Brechas de seguridad en un colegio: a quién se avisa, cuándo y qué se registra

El artículo 14 sexies obliga a reportar a la Agencia «por los medios más expeditos posibles y sin dilaciones indebidas» Art. 14 sexies. No hay un número de horas.

El efecto práctico de no tener número es que lo que se evalúa es el proceso: cuándo se supo, qué se hizo entre ese momento y el reporte, y por qué eso fue razonable. Un registro fechado de esas horas vale más que cualquier plazo.

Dos condiciones, y hacen falta las dos:

1. 01Que haya una vulneración de las medidas de seguridad — que ocasione destrucción, filtración, pérdida o alteración —accidental o ilícita— de los datos, o comunicación o acceso no autorizados a ellos.
2. 02Que exista riesgo razonable para los titulares — para sus derechos y libertades. Este es el filtro: no toda incidencia técnica es una brecha reportable.

La evaluación del riesgo la hace el colegio, y por eso conviene que quede escrita aunque el resultado sea «no procede reportar»: la carga de acreditar que se actuó con diligencia es del responsable, y una decisión no documentada es indistinguible de una decisión que no se tomó.

El corte de edad merece precisión: la ley dice menores de catorce años, no «menores de edad». En un colegio, sin embargo, la comunicación a las familias suele proceder igual por la otra puerta — la de los datos sensibles, que en un establecimiento educacional están en casi todos lados.

El aviso a las familias debe ir en lenguaje claro y sencillo, y decir tres cosas: qué datos se vieron afectados, qué consecuencias puede tener, y qué se hizo al respecto.

La ley obliga a registrar las comunicaciones, con un contenido mínimo que conviene tratar como la plantilla del incidente:

• La naturaleza de la vulneración sufrida.
• Sus efectos.
• Las categorías de datos afectadas.
• El número aproximado de titulares afectados.
• Las medidas adoptadas para gestionarla y para precaver incidentes futuros.

Un incidente no es el momento de decidir quién decide. Cuatro cosas que se preparan una vez:

• Quién evalúa el riesgo — una persona con nombre, y su reemplazo. La evaluación no puede esperar a una reunión.
• El plazo del proveedor — la ley obliga al encargado a reportar al colegio, pero no le pone plazo. Ese plazo se pacta en el contrato de encargo, o no existe.
• El canal de contacto publicado — el mismo que exige el deber de información. Es por donde la Agencia notifica.
• Los textos base — el reporte a la Agencia y el aviso a las familias, redactados en frío. Escribir «en lenguaje claro y sencillo» a las dos de la mañana no sale bien.

Omitir la comunicación es infracción gravísima —hasta 20.000 UTM—, así que el procedimiento escrito es, literalmente, lo que separa el tramo más alto de la ley de un incidente bien gestionado. Los montos están en la página de multas.