Almeida e Trindade Advogados
La preparación también es una cuestión jurídica.
Cuando una organización detecta un incidente de seguridad, varios equipos pueden tener que actuar a la vez. El área técnica intenta comprenderlo y contenerlo; otras personas reúnen información, evalúan consecuencias y deciden cómo comunicar. Definir responsabilidades antes de una urgencia facilita la respuesta.
Comprender el incidente antes de calificarlo.
Las orientaciones de la ANPD distinguen los incidentes de seguridad en general de aquellos que afectan a datos personales. La obligación de notificar depende de los criterios aplicables, incluida la posibilidad de riesgo o daño relevante para los titulares. El contexto y los efectos del incidente son, por tanto, centrales en el análisis.
La investigación puede seguir en curso cuando sea necesario actuar o comunicar. El análisis de los plazos debe comenzar al identificar el incidente y acompañar la información disponible. Los registros deben distinguir hechos confirmados, hipótesis en investigación y preguntas pendientes. Así se evita presentar después como cierto lo que no se había verificado.
Responsabilidades que deben coordinarse.
Un ejercicio de preparación puede comenzar con preguntas: ¿quién recibe el primer aviso? ¿Quién reúne los hechos técnicos? ¿Quién conoce los contratos de los proveedores implicados? ¿Quién evalúa las obligaciones jurídicas? ¿Quién puede enviar las comunicaciones decididas?
Estas funciones pueden distribuirse entre distintas personas. La preparación debe contemplar cómo llega la información a quienes deciden, también cuando participa un proveedor. Una lista de contactos sin responsabilidades claras no resuelve por sí sola esa coordinación.
Registrar hechos, decisiones y responsabilidades.
Un registro de respuesta puede reunir la fecha en que se conoció el incidente, la información recibida, las medidas adoptadas, los responsables y los fundamentos de las decisiones de comunicación. Debe actualizarse durante la investigación, manteniendo la distinción entre hechos confirmados e hipótesis.
Respuesta técnica y evaluación jurídica.
La contención y la investigación técnica aportan información importante para el análisis jurídico. Este examina las obligaciones pertinentes, las condiciones de comunicación y los documentos necesarios. Ambas líneas se complementan y deben acompañar los cambios en el conocimiento del incidente.
Tras la respuesta inmediata, el historial de decisiones puede indicar oportunidades para revisar contratos y procedimientos. Los plazos y las medidas de un incidente concreto deben evaluarse conforme a las reglas vigentes y las circunstancias identificadas, con apoyo de los profesionales responsables.
Lectura de referencia.
Contenido informativo. El análisis de una situación concreta depende de sus hechos, documentos y normas aplicables.