Cuando el incidente compromete datos personales, el expediente formal empieza aquí
Alcance, origen, RAT afectados y evaluación de gravedad de la brecha.
El expediente formal cuando un incidente compromete datos personales
Una brecha de seguridad es un incidente que compromete la confidencialidad, integridad o disponibilidad de datos personales. Cuando el módulo de Incidentes detecta que un evento involucra ese tipo de datos, lo escala automáticamente a Gestión de Brechas, arrastrando toda la evidencia ya registrada — sin recapturar información ni perder tiempo del plazo legal.
Cada brecha se documenta con su alcance y origen, los RAT afectados, una evaluación formal de gravedad y las medidas y controles aplicados — un expediente completo, listo para demostrar diligencia debida ante la Agencia de Protección de Datos.
La Ley 21.719 exige notificar a la Agencia de Protección de Datos dentro de un plazo acotado desde que se toma conocimiento de una brecha que afecta datos personales, y en ciertos casos comunicar directamente a los titulares afectados.
Cumplir ese plazo exige poder demostrar cuándo se detectó la brecha, qué se evaluó y qué medidas se tomaron — evidencia que este módulo consolida en un solo expediente, no en correos y planillas dispersas.
Toda brecha parte con los mismos datos esenciales
Al registrar una brecha se define su nombre, tipo, la fecha y hora de detección, la fecha y hora del incidente si se conoce, y una descripción detallada del hecho — la base sobre la que se construye el resto del expediente.
- Fecha y hora de detección es obligatoria; fecha y hora del incidente es opcional
- El estado de la brecha se actualiza a medida que avanza la investigación
Qué datos, cuántos titulares y de dónde vino la brecha
El expediente registra la categoría de datos afectados, el número estimado de titulares comprometidos y si la brecha se originó dentro o fuera de la organización — el contexto que determina, más adelante, la magnitud de la evaluación de gravedad.
- Categoría de datos afectados y número de titulares quedan documentados por caso
- El origen — interno o externo — queda registrado como parte del alcance
La brecha queda vinculada a la actividad de tratamiento que la originó
Cada brecha puede asociarse a uno o más RAT, dejando trazada la actividad de tratamiento cuyos datos personales se vieron comprometidos — el mismo vínculo que sostiene la Matriz de cumplimiento y el Expediente regulatorio.
El nivel de gravedad determina si corresponde notificar
Con el detalle de los riesgos para los titulares documentado, la evaluación de gravedad responde dos preguntas explícitas: si la brecha requiere reporte a la Agencia y si requiere comunicación directa a los titulares. Ambas decisiones quedan registradas, junto con el estado de la notificación.
- Nivel de gravedad: Bajo, Medio o Alto
- ¿Requiere reporte a Agencia? y ¿Requiere comunicación a titulares? se responden por caso
Cada medida correctiva, con responsable, plazo y estado
Las medidas implementadas se registran con su descripción, el responsable o área que las ejecuta, sus datos de contacto y las fechas de inicio y término — el mismo detalle que sostiene un plan de acción, no solo una lista de tareas.
- Responsable, datos de contacto y plazo quedan documentados por medida
- El estado de cada medida se actualiza de forma independiente al estado de la brecha
Cada medida se verifica con un control, no solo se declara
Un control se asocia a una medida específica y documenta su nivel de implementación y las acciones realizadas para comprobar que efectivamente se aplicó. El módulo no carga archivos: la evidencia se referencia al repositorio documental aprobado por la organización.
- Nivel de implementación: Bajo, Medio o Alto
- La referencia de evidencia apunta al repositorio aprobado — código o ubicación, no el archivo
Lo que preguntan sobre Gestión de Brechas
¿En qué se diferencia Gestión de Brechas de Incidentes?
Incidentes cubre cualquier evento operativo de seguridad. Gestión de Brechas es el expediente específico para cuando ese incidente compromete datos personales: cuando el módulo de Incidentes detecta esa condición, escala automáticamente aquí y arrastra la evidencia ya registrada.
¿Toda brecha registrada debe reportarse a la Agencia?
No necesariamente. La evaluación de gravedad determina, con dos preguntas explícitas — si requiere reporte a la Agencia y si requiere comunicación a los titulares — si corresponde notificar. Esa decisión queda registrada como parte del expediente, se responda que sí o que no.
¿Qué pasa si no se conoce la fecha exacta en que ocurrió el incidente?
La fecha y hora del incidente es un campo opcional, a diferencia de la fecha y hora de detección, que sí es obligatoria. Es común que una brecha se detecte antes de poder determinar con precisión cuándo ocurrió.
¿Cómo se relacionan las Medidas y los Controles de una brecha?
Cada Medida es la acción correctiva implementada, con su responsable y plazo. Cada Control se asocia a una Medida específica y documenta su nivel de implementación y las acciones realizadas para verificar que efectivamente se aplicó.
¿Puedo asociar una brecha a más de un RAT?
Sí. Una brecha puede vincularse a uno o más RAT, dejando trazada la o las actividades de tratamiento cuyos datos personales se vieron comprometidos.
¿Dónde se guarda la evidencia de un control?
El módulo de Controles no carga archivos. La evidencia se guarda en el repositorio documental aprobado por la organización y aquí solo se ingresa su referencia — un código o una ubicación — para mantener la trazabilidad sin duplicar el almacenamiento.