Plazos de notificación comparados

En el régimen europeo de datos personales, el aviso a la autoridad (art. 33) se hace sin dilación indebida y, de ser posible, a más tardar 72 horas después de tener conocimiento de la violación; si no es probable que suponga un riesgo para las personas, no hace falta. La directiva NIS2 (art. 23) usa la misma idea de partida para los incidentes significativos: desde que la entidad tiene conocimiento de ellos.

Conocimiento no es la primera alerta. Una alerta automática dice que algo raro pasa; saber que se copiaron datos personales exige confirmarlo. Por eso el expediente del caso marca qué hito cuenta, y por eso es útil dejarlo escrito: la discusión posterior es sobre ese hito, no sobre la cuenta de horas. Las horas corren de corrido, sin pausar sábados, domingos ni festivos.

NIS2 organiza el aviso en etapas: una alerta temprana sin dilación indebida y en todo caso en 24 horas desde el conocimiento (donde se indica, entre otras cosas, si se sospecha un acto ilícito o malicioso), una notificación del incidente en 72 horas y un informe final a más tardar un mes después de enviar la notificación. No es un solo aviso: es una secuencia que se va completando con lo que se descubre.

Con el hito que cuenta como conocimiento y el plazo de la alerta temprana de la matriz, calcula la hora límite. Escribe aaaa-mm-dd hh:mm, en UTC.

El informe final de NIS2 no corre desde el conocimiento, sino desde el envío de la notificación del incidente: a más tardar un mes después de presentarla. Es un ejemplo de cómo dos plazos de un mismo régimen tienen puntos de partida distintos, y por qué la matriz debe decir «cuenta desde» además de «plazo».

Mira cuándo se envió la notificación del incidente y calcula el día límite del informe final. Un mes después del día 11 de un mes es el día 11 del siguiente. Escribe aaaa-mm-dd.

Rocafuerte no es dueña de los datos de nómina: los trata por encargo de sus clientes. En el régimen europeo, quien trata datos por cuenta de otro (el encargado) debe notificar la violación al responsable sin dilación indebida desde que la conoce; el responsable es quien valora y notifica a la autoridad y, si hace falta, a las personas. Las directrices europeas entienden que el responsable pasa a tener conocimiento cuando el encargado se lo comunica.

La consecuencia práctica es que el reloj de 72 horas del cliente puede correr desde que Rocafuerte le avisa, y que cada hora que Rocafuerte tarda es una hora que se le quita a su cliente. Es un caso de lectura del reparto de papeles; cómo se aplica a cada contrato lo decide el área legal.

No todos los plazos son en horas. Algunas autoridades cuentan en días hábiles, lo que obliga a mirar un calendario, a saber qué días no cuentan y a saber si el día del aviso se incluye. La regla de la autoridad colombiana de protección de datos, por ejemplo, pide reportar los incidentes de seguridad en un plazo en días hábiles desde que se detectan y los conoce el área encargada; la guía de la autoridad también recomienda llevar un registro interno del incidente.

La matriz del expediente mezcla horas, un mes y días hábiles. Aprender a leer su columna de plazo, con calma, evita contar con el calendario un plazo que corre de corrido, y al revés.