Ciberataques y control de daños

Esta es una de las tantas modificaciones legislativas incluidas en un anteproyecto de ley propuesto por la Dirección Nacional de Protección de Datos Personales para modificar la ley vigente en esta materia. A comienzos de 2017, el anteproyecto fue objeto de una consulta pública abierta en el marco del programa Justicia 2020 del Ministerio de Justicia y Derechos Humanos de la Nación. En ese marco se recibieron numerosas observaciones que llevaron a sensibles modificaciones a la versión original, aunque en el tema que estamos tratando hubo bastante acuerdo en la necesidad de incorporar la obligación de informar.

Sin perjuicio de que esta nueva versión es reciente y algunos aspectos siguen bajo estudio, es importante destacar que define que un incidente de seguridad de datos personales es "cualquier hecho ocurrido en cualquier fase del tratamiento de datos que implique la pérdida o la destrucción no autorizada, el robo, el extravío o la copia no autorizada, el uso, el acceso o el tratamiento de datos no autorizado, o el daño, la alteración o la modificación no autorizada". En segundo lugar, el proyecto estipula que, una vez que ocurre el incidente de seguridad, el responsable del tratamiento de datos debe notificarlo a la autoridad de control y al titular de los datos sin dilación indebida una vez que haya tenido constancia del incidente. La falta de notificación puede acarrear, según se dispone en la normativa propuesta, sanciones pecuniarias para el responsable que omite tal notificación de manera injustificada.

Estas disposiciones son consistentes con lo que estipulan las leyes más avanzadas de protección de datos personales a nivel global. Por ejemplo, el nuevo Reglamento Europeo de Protección de Datos, que empezará a regir como obligatorio en el ámbito de la Unión Europea a partir del año próximo, impone una obligación similar.

Por supuesto que la notificación, tanto a una autoridad de control como a la Dirección Nacional de Protección de Datos Personales, al titular de los datos, por sí sola no minimiza en todos los casos los daños que el ataque puede haber producido o la continuación del daño o del ataque mismo. Pero hasta intuitivamente es fácil advertir que si algo fuera de lo común pasara con nuestros datos personales, nuestra preferencia sería saberlo para, al menos, evaluar los cursos de acción a seguir.

Ya que la legislación actual no tiene prevista esta obligación, hoy la única herramienta con la que cuenta la Dirección es iniciar investigaciones de oficio cuando, en casos en que puede presumirse gravedad, los medios de comunicación hayan puesto en evidencia un ciberataque.

Este cambio a la ley actual, así como otros propuestos, es necesario para adecuar una legislación que ya tiene más de quince años de vigencia a circunstancias y conductas que, al momento de su sanción, eran inexistentes. También sirve para adecuar la legislación argentina a los estándares internacionales. El impulso dado por el propio Presidente de la Nación, quien anunció al abrir las sesiones legislativas de este año la decisión del Poder Ejecutivo de enviar al Congreso un proyecto de reforma a la actual ley de protección de datos personales es, a no dudarlo, una buena noticia.