Procedimiento de notificación de brechas de datos por país

Cómo usar este documento

• Sirve para decidir, en las primeras horas de una brecha de seguridad que afecte a datos personales, a quién hay que notificar, en qué plazo y con qué contenido en cada país en el que opera la organización, incluidas las brechas que se originan en un sistema de IA o en un proveedor de IA.
• Es una ampliación del plan de respuesta a incidentes de IA: el plan gestiona la contención técnica; este procedimiento gestiona las notificaciones y su prueba.
• Dueños sugeridos: el responsable de seguridad de la información (CISO) para la detección y la contención, y el delegado de protección de datos (DPO) o la función de privacidad para la valoración y las notificaciones.
• Antes de adoptarlo, la organización debe decidir quién puede firmar y enviar una notificación a una autoridad, quién aprueba los mensajes a las personas afectadas y qué umbral de riesgo activa la notificación cuando la norma deja margen.
• Complete la tabla de contactos de la sección 3, la tabla de países de la sección 7 y los campos [COMPLETAR] de los modelos de la sección 8.
• Conserve en "Variantes por país" solo las jurisdicciones donde trata datos personales o tiene personas afectadas. Una misma brecha puede activar varias variantes a la vez.
• Los plazos que aparecen sin [COMPLETAR] son los que, según las fuentes revisadas a la fecha de esta versión, fija la norma citada; confírmelos también con su asesor. Los demás quedan abiertos para que los confirme con su asesor antes de aprobar el documento, porque cambian con frecuencia o dependen del sector.
• Pida al área legal interna o a un asesor externo que revise el procedimiento y los modelos, sobre todo los plazos sectoriales (banca, seguros, salud, telecomunicaciones, servicios esenciales).
• Apruébelo en el [COMITÉ DE IA] o en el órgano que gestione la seguridad, difúndalo al equipo de respuesta y pruébelo con un simulacro antes de darlo por implantado.

Procedimiento de notificación de brechas de datos por país

Campo	Contenido
Organización	[RAZÓN SOCIAL] ([NOMBRE DE LA ORGANIZACIÓN])
Dueño del procedimiento	[RESPONSABLE]
Área	[ÁREA RESPONSABLE]
Países cubiertos	[PAÍS]
Contacto de privacidad	[EMAIL DE PRIVACIDAD]
Documento relacionado	Plan de respuesta a incidentes de IA
Versión y fecha	1.0.0 / [FECHA]

1. Objeto y alcance

1.1. [NOMBRE DE LA ORGANIZACIÓN] establece este procedimiento para valorar, notificar y documentar las brechas de seguridad que afecten a datos personales de los que es responsable o encargada, en cada país donde opera.

1.2. Se aplica a cualquier brecha, con independencia de su origen: sistemas internos, sistemas de IA propios o de terceros, proveedores y encargados, dispositivos, documentos en papel y errores humanos.

1.3. Incluye expresamente las brechas relacionadas con IA, por ejemplo:

• datos personales introducidos en una herramienta de IA no autorizada o configurada para reutilizar los datos;
• fuga de datos a través de instrucciones maliciosas (inyección de instrucciones) o de respuestas del modelo;
• exposición de conjuntos de datos de entrenamiento, ajuste o evaluación;
• conectores, agentes o integraciones que acceden a repositorios con permisos excesivos;
• brechas sufridas por un proveedor de IA que trata datos por cuenta de la organización;
• extracción de datos personales memorizados por un modelo.

1.4. Este procedimiento no sustituye a los deberes sectoriales (banca, seguros, salud, telecomunicaciones, servicios esenciales, mercados de valores) ni a los compromisos contractuales con clientes. Estos se recogen en la tabla de la sección 7 cuando se conozcan.

2. Definiciones

• Brecha de datos personales: incidente de seguridad que provoca la destrucción, pérdida, alteración, comunicación o acceso no autorizados, accidentales o ilícitos, de datos personales. Incluye la pérdida de disponibilidad.
• Incidente de ciberseguridad: evento que compromete la confidencialidad, integridad o disponibilidad de redes, sistemas o información, aunque no afecte a datos personales.
• Momento de conocimiento: fecha y hora en que la organización tiene un grado razonable de certeza de que se ha producido un incidente de seguridad que afecta a datos personales. Desde ese momento corren los plazos.
• Autoridad: autoridad de protección de datos, equipo de respuesta nacional (CSIRT) o regulador sectorial que deba recibir la notificación.
• Personas afectadas: titulares de los datos comprometidos.
• Encargado o proveedor: tercero que trata datos personales por cuenta de la organización, incluidos los proveedores de servicios de IA.