La Ley General de Protección de Datos Personales (LGPD) contiene, en su capítulo VII, algunas disposiciones sobre buenas prácticas de seguridad de la información. Sin embargo, a pesar de tocar el tema, la ley no conceptualiza lo que es un «incidente de seguridad de la información». Para los agentes de tratamiento que operan en Brasil, esta omisión dificulta de cierto modo cómo identifican y manejan estos incidentes y cómo evalúan la necesidad de reportarlos a las autoridades competentes.

Aunque la LGPD no brinda una definición clara mediante su artículo 46, caput, la ley revela al menos dos situaciones que pueden constituir un incidente de seguridad de la información: (i) acceso no autorizado a datos personales; y (ii) situaciones accidentales o ilícitas de destrucción, pérdida, alteración, comunicación o cualquier forma de tratamiento inadecuado.

Así, a partir del citado artículo, es posible entender que el mensaje del legislador fue en el sentido de extrapolar la típica noción de que un incidente sería simplemente la fuga de una base de datos, cometida por un hacker u otro agente malicioso. Por el contrario, el legislador buscó dejar claro que cualquier tipo de tratamiento inadecuado de los datos constituye un incidente de seguridad de la información, aunque sea de forma culposa (p. ej., la pérdida de un pendrive).

La Autoridad Nacional de Protección de Datos (ANPD) también corrobora con esta interpretación, ya que, en su guía de Comunicación de Incidentes de Seguridad (en adelante, la Guía), publicado en 2021, la autoridad conceptualiza el incidente de seguridad de manera muy genérica, como un «evento adverso relacionado a una violación en la seguridad de los datos personales que pueda acarrear riesgo para los derechos y libertades del sujeto de datos». 

A pesar del alcance conceptual de un incidente de seguridad, se sabe que no son todos los incidentes los que deben ser reportados a la ANPD o a los sujetos involucrados sino solo aquellos que puedan causar riesgos o daños relevantes a los sujetos (artículo 48, caput, LGPD). Por lo tanto, realizar una evaluación de la severidad de un incidente es fundamental porque precede, necesariamente, su eventual comunicación a la autoridad competente y también a los sujetos de datos.

Sin embargo, hasta la fecha, la ANPD no ha publicado ninguna orientación o metodología para analizar la severidad de un incidente. Cabe señalar que el citado Guía de la ANPD indica algunos parámetros para la evaluación de un incidente, pero no proporciona criterios objetivos para interpretarlos. A modo de ejemplo, el documento indica el «número de sujetos afectados» como un parámetro importante para evaluar la gravedad de un incidente, pero no proporciona números objetivos para clasificar el incidente como «grave» o «relevante».

Ante la falta de regulación objetiva sobre el tema en Brasil, la alternativa que surge consiste en marcos y métricas de autoridades e instituciones internacionales, como la Agencia de Seguridad Cibernética de la Unión Europea (ENISA), la Agencia de Seguridad Cibernética e Infraestructura de los Estados Unidos (CISA), la Oficina del Comisionado de Información en el Reino Unido (ICO), y otras métricas automatizadas ofrecidas por entidades privadas (como la empresa One Trust). Los frameworks de estas instituciones pueden proporcionar criterios objetivos y específicos para la evaluación de la severidad del incidente de seguridad.

El framework de ENISA, por ejemplo, tiene más de 25 páginas, a través de las cuales se explica la metodología adoptada por la institución, las referencias técnicas utilizadas (ISO, NIST, etc.), la descripción de los criterios de evaluación y su uso en el caso práctico. Los resultados son igualmente claros, pudiendo indicar la gravedad del incidente como baja, media, alta y muy alta. En Brasil, el uso de un framework como este es muy útil y práctico, teniendo en cuenta que la LGPD exige el reporte de incidentes en caso de riesgos o daños relevantes, se puede entender que solo los resultados de clasificación alto o muy alto darían lugar, al principio, un informe a la autoridad.

Se espera que en los próximos meses la ANPD ofrezca subsidios regulatorios para que los agentes de tratamiento puedan realizar una evaluación de severidad adaptada a la LGPD y a la legislación brasileña, ya que el tema notificación de incidentes está incluido en la agenda regulatoria de la autoridad para el bienio 2021–2022.

Estos subsidios serán de gran importancia para los agentes de tratamiento en Brasil; al final, la respuesta a incidentes es un tema que debe ser abordado por la gobernanza de protección de datos de cualquier organización que maneje datos personales. Mientras tanto, se recomienda que los data protection officers (DPOs, por sus siglas en inglés) y otros profesionales del área hagan uso de métricas y marcos internacionales, como los mencionados en este artículo, evitando criterios propios o subjetivos que, a nuestro juicio, pueden ser impugnados por las autoridades.