Una brecha que cruza fronteras

Una brecha de datos con varias leyes encima tiene tres equipos con trabajos distintos. Seguridad contiene el incidente y reconstruye qué pasó. Legal y la oficial de protección de datos interpretan las leyes y deciden si una obligación se activa y qué se le dice a la autoridad. GRC está en medio: reúne los hechos fechados, abre una línea de obligación por cada país, calcula el reloj de cada una con la regla que la norma fija y deja escrito qué se sabe y qué no, para que quienes deciden lo hagan sobre un expediente y no sobre recuerdos.

Esa división protege a todos. Si GRC decide sola que «aquí no hay que avisar», asume una responsabilidad legal que no le corresponde; si espera a que todo esté claro para empezar a documentar, los plazos ya corren y no hay nada que mostrar.

Lo primero que se pide en una brecha es la bitácora: cada hecho con su fecha y hora, y su fuente. En la de Brújula hay tres momentos que se confunden fácilmente: cuándo se expuso el archivo, cuándo lo vio el proveedor y cuándo lo supo Brújula. El tercero es el que manda para casi todos los relojes, así que conviene tenerlo localizado antes de calcular nada.

Abre la bitácora del incidente y lee los ocho hechos. La hora es la de Bogotá.

Para saber de qué ley hablamos hay que saber quién decide sobre los datos. Cada filial de Brújula decide para qué usa los datos de sus propios clientes: eso la hace responsable del tratamiento (en Brasil, la ley dice controlador). CobraSur cobra por encargo de ellas y solo hace lo que le piden: es encargado, o en la jerga brasileña, operador. Que el dato esté en el sistema del proveedor no cambia de quién es la obligación frente al titular y frente a la autoridad.

Por eso la brecha de CobraSur genera obligaciones para las filiales. Consulta las entidades y cuántos titulares tiene cada país: el archivo es uno, pero las líneas de obligación son tres.

La exposición empezó el 12 a las 02:14, y es el hecho más antiguo de la bitácora. No es de ahí de donde se cuenta. Las normas que verás en este módulo hablan, con sus palabras, de contar desde que el responsable detecta el incidente, desde que sabe que afectó datos personales o desde que toma conocimiento de él: ninguna cuenta desde que el incidente ocurrió. La hora de la exposición va en el informe como hecho, que es lo que explica la gravedad, pero no es el inicio de ningún reloj.

Fijar bien el inicio de cada reloj es lo que más se discute después, y es lo que GRC deja documentado con su fuente.

Cualquier notificación empieza por el tamaño: cuántas personas y de qué datos. El archivo tiene una fila por cliente. Cuenta las filas del archivo expuesto; el total es el que irá en el expediente y debe cuadrar con la suma de los tres países.