México y Brasil, dos relojes distintos

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares vigente es la publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, que abrogó la de 2010; la autoridad es hoy la Secretaría Anticorrupción y Buen Gobierno. El artículo 19 dice que las vulneraciones de seguridad ocurridas en cualquier fase del tratamiento que afecten de forma significativa los derechos patrimoniales o morales de las personas titulares les serán informadas de forma inmediata por el responsable, para que puedan tomar medidas en defensa de sus derechos.

Fíjate en las tres cosas que el artículo condiciona: que la vulneración afecte de forma significativa, que lo afectado sean derechos patrimoniales o morales, y que el destinatario sea el titular. «De forma inmediata» no es una hora ni un día: es una instrucción de no esperar.

En Brasil la norma es la Lei Geral de Proteção de Dados, Ley 13.709 de 2018, y la autoridad es la ANPD. El artículo 48 impone comunicar el incidente a la autoridad y al titular, y la Resolución CD/ANPD 15 de 2024 fija el plazo: tres días hábiles, contados desde que el controlador sabe que el incidente afectó datos personales. La comunicación solo es obligatoria si el incidente puede acarrear riesgo o daño relevante a los titulares, si está confirmado y si involucra datos personales.

La frase que más pesa es «desde que sabe que afectó datos personales». No es la fecha de la alerta, ni la de la exposición: es la fecha en que consta que hay datos de personas en el incidente. Para la filial de Brasil, esa fecha no es el lunes 14.

La regla es tres días hábiles. En el escenario, como en la sala de Colombia, el calendario es una convención: lunes a viernes, y el día en que se sabe no cuenta. Cómo cuenta la ANPD en un caso real, y qué días son hábiles, lo confirma el área legal; GRC deja anotado el calendario que usó.

Desde la confirmación del 15 de septiembre a las 16:20, cuenta tres días hábiles. No hace falta aritmética con fechas: pide los días hábiles y toma la fila que corresponde.

Hay una tentación que se paga cara: completar la norma con lo que uno cree que dice. El artículo 19 mexicano que se leyó habla de informar a los titulares; no menciona un aviso a la Secretaría ni fija plazo para ello. Si el reglamento o los lineamientos de la ley nueva añaden algo, este módulo no lo verificó. GRC no rellena ese hueco con el plazo de otro país ni con una cifra de memoria: lo escribe como pregunta abierta para legal, con la fecha en que se revisó el texto.

Esa disciplina es lo que hace creíble una matriz: cada celda dice qué se verificó y dónde, y cada hueco dice que es un hueco.

La comunicación a los titulares mexicanos no la decide GRC: la decide el comité con legal y la oficial de datos, y queda en un acta. Para GRC la decisión es una evidencia: lo que respalda el envío ante un auditor es el folio del acta, no el recuerdo de quién dijo qué en una llamada.