Detectar una brecha de datos en las primeras horas no es solo una ventaja operativa: en la mayoría de los marcos legales de América Latina, la velocidad de detección determina si una organización cumple o incumple sus obligaciones de notificación. El tiempo que transcurre entre el incidente y la respuesta tiene consecuencias jurídicas directas, no solo reputacionales.
Cuando se habla de ciberseguridad continua —monitoreo 24/7, correlación de eventos, detección y respuesta administrada— el argumento suele construirse en torno al riesgo técnico: reducir el tiempo de permanencia del atacante, limitar el alcance de la exfiltración, preservar la integridad de los sistemas. Pero hay una dimensión que con frecuencia queda fuera del debate técnico: la detección temprana es también una obligación jurídica encubierta. No tener capacidad de detectar a tiempo es, en varios regímenes legales de la región, equivalente a no haber implementado medidas de seguridad adecuadas.
El reloj legal empieza cuando la organización “debería haber sabido”
La mayoría de las leyes de protección de datos personales en América Latina establecen plazos de notificación contados desde el momento en que la organización toma conocimiento del incidente. La Lei Geral de Proteção de Dados de Brasil (LGPD, Lei 13.709/2018) indica en su artículo 48 que el responsable debe comunicar a la Autoridade Nacional de Proteção de Dados (ANPD) y a los titulares afectados en un “plazo razonable” tras conocer la ocurrencia. La ANPD, a través de la Resolución CD/ANPD nº 15/2024, precisó ese plazo en tres días hábiles para la notificación preliminar. En Argentina, la Ley 25.326 no fija un plazo explícito de notificación de brechas en su texto original, pero la Agencia de Acceso a la Información Pública (AAIP) ha emitido lineamientos que recomiendan la comunicación inmediata, y el proyecto de reforma en discusión busca incorporar un plazo de 72 horas, alineado con el GDPR europeo. En México, la LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de los Particulares) tampoco establece un plazo numérico expreso, pero el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) ha interpretado que la demora injustificada agrava la responsabilidad del responsable del tratamiento.
El punto crítico está en la frase “desde que toma conocimiento”. Cuando una organización no tiene capacidad de monitoreo continuo, el momento del conocimiento se retrasa artificialmente. Un atacante que permanece en la red durante semanas o meses —el llamado dwell time, que según reportes del sector puede superar los 200 días en incidentes no detectados a tiempo— no solo amplía el daño; también desplaza hacia adelante el inicio del plazo legal, lo que los reguladores interpretan cada vez más como negligencia en la implementación de medidas técnicas.
Cuándo aplica la obligación de notificar y cuándo NO
No todo incidente de seguridad activa la obligación de notificación. Los regímenes de la región convergen en que la notificación es obligatoria cuando el incidente involucra datos personales y existe riesgo relevante para los derechos de los titulares. Esto implica que una brecha que afecta únicamente datos anonimizados de manera irreversible, o que se contiene antes de que exista acceso no autorizado real a datos personales, puede no requerir notificación formal. Sin embargo, la carga de demostrar esa ausencia de riesgo recae sobre la organización responsable, y sin registros de detección y contención, esa demostración es prácticamente imposible. El monitoreo continuo no solo reduce el daño: produce la evidencia documental que la organización necesita para acreditar que actuó diligentemente o que el incidente no alcanzó el umbral de notificación.
Colombia, Chile y Perú: tres posiciones regulatorias frente al mismo problema
Colombia cuenta con la Ley Estatutaria 1581 de 2012 y el Decreto 1377 de 2013, supervisados por la Superintendencia de Industria y Comercio (SIC). La SIC ha sancionado a empresas por fallas en medidas de seguridad técnicas, lo que crea un precedente sobre la exigencia implícita de capacidad de detección. Chile avanza con la Ley 21.719, aprobada en 2024, que introduce por primera vez un régimen de notificación de brechas con plazos definidos y obligaciones de registro de incidentes, bajo la supervisión del Consejo para la Transparencia en un período transitorio. Perú, con la Ley 29733 y su reglamento, también exige medidas de seguridad adecuadas al nivel de riesgo del tratamiento, lo que la Autoridad Nacional de Protección de Datos ha interpretado como comprensivas de capacidades de detección y respuesta. En los tres casos, una organización que no puede demostrar cuándo ocurrió un incidente ni cuánto tiempo tardó en detectarlo enfrenta una posición jurídica desventajosa frente al regulador.
Lo que la capacidad de detección acredita ante un regulador
Cuando una autoridad de control investiga una brecha, una de las primeras preguntas es si la organización contaba con mecanismos razonables para detectarla. La existencia de registros de logs auditables, alertas de seguridad, procedimientos de clasificación de incidentes y tiempos de respuesta documentados forma parte del estándar de diligencia debida que los reguladores de la región evalúan al determinar la responsabilidad y la cuantía de las sanciones. Una organización con monitoreo continuo que detecta y contiene un incidente en horas está en posición de argumentar que implementó medidas adecuadas. Una organización que descubre una brecha semanas después, por una notificación externa o por medios de comunicación, enfrenta el escenario contrario, independientemente de cuánto invierta en respuesta forense posterior.
Para profundizar en los plazos y obligaciones de notificación vigentes en la región, la Resolución CD/ANPD nº 15/2024 de Brasil y el texto de la Ley 21.719 de Chile son los documentos de referencia más actualizados disponibles en los registros oficiales de sus respectivas autoridades de protección de datos.
