Cuando un incidente alcanza datos personales, la decisión de comunicar a la ANPD, y qué comunicar, depende de hechos que solo la evidencia muestra. El peritaje mide esos hechos y sostiene a la empresa en lo que viene después.
La LGPD, la ley brasileña de protección de datos, obliga al controlador (el responsable del tratamiento) a comunicar a la ANPD, la autoridad brasileña de protección de datos, y a los titulares el incidente de seguridad que pueda acarrear riesgo o daño relevante (LGPD, art. 48). El plazo es de tres días hábiles, contados desde que el controlador sabe que el incidente afectó datos personales (Resolución CD/ANPD nº 15/2024, el reglamento de la ANPD sobre comunicación de incidentes, art. 6º).
Comunicar o no depende de preguntas que ningún dictamen jurídico responde por sí solo. ¿Qué datos fueron alcanzados, y de cuántos titulares? ¿Hay datos sensibles, financieros, de niños o de personas mayores? ¿Desde cuándo existía el acceso? Las respuestas están en los registros y en los equipos, y es el peritaje el que las extrae de allí.
El trabajo es pericial, no de adecuación a la LGPD ni de encargado de protección de datos (DPO). La decisión sigue en manos del controlador y de sus abogados. Lo que cambia es la base: un dictamen técnico de incidente de seguridad, y no una estimación hecha bajo presión. Esa estimación suele errar en los dos sentidos. El equipo de tecnología se siente culpable por no haber evitado el incidente, y es natural el miedo a exponer la gravedad de lo ocurrido: el número sale menor que el real. En otros casos ocurre lo inverso: el equipo reporta un incidente que el análisis pericial después muestra bastante menor. La diferencia causa extrañeza en la ANPD y genera pedidos complementarios y procedimientos más delicados.
Clasificar la criticidad del incidente y el tipo de riesgo que corre cada grupo de titulares es parte del mismo trabajo. Es lo que garantiza una comunicación completa y permite orientar a los titulares a tiempo, antes de que alguno de ellos sea víctima de una estafa. También es lo que protege la imagen de la empresa.
La fuga de datos se convirtió en punto de partida de buena parte de los delitos digitales. Con nombre, número de identificación fiscal (CPF) e historial de compras en mano, el delincuente aplica estafas a clientes y colaboradores de la empresa, y el fraude se pulveriza entre muchas víctimas, lo que hace más difícil determinar la autoría.
Por eso algunas acciones de preservación son inmediatas: imagen forense de los sistemas alcanzados, recolección de los registros antes de que expiren y búsqueda de vestigios de que el atacante sigue en el entorno. TI corrige el entorno; el peritaje garantiza que la corrección no borre la prueba de cómo ocurrió el incidente.
La comunicación exige la categoría de los datos afectados, el número de titulares, las medidas de seguridad, la fecha y la causa del incidente (Resolución CD/ANPD nº 15/2024, art. 6º, §2º). Cada campo es un hecho a demostrar.
Por dónde entró el acceso, qué bases fueron leídas o copiadas, en qué período y con qué cuenta. La delimitación separa el dato efectivamente expuesto del dato que solo estaba en el mismo servidor, y define el tamaño real del incidente.
Los titulares se agrupan por el dato alcanzado: de registro y de documentos, financieros y de ingresos, de autenticación, de geolocalización, fotos y biometría, filiación y dependientes, historial de compras. Niños, adolescentes y personas mayores se cuentan por separado, porque la comunicación exige ese número.
El peritaje da apoyo al llenado de la comunicación dentro de los tres días hábiles. Después, el dictamen confronta lo declarado con lo medido y sostiene la complementación, admitida en hasta veinte días hábiles (Resolución CD/ANPD nº 15/2024, art. 6º, §3º). Los detalles sensibles de la infraestructura quedan en un anexo propio, para el pedido fundamentado de confidencialidad (Resolución CD/ANPD nº 15/2024, art. 7º). Quien comunica es siempre el controlador.
Cuando la evidencia muestra que el incidente no cumple los criterios de riesgo o daño relevante (Resolución CD/ANPD nº 15/2024, art. 5º), el informe técnico documenta por qué e integra el registro que el reglamento manda conservar por cinco años (Resolución CD/ANPD nº 15/2024, art. 10).
Cuando el incidente alcanza un entorno que cambió de manos, la primera disputa es de responsabilidad: ¿el sistema era heredado o ya era de la nueva operación? En un caso real, decenas de terabytes fueron preservados antes de la remediación justamente para separar una cosa de la otra. El mismo examen entra en la due diligence de fusiones y adquisiciones, para saber si la empresa objetivo ya sufrió un incidente que no declaró.
Después vienen los pedidos de información de la ANPD, el proceso administrativo y las acciones de titulares. El agente de tratamiento no es responsabilizado cuando prueba que no realizó el tratamiento, que no hubo violación de la legislación o que el daño deriva de culpa exclusiva del titular o de un tercero (LGPD, art. 43), y el juez puede invertir la carga de la prueba a favor del titular (LGPD, art. 42, §2º). El peritaje produce esa prueba. Demuestra, por ejemplo:
Las acciones por compartición indebida de datos mediante cookies, etiquetas y scripts de terceros se multiplican. La pregunta es técnica: qué salió del navegador del usuario, adónde fue y si él consintió.
El examen lee el código que el sitio y la aplicación de hecho ejecutan, mapea cada evento enviado y los datos que viajan con él, y observa el tráfico en los flujos de registro, inicio de sesión, compra y rechazo de cookies. Es allí donde se ve si el consentimiento comanda la recolección o es solo un aviso en la pantalla. El dictamen reconstruye la configuración vigente en la fecha de los hechos y usa como referencia la guía orientativa "Cookies e Proteção de Dados Pessoais" (cookies y protección de datos personales), publicada por la ANPD en 2022. Si la parte contraria aportó una copia del sitio, el peritaje verifica cómo fue hecha.
El mismo examen funciona antes del proceso. La auditoría preventiva de privacidad muestra lo que el sitio y la aplicación envían hoy, mientras todavía hay tiempo de corregir.
Desafío. Una empresa fue demandada bajo la alegación de que su sitio compartía datos personales de usuarios con terceros sin consentimiento.
Método. El informe técnico examinó los scripts ejecutados por el sitio, los datos enviados en cada flujo y el tráfico con el sitio en línea, y auditó la copia del sitio aportada por la parte actora.
Resultado. El informe demostró que no hubo violación. El caso se cerró sin peritaje judicial, y el cliente evitó una condena de valor elevado.
Desafío. Una empresa necesitaba comunicar a la ANPD un incidente con datos de titulares a gran escala, y los números de las primeras horas eran estimaciones.
Método. El peritaje delimitó el incidente, separó a los titulares en grupos de exposición, identificó a los vulnerables y segregó los detalles técnicos en un anexo confidencial.
Resultado. El dictamen confrontó lo declarado con lo medido y dio base a la complementación de la comunicación.
Una institución educativa descubre que la base de matrículas, con datos de alumnos menores y de sus responsables, fue copiada por un acceso indebido. El plazo de tres días hábiles ya corre, y nadie sabe cuántos alumnos fueron alcanzados. El peritaje preserva los registros, delimita el período y la cuenta usada, cuenta a niños y adolescentes por separado y entrega primero lo que la comunicación exige.
Una cadena de hoteles recibe reclamos de huéspedes que pagaron, por mensaje, una "confirmación de reserva" que el hotel nunca envió. Los estafadores sabían nombre, fechas y valor de cada reserva. El peritaje examina el sistema de reservas, las integraciones con terceros y los accesos de colaboradores para encontrar el origen de la fuga, aunque esté en un proveedor.
Consulte también
Investigación Corporativa y Compliance → Autoría Digital y Levantamiento del Secreto Telemático → Societario y Fusiones y Adquisiciones → Seguros y Siniestros Cibernéticos → Informática Forense e Investigación Digital → Peritaje Judicial y Extrajudicial →
Antes de decidir, vale ver lo que ya pasó por este laboratorio: casos descritos sin identificar a las partes, en el formato desafío, método y resultado.
El canal de control del intruso estaba grabado en contratos inteligentes. El peritaje decodificó lo que había borrado y entregó a las autoridades los caminos de identificación.
Ver el caso Prueba negativaEl peritaje oficial había concluido que participó. El reexamen demostró que los vínculos eran falsos positivos, y la persona acusada fue absuelta.
Ver el caso