Su empresa no está obligada al RNBD — pero sí a reportar incidentes en 15 días hábiles

La conversación sobre datos personales en una empresa mediana suele terminar en la misma frase: «nosotros no llegamos al umbral del RNBD». Es posible que sea cierto. Pero de ahí no se sigue lo que casi siempre se concluye. El deber de reportar un incidente de seguridad dentro de los quince (15) días hábiles alcanza también a quienes no están obligados a registrar sus bases de datos, y a los Encargados del Tratamiento. Son dos obligaciones distintas, con destinatarios distintos, y la Circular Única las separa en el mismo párrafo.

Dos obligaciones que se confunden

La primera es inscribir las bases de datos en el Registro Nacional de Bases de Datos. Tiene un destinatario acotado. El numeral 2.1 del Capítulo Segundo del Título V de la Circular Única lo describe así:

«Los Responsables del tratamiento, sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 Unidades de Valor Tributario (UVT) and personas jurídicas de naturaleza pública deben inscribir en el Registro Nacional de Bases de Datos -RNBD- la siguiente información, además de la establecida mediante el Capítulo 26 del Decreto Único 1074 de 2015.»

La segunda es reportar los incidentes de seguridad. Su destinatario es más amplio, y ese es el punto de esta guía. Si su empresa está por debajo del umbral, no se inscribe — pero sí reporta.

El texto que fija el plazo

El literal f) del numeral 2.1 se ocupa del «Reporte de novedades». Su ordinal (ii) define qué es un incidente de seguridad y fija el término para quienes están obligados a registrar:

«(ii) Incidentes de seguridad. Se refiere a la violación de los códigos de seguridad o la pérdida, robo y/o acceso no autorizado de información de una base de datos administrada por el Responsable del Tratamiento o por su Encargado, que deberán reportarse al RNBD por parte de los Responsables del Tratamiento que se encuentran obligados a registrar sus bases de datos en el RNBD dentro de los quince (15) días hábiles siguientes al momento en que se detecten y sean puestos en conocimiento de la persona o área encargada de atenderlos.»

El párrafo siguiente extiende el mismo término a los demás, y les indica por dónde:

«Los Responsables del Tratamiento que no se encuentren obligados a registrar sus bases de datos en el RNBD and los Encargados del Tratamiento, deberán hacer el reporte de los incidentes de seguridad que afecten la información contenida en estas mediante el aplicativo dispuesto para tal fin en la página web de la Superintendencia de Industria y Comercio en el micrositio de la Delegatura para la Protección de Datos Personales o mediante cualquiera de los canales habilitados por la entidad para recibir comunicaciones dentro de los quince (15) días hábiles siguientes al momento en que se detecten y sean puestos en conocimiento de la persona o área encargada de atenderlos.»

Los dos párrafos usan la misma fórmula temporal. Lo que cambia no es el plazo: es el canal.

La Guía para la gestión de incidentes de seguridad, publicada por la Delegatura para la Protección de Datos Personales en 2020, repite la misma lectura y le agrega una exigencia de diligencia: reportar «sin dilación indebida y a más tardar dentro los quince (15) días hábiles siguientes al momento en que se detecten y sean puestos en conocimiento de la persona o área encargada de atenderlos». Y precisa el contenido mínimo: «La notificación de un incidente de seguridad en Datos Personales debe contener, como mínimo, la información que establece el Registro Nacional de Bases de Datos (RNBD)». Añade además que, «independientemente del tamaño y complejidad del incidente de seguridad, todos los reportes deberán efectuarse a través del enlace previsto en la página web de la SIC».

El plazo no empieza a correr con el incidente

Esta es la parte que casi nunca se traduce en un procedimiento interno. El texto no dice «quince días hábiles desde el incidente», ni «desde la detección». Dice, en las dos ocasiones, «siguientes al momento en que se detecten y sean puestos en conocimiento de la persona o área encargada de atenderlos».

Son dos condiciones acumuladas, y la segunda supone algo que la organización debe haber definido de antemano: quién es esa persona o esa área. Si no está designada, el hito del que arranca el plazo no existe en ninguna parte, y usted quedará discutiendo con la autoridad una fecha que no puede probar.

De ahí tres consecuencias de diseño interno:

• Designe formalmente la persona o el área encargada de atender los incidentes de seguridad, con acto interno fechado.
• Deje constancia de la fecha y la hora en que el incidente le fue puesto en conocimiento, y por quién. Ese registro es el que fija el dies a quo.
• Documente también la detección. La Guía pide conservar en los registros internos «la fecha y hora del incidente de seguridad y del descubrimiento del mismo» — dos fechas, no una.

Qué más se reporta, y con qué periodicidad

El incidente es el evento excepcional. Para quien sí está obligado a registrar, el RNBD tiene además una cadencia ordinaria que conviene tener en el calendario, porque su incumplimiento se verifica con una sola consulta.

Qué cuenta como cambio sustancial no queda a criterio. El numeral 2.3 los enumera: los que se relacionen con «la finalidad de la base de datos, el Encargado del Tratamiento, los canales de atención al Titular, la clasificación o tipos de datos personales almacenados en cada base de datos, las medidas de seguridad de la información implementadas, la Política de Tratamiento de la Información y la transferencia y transmisión internacional de datos personales».

Sobre las medidas de seguridad, el literal b) del numeral 2.1 contiene una precisión que se pasa por alto y que cambia el argumento de defensa: el registro pide describir «los controles implementados por el Responsable del Tratamiento para garantizar la seguridad de las bases de datos que está registrando, teniendo en cuenta las preguntas dispuestas para el efecto en el RNBD», y acto seguido advierte que «tales preguntas no constituyen de ninguna manera instrucciones acerca de las medidas de seguridad que deben implementar los Responsables del Tratamiento de datos personales». El formulario no es un estándar de cumplimiento. Responderlo completo no acredita que las medidas fueran suficientes.

El plazo es una instrucción de la SIC, no un artículo de la ley

Conviene decirlo con precisión, porque cambia cómo se argumenta un caso. El deber de informar sí es legal. El literal n) del artículo 17 de la Ley 1581 de 2012 obliga al Responsable a:

«n) Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.»

Y el literal k) del artículo 18 impone el deber equivalente al Encargado: «Informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares». Ninguno de los dos fija término. La ley dice qué and a quién; no dice when.

Los quince días hábiles provienen de la Circular Única, es decir, de una instrucción administrativa de la Superintendencia. La propia Guía de la Delegatura lo atribuye así: «El Capítulo II, Título V de la Circular Única de la Superintendencia de Industria y Comercio establece que las organizaciones que están obligadas a inscribir las Bases de Datos Personales ante el Registro Nacional de Bases de Datos (…) deberán reportar el incidente de seguridad dentro los quince (15) días hábiles siguientes».

Esto no debilita el plazo: el literal o) del artículo 17 convierte en deber legal propio «cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio», y el literal l) del artículo 18 hace lo mismo para el Encargado. Pero sí ubica la discusión donde corresponde. Lo que se incumple al reportar tarde no es un artículo de la ley estatutaria: es una instrucción de la autoridad, cuyo desacato la ley sanciona por vía del literal o) y, en la graduación, del literal e) del artículo 24 —«la renuencia o desacato a cumplir las órdenes impartidas»—.

Lo que debe estar montado antes del incidente

Quince días hábiles alcanzan si la organización ya sabe qué hacer. No alcanzan si el plazo se consume decidiendo quién decide. La Guía organiza la respuesta en seis pasos —contener el incidente y hacer una evaluación preliminar; evaluar riesgos e impactos; identificar los daños; notificar a la SIC; comunicar a los Titulares; prevenir futuros incidentes— y advierte que «los pasos descritos deberán realizarse simultáneamente». No son etapas sucesivas: la notificación no espera a que termine la investigación.

El protocolo de respuesta

La Guía lo define como «un marco general que incorpora roles, responsabilidades y acciones que deben ser desplegadas al interior de las organizaciones para gestionar un incidente de seguridad», y exige que sea documentado, implementado, comunicado al equipo humano y monitoreado. Entre sus elementos, dos son directamente relevantes para el plazo: la línea de tiempo de ejecución —«el protocolo debe establecer los tiempos de atención a los incidentes de seguridad»— y los roles y responsabilidades del personal, incluidas «las que están en cabeza de la Alta Gerencia».

El equipo de respuesta

La Guía pide que el personal, sus roles y responsabilidades estén «plenamente definidos y documentados en el protocolo before de que ocurra un incidente de seguridad. De lo contrario, la respuesta al mismo se puede retrasar innecesariamente». Y añade una condición que suele faltar: «resulta indispensable que el equipo de respuesta tenga la autoridad para desarrollar los pasos descritos en el protocolo sin necesidad de solicitar permiso a otras instancias dentro de la organización».

Los registros internos

Es la pieza que sostiene la defensa si después hay investigación. La Guía enumera lo que deben incluir:

• Descripción general de las circunstancias del incidente, con las bases de datos y las clases de datos comprometidos.
• The categorías de Titulares afectados.
• The fecha y hora del incidente y del descubrimiento del mismo.
• Las indagaciones preliminares e investigaciones realizadas.
• The medidas correctivas.
• Los responsables del manejo del incidente.
• The prueba del reporte efectuado ante la SIC y de la comunicación a los Titulares, si fue necesaria.
• The evaluación del nivel de riesgo derivado del incidente y los factores tenidos en cuenta.

Sobre ese registro, la Guía fija un estándar de suficiencia que vale la pena leer como criterio probatorio: debe «contener suficientes detalles para que la autoridad evalúe si se actuó diligentemente en el manejo del incidente de seguridad».

La evaluación del riesgo, por su parte, se califica —según la metodología que cada organización defina— en bajo, medio, high or grave, y la Guía insiste en que «el foco de atención no se centrará en los riesgos que se ciernen sobre ella, sino por el contrario, en el riesgo para los Titulares de la información».

Lo que está en juego

El artículo 23 de la Ley 1581 fija el catálogo sancionatorio que la Superintendencia puede imponer a Responsables y Encargados:

El parágrafo acota el destinatario: «Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada». Frente a autoridades públicas, la Superintendencia «remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva».

Conviene recordar, además, que el reporte tardío rara vez llega solo. Detrás de un incidente hay un deber sustantivo previo: el literal d) del artículo 17 obliga a «conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento», y el principio de seguridad del literal g) del artículo 4 exige manejarla «con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros». La investigación por un incidente suele revisar las dos cosas: cómo se protegió y cómo se informó.

In summary

1. Verifique el umbral —activos totales superiores a 100.000 UVT, o naturaleza jurídica pública— para saber si debe inscribirse en el RNBD. Es una pregunta distinta de la siguiente.
2. Asuma que reporta incidentes en todo caso. Estar por debajo del umbral no exime, y el Encargado tampoco queda relevado.
3. Designe por escrito la persona o el área encargada de atender los incidentes. Sin ella, el plazo no tiene punto de partida demostrable.
4. Registre dos fechas: la de detección y la de puesta en conocimiento de esa persona o área.
5. Tenga el protocolo documentado, comunicado y con tiempos de atención definidos, y un equipo con autoridad para ejecutarlo.
6. Revise los contratos de transmisión: comunicación sin dilación indebida del Encargado, sin que ello lo releve de su propio reporte.
7. Ponga en el calendario los quince primeros días hábiles de febrero y agosto, y la ventana anual del 2 de enero al 31 de marzo, si está obligado a registrar.

Laws and case law cited

• Superintendencia de Industria y Comercio, Circular Única, Título V, Capítulo Segundo, numeral 2.1 literal f) ordinal (ii) — Definición del incidente de seguridad como violación de los códigos de seguridad o pérdida, robo y/o acceso no autorizado de información de una base de datos administrada por el Responsable o por su Encargado, y plazo de quince (15) días hábiles siguientes al momento en que se detecten y sean puestos en conocimiento de la persona o área encargada de atenderlos, tanto para los Responsables obligados a registrar sus bases en el RNBD como —por el párrafo siguiente— para los Responsables no obligados y los Encargados del Tratamiento, quienes reportan mediante el aplicativo del micrositio de la Delegatura para la Protección de Datos Personales o los canales habilitados por la entidad. Source
• Superintendencia de Industria y Comercio, Circular Única, Título V, Capítulo Segundo, numerales 2.1, 2.2 y 2.3 — Ámbito de la inscripción en el RNBD para sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT y personas jurídicas de naturaleza pública; información adicional que debe inscribirse, incluidas las medidas de seguridad y la advertencia de que las preguntas del formulario no constituyen instrucciones sobre las medidas a implementar; reporte semestral de reclamos de los Titulares; plazos de inscripción con remisión al artículo 2.2.2.26.3.1 del Decreto 1074 de 2015; actualización por cambios sustanciales y actualización anual; reserva de consulta pública sobre medidas de seguridad, reclamos e incidentes; y exención de actualización para quienes se registraron sin estar obligados. Source
• Superintendencia de Industria y Comercio, Delegatura para la Protección de Datos Personales, «Guía para la gestión de incidentes de seguridad en el tratamiento de datos personales» (2020) — Documento orientador, no normativo: corrobora el plazo de quince (15) días hábiles y añade el deber de reportar sin dilación indebida; contenido mínimo de la notificación conforme al RNBD; canal único a través del enlace previsto en la página web de la SIC; reporte cuando se acude a Encargados y advertencia de que las cláusulas contractuales no liberan al Encargado de notificar; conservación de registros internos con fecha del incidente y del descubrimiento; protocolo de respuesta, equipo de respuesta y seis pasos simultáneos; niveles de riesgo bajo, medio, alto y grave. El propio documento declara que no es un concepto legal ni constituye asesoría jurídica.
• Ley 1581 de 2012, artículos 4º, 17 y 18 — Principio de seguridad; deber de conservar la información bajo las condiciones de seguridad necesarias (art. 17 lit. d); deber de informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares (art. 17 lit. n), sin señalamiento de término; deber equivalente del Encargado ante la Superintendencia (art. 18 lit. k); y deber de cumplir las instrucciones y requerimientos de la Superintendencia (arts. 17 lit. o y 18 lit. l). Source
• Ley 1581 de 2012, artículos 23, 24 y 25 — Sanciones: multas de carácter personal e institucional hasta por 2.000 salarios mínimos mensuales legales vigentes, sucesivas mientras subsista el incumplimiento, suspensión de actividades hasta por seis meses, cierre temporal y cierre inmediato y definitivo de la operación que involucre datos sensibles, aplicables sólo a personas de naturaleza privada, con remisión a la Procuraduría General de la Nación frente a autoridades públicas; criterios de graduación, entre ellos la renuencia o desacato a cumplir las órdenes impartidas; y definición del Registro Nacional de Bases de Datos como directorio público administrado por la Superintendencia. Source