Gestión de brechas de datos personales: las primeras 72 horas según la KVKK y el RGPD

Una brecha de datos personales implica más que seguridad informática. Los equipos jurídico, de cumplimiento KVKK/RGPD, dirección, comunicación, operaciones de clientes y, cuando proceda, análisis forense digital deben seguir un plan de crisis común.

El error más grave es reducir todas las brechas a una única «regla de las 72 horas». Los sistemas de notificación de la KVKK y el RGPD parecen similares, pero sus bases jurídicas y evaluaciones de riesgo difieren.

¿Cómo regula la KVKK la notificación de brechas?

El artículo 12, apartado 5, de la Ley n.º 6698 exige que el responsable informe lo antes posible al interesado y al Consejo turco de Protección de Datos Personales cuando terceros obtienen ilícitamente los datos tratados.

Según la decisión n.º 2019/10 del Consejo turco de Protección de Datos Personales de 24.01.2019, la expresión legal «lo antes posible» significa, para notificar al Consejo, desde que se tiene conocimiento de la brecha, sin demora y como máximo en 72 horas.

Si un motivo justificado impide notificar dentro del plazo, explicar las razones del retraso al notificar.

¿Se aplica la misma regla de las 72 horas a la comunicación a los interesados?

No. Tras identificar a las personas afectadas, el criterio del Consejo prevé informarlas en el plazo razonablemente más breve.

Si se dispone de los datos de contacto del interesado, puede informársele directamente; en caso contrario, pueden valorarse medios adecuados, como un anuncio en el sitio web del responsable del tratamiento.

La notificación al Consejo y la comunicación a interesados se coordinan, pero sus plazos legales no se formulan igual.

Regla de 72 horas en el RGPD

Según el artículo 33 del RGPD, el responsable notifica a la autoridad competente sin demora y, cuando sea posible, en 72 horas desde que tiene conocimiento, salvo que sea improbable que la brecha entrañe riesgo para los derechos y libertades de las personas.

Si se superan las 72 horas, la notificación también debe explicar el retraso.

El encargado debe informar al responsable del tratamiento sin demora tras conocer la brecha.

Notificación a la persona afectada en el RGPD

Conforme al artículo 34 del RGPD, el responsable del tratamiento debe informar al interesado sin dilación indebida cuando sea probable que la brecha entrañe un alto riesgo para los derechos y libertades de las personas físicas.

La notificación a la autoridad y la comunicación al interesado requieren evaluaciones distintas conforme al RGPD.

Los primeros 15 minutos: detener el evento, no destruir pruebas

No apagar todo ni borrar registros por reflejo. Contener la brecha preservando los registros que explican cómo ocurrió.

Identificar los sistemas afectados.
Limitar el acceso no autorizado.
Cambiar de forma controlada las claves de acceso necesarias.
Evitar la eliminación de registros de registro y eventos.
Registrar el inicio del incidente y cuándo se tuvo conocimiento.

Primera hora: activar el equipo de gestión de la brecha

Una buena respuesta a incidentes va más allá de TI. Según el incidente, implicar a:

Seguridad de la información / TI,
responsables de KVKK o protección de datos,
equipo jurídico,
dirección,
comunicación corporativa,
las operaciones de clientes,
especialistas externos en ciberseguridad o análisis forense digital.

¿Por qué es crucial cuándo se toma conocimiento?

El proceso de 72 horas se evalúa no desde el momento en que el evento se produjo técnicamente por primera vez, sino desde el momento en que el responsable del tratamiento se enteró de la violación. Por lo tanto, es importante mantener registros iniciales de detección, escalada y decisión dentro de la institución.

El mantenimiento de una alarma de seguridad durante días sin ser examinado también puede suponer un riesgo para la gestión del proceso.

Crear un inventario de la brecha

Determinar rápidamente el alcance del incidente antes de decidir la notificación:

¿Qué sistema fue afectado?
¿Qué categorías de datos se vieron afectadas?
¿Cuántas personas se calcula que han sido afectadas?
¿Se han visto, exportado o modificado los datos?
¿Hay categorías especiales de datos personales?
¿Estaban los datos cifrados o protegidos por otras medidas de protección?
¿Continúa el acceso no autorizado?
¿Qué consecuencias pueden sufrir los interesados?

¿Debe retrasarse la notificación si falta información?

La investigación técnica puede no terminar en 72 horas. No esperar al final de toda la investigación para notificar.

Iniciar las notificaciones necesarias con la información disponible. Añadir detalles y conclusiones técnicas por el procedimiento aplicable conforme avanza el análisis, documentando los retrasos.

¿Cómo hacer el análisis de riesgos?

Un mensaje al destinatario equivocado requiere un plan distinto de una filtración de datos de identidad y financieros de miles de personas.

El análisis de riesgos puede tener en cuenta los siguientes factores:

naturaleza y sensibilidad de los datos,
El número de personas afectadas,
el riesgo de robo o fraude de identidad,
datos de salud u otras categorías especiales,
Si los datos se hacen públicos,
medidas de protección tales como cifrado o pseudonimización,
Si la violación continúa,
posibles daños materiales o inmateriales a las personas.

Cómo documentar el incidente técnico

El expediente de la brecha debe contener la cronología y el informe final.

hora de la primera alerta,
momento de conocimiento de la brecha,
La primera intervención,
Identificación de los sistemas afectados,
cambios técnicos introducidos,
El momento de la decisión de notificación,
Notificación de la junta/autoridad,
comunicaciones a los interesados afectados,
fecha de cierre del incidente.

Registrar cada etapa con marca temporal.

Qué comunicar a los interesados afectados

No limitar la comunicación a un vago o alarmante «sus datos se han filtrado». Explicar el incidente, los datos afectados, las consecuencias, las medidas empresariales y cómo puede protegerse la persona.

Análisis de la causa raíz después de la violación

La presentación de informes no es el fin de la gestión de eventos. La institución debe determinar por qué se produjo el evento y qué controles deben cambiar para evitar que se repitan.

permisos excesivos,
débil autenticación,
servicio de nube mal configurado,
el phishing,
software desactualizado,
error humano,
Seguridad de los proveedores

Asignar a cada causa acciones correctivas específicas.

Plan de operación de 72 horas

0 a 4 horas

Contener el incidente, preservar pruebas, determinar el alcance inicial y registrar cuándo se conoció.

4-24 horas

Identifique las categorías de datos, los grupos de personas afectadas, la causa técnica y las posibles consecuencias. Incluya en el proceso al equipo jurídico, a los responsables de la KVKK y a la dirección.

24-48 horas

Preparar el expediente de notificación, enumerar información pendiente, planear la comunicación a interesados e iniciar medidas correctoras.

48-72 horas

Completar las notificaciones exigidas a la autoridad/al Consejo por la normativa aplicable. Documentar retrasos y motivos. Informar a los interesados según las condiciones del régimen pertinente.

El enfoque B10

B 10 Digital Agency aborda las brechas más allá de los textos jurídicos, coordinando flujos de datos, permisos, registros, seguridad técnica, expedientes de incidentes y cumplimiento KVKK.

Conclusión

Las primeras 72 horas son una fase crítica de detección, análisis, preservación de pruebas, notificación, comunicación y respuesta técnica coordinadas. La KVKK y el RGPD exigen disciplina similar, pero sus obligaciones de notificación deben evaluarse por separado según sus propias reglas.

Nota: Este contenido es para fines informativos generales. Las obligaciones jurídicas que deben aplicarse en caso de violación concreta de datos también deben evaluarse de acuerdo con las características del incidente y la legislación aplicable.