LGPD y seguridad cibernética: obligaciones, plazo de incidente y checklist
La LGPD (Ley 13.709/2018) es la ley brasileña de protección de datos personales. Alcanza a cualquier organización —esté o no establecida en Brasil— que trate datos personales recogidos en territorio brasileño o destinados a ofrecer bienes y servicios a personas que allí se encuentren. Es un régimen propio, con su propia autoridad, sus propios plazos y sus propias sanciones: si usted trabaja con otra normativa de protección de datos, no dé por transferible ninguna regla sin comprobarla.
Y la parte de la LGPD que más dudas genera en el día a día de la seguridad no está en la ley — está en el reglamento. Desde la Resolución CD/ANPD n.º 15, de 24 de abril de 2024, el «plazo razonable» del art. 48 se convirtió en un número concreto: tres días hábiles. Si el material que usted usa como referencia no cita esa resolución, describe un régimen que ya no está vigente.
Lo que sigue es el régimen en vigor, comprobado artículo por artículo en la fuente oficial. No es asesoramiento jurídico — es el mapa para hablar con el departamento jurídico sabiendo de qué se trata.
Qué exige la LGPD en seguridad de la información (arts. 46 a 49)
El Capítulo VII de la LGPD es corto y directo:
- Art. 46. Adoptar «medidas de seguridad, técnicas y administrativas aptas para proteger los datos personales de accesos no autorizados y de situaciones accidentales o ilícitas de destrucción, pérdida, alteración, comunicación o cualquier forma de tratamiento inadecuado o ilícito». El § 2.º exige que se observen «desde la fase de concepción del producto o del servicio hasta su ejecución» — privacy by design con fuerza de ley.
- Art. 47. La obligación sigue vigente «incluso después del término» del tratamiento. Una base desactivada no es una base desprotegida.
- Art. 49. Los sistemas «deben estructurarse de forma que atiendan a los requisitos de seguridad, a los estándares de buenas prácticas y de gobernanza».
Dos detalles que suelen pasar desapercibidos:
No existe una lista legal de controles obligatorios. El art. 46, § 1.º dice que la ANPD podrá disponer sobre estándares técnicos mínimos — y, hasta aquí, no ha fijado un catálogo vinculante. El estándar es de adecuación: medidas proporcionales a la naturaleza de los datos, al volumen, al riesgo y al estado de la tecnología.
La ausencia de medidas genera responsabilidad civil directa. El art. 44, párrafo único: «responde por los daños derivados de la violación de la seguridad de los datos el controlador o el operador que, al dejar de adoptar las medidas de seguridad previstas en el art. 46 de esta Ley, dé causa al daño». Esto corre con independencia de cualquier sanción administrativa.
En el plano de los principios (art. 6.º), tres incisos sostienen todo esto: seguridad (VII), prevención (VIII) y responsabilización y rendición de cuentas (X). El X es el más exigente: usted necesita demostrar la adopción de las medidas y la eficacia de estas. Sin evidencia registrada, el control no existe desde el punto de vista regulatorio.
Qué es un incidente de seguridad — y cuándo pasa a ser comunicable
La Resolución 15/2024 define incidente de seguridad como «cualquier evento adverso confirmado, relacionado con la violación de las propiedades de confidencialidad, integridad, disponibilidad y autenticidad de la seguridad de datos personales» (art. 3.º, XII).
Tres consecuencias prácticas, conforme a las orientaciones publicadas por la propia ANPD:
- Una vulnerabilidad no es un incidente. La mera existencia de un fallo no dispara nada. Su explotación, en cambio, sí puede hacerlo.
- La indisponibilidad cuenta. No es solo la fuga. Un ransomware que bloquea el acceso a los datos de pacientes es un incidente, aun sin exfiltración.
- El dato anonimizado no cuenta. Un incidente que involucre únicamente datos anonimizados, o que no se relacione con una persona física identificada o identificable, no necesita comunicarse.
Confirmado el incidente, la pregunta siguiente es: ¿puede acarrear riesgo o daño relevante? El art. 5.º establece una prueba acumulativa — el incidente tiene que poder afectar significativamente a los intereses y derechos fundamentales de los titulares y, al mismo tiempo, involucrar al menos uno de estos seis criterios:
- datos personales sensibles;
- datos de niños, de adolescentes o de personas mayores;
- datos financieros;
- datos de autenticación en sistemas;
- datos protegidos por secreto legal, judicial o profesional;
- datos a gran escala.
El § 1.º da ejemplos de lo que significa «afectar significativamente»: impedir el ejercicio de derechos o el uso de un servicio, o causar daños materiales o morales como discriminación, violación de la integridad física, de la imagen y de la reputación, fraudes financieros o robo de identidad. El § 2.º aclara que «gran escala» considera el número de titulares, el volumen de datos, la duración, la frecuencia y la extensión geográfica.
Fíjese en el criterio 4: una base de usuario y contraseña expuesta ya satisface la segunda mitad de la prueba. Queda evaluar la primera — y una credencial filtrada suele abrir camino justamente al fraude y al robo de identidad, los ejemplos citados en el § 1.º.
Plazos, canal y contenido de la comunicación
A la ANPD — art. 6.º
Tres días hábiles, contados desde el conocimiento por el controlador de que el incidente afectó a datos personales (art. 6.º, § 1.º) — no desde la fecha del incidente, ni desde el fin de la investigación. Sábados, domingos y festivos no cuentan. Los agentes de pequeño porte tienen el plazo al doble (§ 8.º), pero con una salvedad que suele olvidarse: por el art. 14, II, de la Resolución CD/ANPD n.º 2/2022, el plazo duplicado no se aplica cuando haya potencial compromiso de la integridad física o moral de los titulares o de la seguridad nacional — en esos casos rigen los mismos tres días hábiles que para los demás agentes.
La comunicación se hace por petición electrónica en el SEI!ANPD, tipo de proceso «ANPD – Comunicados de Incidentes», y debe presentarla el Encargado (con documento que acredite el vínculo) o un representante constituido. Sin esa acreditación en el mismo plazo, la ANPD puede abrir de oficio un Procedimiento de Investigación de Incidente.
El § 2.º enumera doce informaciones obligatorias:
- naturaleza y categoría de los datos afectados;
- número de titulares afectados, discriminando niños, adolescentes y personas mayores;
- medidas técnicas y de seguridad adoptadas antes y después del incidente;
- riesgos y posibles impactos a los titulares;
- motivos de la demora, si la hubo;
- medidas para revertir o mitigar los efectos;
- fecha de la ocurrencia (cuando sea determinable) y fecha del conocimiento;
- datos del Encargado o de quien represente al controlador;
- identificación del controlador y, en su caso, declaración de pequeño porte;
- identificación del operador, cuando corresponda;
- descripción del incidente, incluida la causa principal, si es identificable;
- total de titulares cuyos datos se tratan en las actividades afectadas.
Si usted no dispone de todo en tres días hábiles, existe la comunicación preliminar, complementada de forma fundamentada en hasta veinte días hábiles (§ 3.º), mediante petición incidental en el mismo proceso. La ANPD es clara en sus preguntas frecuentes: la comunicación preliminar es insuficiente para cumplir la obligación del art. 48 y debe complementarse dentro del plazo.
Al titular — art. 9.º
Comunicarlo a la ANPD no basta. La propia ANPD deja constancia de que el art. 48 «no se cumple con la mera comunicación del incidente de seguridad a la ANPD»: habiendo riesgo o daño relevante, el controlador debe necesariamente comunicarlo también a los titulares afectados. Son dos obligaciones, no una.
Mismo plazo: tres días hábiles desde el conocimiento — también duplicado para los agentes de pequeño porte (art. 9.º, § 6.º). El contenido es distinto — siete puntos, entre ellos naturaleza y categoría de los datos afectados, medidas de seguridad utilizadas, riesgos y posibles impactos, medidas de mitigación, fecha del conocimiento y un contacto para obtener información (y los datos del Encargado, cuando corresponda).
La forma importa tanto como el contenido:
- lenguaje sencillo y de fácil comprensión;
- directa e individualizada siempre que los titulares sean identificables — teléfono, correo electrónico, mensaje electrónico o carta;
- si eso resulta inviable, difusión por los canales disponibles (sitio web, app, redes sociales), con visualización directa y fácil, durante un período mínimo de tres meses;
- y una declaración al proceso de que la comunicación se realizó, indicando los medios usados, en hasta tres días hábiles después del término del plazo (§ 4.º).
El § 5.º añade un incentivo concreto: incluir recomendaciones que ayuden al titular a mitigar los efectos puede considerarse buena práctica a efectos de dosimetría (art. 52, § 1.º, IX, de la LGPD).
¿Y si usted es el operador?
La obligación legal de comunicar es del controlador. Ocurrido un incidente, el operador debe informarle sin demora injustificada y facilitarle toda la información necesaria para la comunicación — y la ANPD recomienda expresamente que esas obligaciones entre controlador y operador se establezcan por contrato. Traducido a plazo: el reloj de tres días hábiles del controlador no espera al proveedor, así que el plazo del operador tiene que ser bastante menor que el suyo.
El registro que casi nadie mantiene (art. 10)
Esta es la obligación más ignorada del reglamento: el controlador debe mantener registro de todo incidente de seguridad — incluidos aquellos que decidió no comunicar — durante un plazo mínimo de cinco años.
El registro debe contener, como mínimo: fecha del conocimiento; descripción general de las circunstancias; naturaleza y categoría de los datos afectados; número de titulares afectados; evaluación del riesgo y posibles daños; medidas de corrección y mitigación; forma y contenido de la comunicación, si la hubo; y los motivos de la ausencia de comunicación, cuando sea el caso.
Traducido: la decisión de no comunicar debe estar documentada y ser defendible. Es ese registro el que la ANPD va a pedir si abre un procedimiento de investigación — y puede solicitar, en cualquier momento, el registro de las operaciones de tratamiento (art. 37), el Informe de Impacto (art. 38) y el informe de tratamiento del incidente.
El papel del Encargado
El art. 41 de la LGPD obliga al controlador a designar un Encargado (Encarregado, en el original) y a divulgar públicamente su identidad y contacto, «preferentemente en el sitio web». La Resolución CD/ANPD n.º 18, de 16 de julio de 2024, detalló la función:
- puede ser persona física (de plantilla o externa) o persona jurídica, y la designación exige un acto formal escrito, fechado y firmado, que describa formas de actuación y actividades — documento que la ANPD puede exigir en cualquier momento;
- el agente de tratamiento debe proveer recursos (humanos, técnicos y administrativos), garantizar autonomía técnica y acceso directo al nivel jerárquico más alto;
- debe estar involucrado en el registro y en la comunicación de incidentes, en el registro de las operaciones de tratamiento, en el Informe de Impacto (RIPD), en los mecanismos internos de supervisión y en los instrumentos contractuales;
- hay conflicto de interés cuando acumula funciones que deciden medios y finalidades del tratamiento — las jefaturas de TI, RR. HH., finanzas o salud son los casos clásicos que cita la ANPD, y el conflicto comprobado puede dar lugar a sanción;
- y un punto de alivio: el Encargado no es el responsable ante la ANPD de la conformidad del tratamiento. Quien responde es el controlador.
Los agentes de pequeño porte pueden quedar dispensados de la designación (Resolución CD/ANPD n.º 2/2022), salvo que realicen tratamiento de alto riesgo, tengan ingresos brutos por encima de los límites del reglamento o pertenezcan a un grupo económico que los supere. Aun estando dispensados, hay que mantener un canal de comunicación con el titular.
En la práctica: el Encargado es quien peticiona ante la ANPD. Si no está en su plan de respuesta a incidentes, su plan no funciona el día 1.
Sanciones: qué puede aplicar la ANPD (art. 52)
Los valores correctos, directamente del texto legal:
| Sanción | Detalle |
|---|---|
| Advertencia | con plazo para medidas correctivas |
| Multa simple | hasta el 2 % de la facturación de la persona jurídica de derecho privado, grupo o conglomerado en Brasil, en su último ejercicio, excluidos los tributos, limitada, en total, a 50.000.000,00 reales por infracción |
| Multa diaria | observado el mismo límite total |
| Publicación de la infracción | tras ser investigada y confirmada |
| Bloqueo de los datos | hasta la regularización |
| Eliminación de los datos | referentes a la infracción |
| Suspensión parcial de la base de datos | hasta 6 meses, prorrogable por igual período |
| Suspensión de la actividad de tratamiento | hasta 6 meses, prorrogable |
| Prohibición parcial o total | de actividades de tratamiento |
Las tres últimas (suspensión parcial, suspensión de la actividad y prohibición) solo pueden aplicarse después de haberse impuesto ya al menos una de las sanciones de multa, publicación, bloqueo o eliminación en el mismo caso concreto (art. 52, § 6.º).
La dosimetría importa tanto como el techo. El § 1.º del art. 52 manda considerar, entre otros criterios: gravedad y naturaleza de la infracción, buena fe, cooperación, adopción reiterada de mecanismos internos capaces de minimizar el daño, política de buenas prácticas y gobernanza y pronta adopción de medidas correctivas. La Resolución CD/ANPD n.º 4/2023 clasifica las infracciones en leves, medias y graves y trae la metodología de cálculo de la multa simple. Durante el proceso, la ANPD todavía puede determinar medidas preventivas inmediatas y fijar multa diaria para garantizar su cumplimiento (art. 15 de la Resolución 15/2024).
El detalle más relevante para quien trabaja en seguridad está en el art. 48, § 3.º: en el juicio de gravedad, la ANPD evalúa «la eventual comprobación de que se adoptaron medidas técnicas adecuadas que vuelvan los datos personales afectados ininteligibles para terceros no autorizados». El cifrado bien implementado no es solo higiene técnica — es un atenuante previsto en la ley.
Conviene registrar además el cambio institucional reciente: la Ley n.º 15.352, de 25 de febrero de 2026 (conversión de la MP 1.317/2025), incorporó el art. 55-A a la LGPD y creó la Agencia Nacional de Protección de Datos (ANPD) como entidad autárquica de naturaleza especial vinculada al Ministerio de Justicia y Seguridad Pública, con autonomía funcional, técnica, decisoria, administrativa y financiera, patrimonio propio y sede en el Distrito Federal. La misma ley creó la Carrera de Regulación y Fiscalización de Protección de Datos. En la práctica: la misma sigla, con más músculo fiscalizador.
Medidas técnicas concretas
La Guía Orientativa de Seguridad de la Información de la ANPD (escrita para agentes de pequeño porte, pero útil en cualquier tamaño) organiza las medidas en administrativas y técnicas. Cruzando la guía con lo que el art. 48 exige que usted sea capaz de responder en tres días hábiles:
Cifrado. En tránsito, TLS/HTTPS en todo — incluidas las integraciones internas y el correo con datos de RR. HH. o de salud. En reposo, cifrado de campos sensibles y de copias de seguridad. Recuerde el art. 48, § 3.º: si los datos filtrados son ininteligibles, la gravedad baja.
Control de acceso. La ANPD descompone el control en tres funciones: autenticación (quién accede), autorización (qué puede hacer) y auditoría (qué se hizo). En la práctica: mínimo privilegio (need to know), MFA en sistemas con datos personales, política de complejidad de contraseña, cambio de las contraseñas por defecto de los proveedores y prohibición de cuentas o contraseñas compartidas — la ANPD lo llama «vector crítico de vulnerabilidad».
Rastro de auditoría. Registre autenticaciones y fallos de autenticación, accesos a datos personales, cambios de permiso, exportaciones y operaciones administrativas. La prueba es sencilla: ¿es usted capaz de decir, en tres días hábiles, cuántos titulares fueron afectados, qué categorías de datos y cuál fue la causa principal? Si la respuesta depende de hacer arqueología en los registros de la aplicación, el incidente ya le costó el plazo.
Retención y eliminación. Recolectar solo lo necesario (art. 6.º, III) y eliminar lo que no tiene una finalidad activa reduce la superficie del próximo incidente y el número de titulares afectados. Súmele el descarte seguro de soportes.
Copias de seguridad resistentes al ransomware. La recomendación de la ANPD es explícita: copias regulares, completas, en una ubicación distinta del almacenamiento principal y no sincronizadas en tiempo real — para no replicar el cifrado del atacante.
Gestión de vulnerabilidades. Sistemas y aplicaciones actualizados, parches aplicados, hardening (deshabilitar servicios innecesarios, cambiar todas las contraseñas por defecto, revisar continuamente lo que está expuesto a internet) y antimalware instalado y actualizado — con instrucción explícita a los usuarios de no desactivar las configuraciones de seguridad. La guía de la ANPD cita una investigación del CERT.br junto con el Cetic.br: mantenerlo todo actualizado, hacer hardening y mejorar la identificación y autenticación (incluida la no reutilización de contraseñas) están entre las tres medidas de mayor impacto.
Proveedores. El contrato con el operador debe tener cláusula de seguridad de la información, roles de controlador/operador definidos y un plazo interno de notificación compatible con sus tres días hábiles.
Checklist práctico
Antes (postura permanente)
- Encargado designado, contacto publicado en el sitio web, sin conflicto de interés y con acceso directo a la alta dirección
- Registro de las operaciones de tratamiento (art. 37) actualizado — es de ahí de donde sale el «total de titulares» del punto 12
- Mapa de dónde viven los datos sensibles, financieros, de autenticación y de niños/adolescentes/personas mayores
- Política de seguridad de la información escrita, con revisión periódica
- MFA, mínimo privilegio y revisión periódica de accesos
- Cifrado en tránsito y en reposo, con gestión de claves
- Rastro de auditoría de autenticación, acceso, alteración y exportación — con retención compatible con los 5 años del art. 10
- Copia de seguridad probada, offline o con copia no sincronizada
- Cláusulas de seguridad y plazo de notificación en los contratos con operadores
- Formación y canal interno para reportar incidentes y vulnerabilidades
Durante (los tres primeros días hábiles)
- Confirmar que hubo un evento adverso y que se vieron afectados datos personales — el reloj empieza aquí
- Contener y preservar evidencias (no borre registros para «limpiar» el entorno)
- Aplicar la prueba del art. 5.º: ¿afecta significativamente a derechos y involucra uno de los seis criterios?
- Activar al Encargado y reunir los 12 campos del art. 6.º, § 2.º
- Peticionar en el SEI!ANPD con la acreditación de representación — preliminar, si es necesario
- Comunicar a los titulares en lenguaje sencillo, de forma individualizada, con recomendaciones de mitigación
- Si no se puede identificar a todos, publicar en un canal de amplio alcance y mantenerlo durante 3 meses
Después
- Complementar la comunicación en hasta 20 días hábiles, de forma fundamentada
- Adjuntar al proceso la declaración de comunicación a los titulares
- Registrar el incidente con los 8 puntos del art. 10 — incluso si usted decidió no comunicarlo
- Post-mortem con causa raíz y medidas correctivas documentadas (peso directo en la dosimetría)
- Reevaluar el Informe de Impacto (RIPD) y los controles afectados
Dónde ayuda una plataforma — y dónde no
Una herramienta no sustituye a un programa de gobernanza, no designa a su Encargado y no peticiona ante la ANPD por usted. Lo que sí puede hacer es acortar la distancia entre «descubrimos algo» y «tenemos los doce campos rellenados». En OODA Intelligence, los componentes que tocan ese flujo son:
- Audit & Compliance — más de 50 tipos de eventos (autenticación, acceso a datos, cambios de configuración, incidentes), retención configurable, cadena de hashes de integridad y exportación inmutable (WORM).
- Users & Access — RBAC por módulo y acción, MFA (TOTP, WebAuthn, SMS), SSO SAML 2.0/OIDC y access reviews.
- Incident Management — ciclo de vida de la respuesta con línea de tiempo inmutable y adjuntos cifrados, útil para producir el registro del art. 10.
- Aislamiento por organización y cifrado de campos sensibles, conforme a nuestra página de LGPD.
El resto — mapeo de tratamientos, bases legales, contratos con operadores, decisión sobre comunicar o no — sigue siendo trabajo humano.
Fuentes oficiales
Todo artículo, plazo y valor citado aquí fue comprobado en el texto oficial (en portugués):
- Ley n.º 13.709/2018 (LGPD) — Planalto
- Ley n.º 15.352/2026 — crea la Agencia Nacional de Protección de Datos (art. 55-A de la LGPD)
- Resolución CD/ANPD n.º 15/2024 — Reglamento de Comunicación de Incidente de Seguridad (DOU)
- Resolución CD/ANPD n.º 18/2024 — Reglamento sobre la actuación del encargado (DOU)
- Resolución CD/ANPD n.º 2/2022 — Reglamento para agentes de tratamiento de pequeño porte (DOU)
- Resolución CD/ANPD n.º 4/2023 — Reglamento de Dosimetría y Aplicación de Sanciones Administrativas
- ANPD — Comunicación de Incidente de Seguridad (procedimiento y preguntas frecuentes)
- ANPD — Guía Orientativa sobre Seguridad de la Información para Agentes de Tratamiento de Pequeño Porte
- ANPD — Guía Orientativa sobre la Actuación del Encargado
- ANPD — Regulaciones publicadas (lista oficial)
