Proyecto 25826: Obligar el cifrado y la notificación rápida ante filtraciones de datos personales

El proyecto propone reformar y añadir artículos a la Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales (Ley N.º 8968) para obligar a proteger los datos personales mediante cifrado, exigir notificaciones rápidas ante brechas de seguridad y ampliar sanciones por fallas en la custodia de la información. El texto presentado es un proyecto de ley pendiente de aprobación y contiene reglas nuevas sobre cifrado, notificación, responsabilidades, plazos de cumplimiento y sanciones.

El proyecto establece una obligación expresa de implementar salvaguardas de cifrado "de extremo a extremo" sobre todos los datos sensibles y de acceso restringido bajo la custodia de los responsables. En la práctica esto significa que tanto los datos en reposo (servidores, discos, respaldos, dispositivos) como los datos en tránsito (cuando viajan por redes internas o externas) deben permanecer cifrados según las pautas que fije la autoridad técnica. El Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones (MICITT) tendrá la función de definir y actualizar esos estándares criptográficos mínimos.

En materia de almacenamiento, el proyecto prohíbe de forma absoluta mantener repositorios de datos personales sensibles en formatos no cifrados o usando algoritmos reconocidos como obsoletos o vulnerables. Esa prohibición afecta tanto a entidades públicas como privadas que custodien información sensible; el texto indica que no podrá almacenarse datos sensibles en texto claro o sin protección equivalente.

Toda persona responsable de una base de datos pública o privada que confirme o tenga indicios fundados de una brecha que comprometa la confidencialidad, integridad o disponibilidad de datos personales deberá notificarlo a la Agencia de Protección de Datos de los Habitantes (Prodhab) "sin dilación indebida y en un plazo máximo de setenta y dos horas naturales" desde que tenga conocimiento. Cuando el tratamiento sea realizado por terceros externos, éstos deben comunicar el incidente al responsable de la base de datos de forma inmediata y, a más tardar, dentro de las veinticuatro horas siguientes a su detección. La notificación formal a Prodhab deberá contener, como mínimo, datos sobre la naturaleza del incidente, las categorías y el número aproximado de personas afectadas, las posibles consecuencias, el estado de cifrado de los registros y las medidas de contención ejecutadas; si no es posible aportar toda la información en 72 horas, se podrá enviar una comunicación preliminar y completar los detalles en fases sucesivas.

El proyecto incluye obligaciones de comunicación directa a las personas afectadas cuando la brecha suponga un alto riesgo para sus derechos e intereses. En esos casos el responsable deberá comunicar el suceso de manera expedita y directa a las personas afectadas mediante los contactos o medios previamente conocidos, con un lenguaje claro y recomendaciones concretas de seguridad y medidas para mitigar perjuicios.

En materia sancionatoria, el proyecto modifica los artículos que tipifican faltas y eleva las consecuencias económicas y administrativas. Establece rangos de multas según la gravedad de la falta: para faltas leves hasta veinte salarios base del cargo de auxiliar judicial I; para faltas graves, multas de veinte a cincuenta salarios base; y para faltas gravísimas, multas de cincuenta a ochenta salarios base y la suspensión del funcionamiento del fichero por uno a seis meses. También incorpora como faltas graves o gravísimas conductas concretas: omitir medidas técnicas mínimas de seguridad, almacenar datos sensibles sin aplicar los estándares de cifrado, retardar injustificadamente la notificación a Prodhab y a los titulares, administrar llaves criptográficas en contra de los lineamientos técnicos, y provocar o facilitar la sustracción o exfiltración de datos por dolo o negligencia inexcusable.

El proyecto fija plazos de implementación y reglas de transición. El MICITT debe reglamentar los estándares criptográficos obligatorios en un plazo de seis meses a partir de la publicación de la ley. La Administración Pública (central, descentralizada, territorial e institucional y las empresas públicas sujetas a la ley) dispondrá de un plazo prudencial de dieciocho meses para completar la adecuación criptográfica integral de sus sistemas y repositorios. Las personas físicas o jurídicas de carácter privado que administren bases de datos con información personal sensible o datos sobre el comportamiento crediticio contarán con un plazo de dos años para elaborar y ejecutar un plan de actualización técnica que cumpla las exigencias de cifrado fijadas en la ley.

En síntesis, el proyecto propone convertir en obligación legal medidas técnicas (cifrado), de organización (notificación y gobernanza de llaves) y sancionatorias (multas y suspensión) para reducir el valor y la exposición de los datos robados, acelerar la respuesta ante incidentes y forzar la actualización técnica de las custodias de datos. Estas reglas solo producirán efectos si el proyecto se aprueba y se cumplen los plazos de reglamentación e implantación indicados; por ahora son propuestas de cambio pendiente de trámite parlamentario.