Cuándo comunicar, qué exige cada campo, cómo avisar a los titulares y cómo el dictamen sostiene la complementación y la defensa.
La LGPD (ley brasileña de protección de datos) obliga a comunicar a la ANPD (Agencia Nacional de Protección de Datos de Brasil) y a los titulares el incidente que pueda acarrear riesgo o daño relevante. El reglamento de la ANPD da tres días hábiles, contados desde que el controlador sabe que se afectaron datos personales, y pide doce informaciones. Casi todas son hechos técnicos: datos afectados, número de titulares, personas vulnerables, fecha, causa.
En las primeras horas, esos hechos son estimaciones, y la estimación se equivoca en ambos sentidos. El personal que se siente culpable minimiza. Otro reporta un incidente mayor de lo que el análisis muestra después. La diferencia causa extrañeza en la ANPD y genera pedidos de información complementaria.
El curso muestra cómo comunicar con lo que se sabe, marcar lo que es estimación, complementar con un dictamen pericial y guardar el registro que pesa después.
Elija cuantos cursos quiera: quedan guardados y llegan marcados en el formulario de inscripción.
Una empresa necesitaba comunicar a la ANPD un incidente a gran escala, y los números de las primeras horas eran estimaciones. El peritaje delimitó el incidente, separó a los titulares en grupos de exposición, identificó a los vulnerables y segregó los detalles técnicos en un anexo confidencial. El dictamen dio base a la complementación.
Una empresa fue acusada de compartir, a través de su sitio web, datos de usuarios sin consentimiento. El informe técnico examinó los scripts, los datos enviados en cada flujo y la copia del sitio presentada por la demandante, y demostró que no hubo violación. El caso se cerró sin peritaje judicial.
Una escuela percibe que alguien copió la base de matrículas, con datos de alumnos menores de edad y de sus responsables. El plazo ya corre, y nadie sabe cuántos alumnos fueron afectados. El peritaje preserva los registros, delimita el período y la cuenta utilizada, cuenta aparte a niños y adolescentes y entrega primero lo que exige la comunicación.
En grupos, los participantes reciben el escenario de una fuga en una tienda en línea, con lo que TI sabe 30 horas después del descubrimiento. En 15 minutos, marcan cada uno de los doce campos como medido, estimado o desconocido, indican la fuente técnica que lo cierra y deciden qué queda para la complementación.
Normas y decisiones analizadas
LGPD (ley brasileña de protección de datos), art. 48 · LGPD, arts. 43 y 55-A · Resolución CD/ANPD nº 15/2024 (reglamento de comunicación de incidentes), arts. 3º, 5º a 10 · Resolución CD/ANPD nº 4/2023 (reglamento de dosimetría de sanciones), arts. 8º y 13 · STJ (Superior Tribunal de Justicia brasileño), AREsp 2.130.619/SP · STJ, REsp 2.121.904/SP
Consulte también
Peritaje en LGPD, ANPD y Fugas de Datos → Peritaje en Seguros y Siniestros Cibernéticos → Peritaje en Nube, Identidad y DevOps → Dictámenes e Informes Técnicos → Ver todos los cursos →