Quien sigue los procesos sancionadores de la ANPD, la autoridad brasileña de protección de datos, se encuentra con un patrón que sorprende a quien esperaba titulares de filtraciones gigantescas. La conducta sancionada casi nunca es la falla técnica que permitió el incidente. Es lo que la empresa dejó de hacer en los días siguientes: no comunicó a la autoridad, no comunicó a los titulares, o comunicó tarde y a medias. La razón es menos jurídica que probatoria, y conviene entenderla antes de aprobar un peso más de presupuesto de seguridad.
Qué exige la norma, exactamente
El art. 48 de la LGPD crea el deber de comunicar a la autoridad nacional y al titular la ocurrencia de un incidente de seguridad que pueda acarrear riesgo o daño relevante. Durante casi seis años ese deber convivió con un plazo abierto, el famoso "plazo razonable", que en la práctica se convirtió en espacio de interpretación. La Resolución CD/ANPD n.º 15, del 24 de abril de 2024, cerró esa puerta. El Reglamento de Comunicación de Incidentes de Seguridad determina que la comunicación a la ANPD y a los titulares sea hecha por el controlador en un plazo de tres días hábiles.
Tres días hábiles contados desde el conocimiento del incidente, no desde el cierre del peritaje. La norma admite comunicación por etapas cuando la información todavía no está disponible: se puede enviar un comunicado preliminar dentro del plazo y completarlo después, en hasta veinte días hábiles, siempre que la demora esté justificada. Ese es el punto que más gente pasa por alto. El plazo no existe para que entiendas el incidente. Existe para que declares que ocurrió.
- La descripción de la naturaleza y la categoría de los datos personales afectados.
- Las medidas técnicas y de seguridad utilizadas para proteger los datos, resguardados los secretos comercial e industrial.
- Los riesgos relacionados con el incidente y los posibles impactos para los titulares.
- Los motivos de la demora, cuando la comunicación no sea inmediata.
- Las medidas que fueron o serán adoptadas para revertir o mitigar los efectos.
- La fecha de conocimiento del incidente y el contacto del encargado de protección de datos.
Cuánto cuesta equivocarse, con el número correcto
Circula mucho en material comercial de compliance la idea de una multa fija de cincuenta mil reales por cada día de atraso en la notificación. La norma no dice eso, y trabajar con el número equivocado debilita el argumento en el momento de defenderlo puertas adentro. Lo que sí existe está en el Reglamento de Dosimetría y Aplicación de Sanciones Administrativas, la Resolución CD/ANPD n.º 4, del 24 de febrero de 2023. El art. 15, inciso II, limita la multa simple al 2% de la facturación de la persona jurídica de derecho privado, grupo o conglomerado de empresas en Brasil en su último ejercicio, excluidos los tributos, con un tope de R$ 50.000.000,00 por infracción.
La multa diaria también existe, pero sirve a otra cosa. El art. 16 del mismo reglamento es explícito: la ANPD la aplica cuando es necesaria para asegurar el cumplimiento, en plazo cierto, de una sanción no pecuniaria o de una determinación establecida por la propia ANPD. Es un instrumento coercitivo para hacer cumplir una orden ya emitida, no una tarifa automática por día de silencio. El § 1.º agrega que el valor se acumula considerando el tiempo entre la incidencia de la multa y el cumplimiento de la obligación, hasta el límite total de R$ 50.000.000,00 por infracción. El valor diario se fija caso por caso. No es una constante escrita en la norma.
En la práctica, el atraso en la notificación entra en la cuenta por dos caminos. Primero como infracción autónoma, sujeta a la multa simple. Segundo como circunstancia que empeora la dosimetría de todo lo demás, porque el reglamento pondera la cooperación del infractor y las medidas adoptadas para mitigar el daño. Dos empresas golpeadas exactamente por la misma filtración, una que avisó en tres días y otra que avisó en tres meses, no terminan en el mismo lugar.
Por qué esta es la infracción más fácil de probar
Discutir si las medidas de seguridad de una empresa eran adecuadas en los términos del art. 46 es un debate técnico largo, con espacio para peritaje, contradictorio y comparación con el estado del arte del sector. Discutir si la comunicación salió dentro de los tres días hábiles no lo es. Hay dos fechas: la del conocimiento y la del protocolo. La distancia entre ellas cabe en el plazo o no cabe.
Por eso la falta de notificación aparece con tanta frecuencia en las decisiones publicadas. No es que sea más grave que el incidente en sí. Es que es objetiva, documental, y no depende de convencer a nadie sobre un nivel de madurez. Desde el punto de vista de quien instruye el proceso, es la infracción de menor costo probatorio de toda la LGPD.
Y aquí un problema que parece jurídico se convierte en un problema de ingeniería. La fecha de conocimiento no es la fecha en que se avisó al área legal. Es la fecha en que la organización tomó conocimiento, y esa fecha casi siempre está registrada en algún lugar: un log de autenticación, un ticket de mesa de ayuda, una alerta del EDR, un correo de un investigador externo, un mensaje en un canal interno. Si la alerta se disparó un martes y el comunicado salió tres semanas después, la marca de tiempo ya está grabada dentro de tu propia infraestructura.
# Freeze the "date of awareness" the moment the first alert fires.
# Anything reconstructed three weeks later is a claim.
# A hashed, timestamped export is evidence.
INCIDENT="INC-2026-0042"
mkdir -p "evidence/$INCIDENT"
# 1. Export the triggering alert and the surrounding access logs.
journalctl -u sshd --since "2026-08-18" --until "2026-08-21" -o json > "evidence/$INCIDENT/authlog.json"
# 2. Hash every artifact and record the exact collection time in UTC.
find "evidence/$INCIDENT" -type f -exec sha256sum {} + > "evidence/$INCIDENT/MANIFEST.sha256"
date -u +"%Y-%m-%dT%H:%M:%SZ" > "evidence/$INCIDENT/collected_at.txt"
# 3. Verify later, in front of whoever asks.
sha256sum -c "evidence/$INCIDENT/MANIFEST.sha256"Detectar temprano es control de compliance, no solo de seguridad
Formalmente, el reloj de tres días hábiles solo empieza cuando la empresa toma conocimiento, y eso no es una buena noticia. Significa que la organización que tarda ochenta días en notar el compromiso llega al plazo legal en una posición mucho peor: los titulares estuvieron expuestos todo ese tiempo, la mitigación empezó tarde, y eso es exactamente lo que el reglamento de dosimetría pondera. La detección lenta no salva el plazo. Empeora todo lo que viene después de él.
-- Bulk-read detection over a table holding personal data.
-- The threshold matters far less than having one that fires in hours
-- instead of surfacing in a quarterly access review.
SELECT
a.actor_id,
date_trunc('hour', a.ts) AS window_start,
count(*) AS reads,
count(DISTINCT a.subject_id) AS distinct_subjects,
b.p95_subjects_per_hour AS baseline
FROM data_access_audit a
JOIN actor_hourly_baseline b USING (actor_id)
WHERE a.ts >= now() - interval '24 hours'
GROUP BY a.actor_id, date_trunc('hour', a.ts), b.p95_subjects_per_hour
HAVING count(DISTINCT a.subject_id) > 10 * b.p95_subjects_per_hour
ORDER BY distinct_subjects DESC;Peor todavía es el escenario más común en la práctica: la empresa no se entera sola. Se entera por un correo de extorsión, por un investigador externo, por un cliente que encontró su propio dato a la venta, o por la prensa. En ese punto el conocimiento está establecido y documentado por un tercero, el plazo empezó a correr en un momento que no elegiste, y la respuesta hay que armarla bajo presión pública.
Por ahí es donde el pentest recurrente y el monitoreo continuo se conectan con el riesgo legal, y no solo con el riesgo técnico. Son dos efectos distintos y conviene separarlos. La prueba reduce la probabilidad del incidente, cerrando la falla antes de que alguien la encuentre. El monitoreo reduce el tiempo entre el compromiso y el conocimiento, lo que acorta la exposición de los titulares y te deja en condiciones de cumplir el plazo con información real en la mano, en lugar de protocolar un comunicado preliminar a ciegas.
Ninguno de los dos elimina la posibilidad de un incidente, y quien promete eso está vendiendo otra cosa. Lo que cambian es la distancia entre lo que ocurrió y lo que sos capaz de afirmar por escrito, con fecha, ante un regulador.
Qué se puede resolver antes del próximo incidente
- Definir por escrito quién tiene autoridad para declarar que aquello es un incidente de seguridad e iniciar el conteo. Sin ese responsable, el plazo corre y nadie está contando.
- Registrar fecha y hora de conocimiento en el momento en que ocurre, con artefacto preservado, en lugar de reconstruirla semanas después a partir de la memoria y la bandeja de entrada.
- Mantener el comunicado preliminar como plantilla lista, con los campos exigidos por el reglamento ya mapeados, para que la decisión bajo presión sea solo qué completar, no qué escribir.
- Probar el flujo en un ejercicio de mesa con el área legal y el encargado en la sala. La mayoría de los planes de respuesta trata la notificación regulatoria como línea final, no como entrega con plazo de tres días hábiles.
- Medir el tiempo hasta la detección como métrica de negocio, con meta y seguimiento, y no como un número que aparece en el informe trimestral de seguridad y no cambia nada.
La filtración es el evento que cubre la prensa. El plazo es lo que mide el regulador. Invertir en acortar la distancia entre el compromiso y el conocimiento compra las dos cosas al mismo tiempo: menos incidentes, y menos exposición a una infracción que, a diferencia del debate sobre la adecuación de los controles, no deja margen para interpretación.