte de un minuto: qué pasó, a quién afecta, qué se ha hecho y qué se pide, con las fechas límite a la vista. No adorna, no promete lo que no sabe y deja claro lo que falta.

Tienes tres borradores. Elige el que enviarías.

El comité tomó tres decisiones esta mañana y cada una tiene folio. Para el auditor, lo que respalda que Brújula envió la comunicación preliminar sin esperar al análisis completo no es lo que alguien recuerde, es la decisión que lo dice con su fecha. Si ese folio no existe, el envío fue una iniciativa personal, y la próxima auditoría lo va a preguntar.