Leyes de notificación de filtraciones de datos: Construya una estrategia de respuesta sólida y conforme

Con el número de filtraciones de datos reportadas aumentando constantemente cada año, aparecen en las noticias con tanta frecuencia que es difícil seguirlas todas. En 2017, Equifax sufrió una filtración masiva y se robaron casi 150 millones de registros de clientes (casi la mitad de la población de EE. UU.). En 2018, Marriott International experimentó una filtración donde se comprometieron cientos de millones de registros de clientes, incluyendo información personal, números de tarjetas de crédito e incluso números de pasaporte.

Las filtraciones de datos afectan a todo tipo de organizaciones: grandes y pequeñas, conocidas y desconocidas. Aunque las filtraciones de grandes empresas acaparan titulares, rara vez se oye hablar de empresas pequeñas que a menudo son vulnerables y se encuentran en la mira de los ciberdelincuentes. La mayoría implica algún tipo de piratería, como ataques de phishing o malware, donde un atacante logra acceder a información protegida o privada.

Leyes de notificación de filtraciones de datos: Es complicado

Si su empresa manufacturera sufre una filtración, ¿qué hará? ¿Notificará a las autoridades de inmediato? ¿A los clientes? ¿Hay a alguien más que informar? ¿Cuánto tiempo tiene?

Las respuestas son complejas. Aunque no existen leyes federales integrales, cada estado y territorio tiene su propia ley de notificación de filtraciones de datos. Estas leyes exigen que cualquiera que sufra, o incluso sospeche, una filtración notifique a los clientes sobre cualquier cosa que involucre información de identificación personal. Las leyes también exigen notificar a las autoridades y tomar medidas específicas para remediar la situación. Pero las leyes estatales varían considerablemente en cuanto a los tipos de información cubiertos, plazos de notificación y estándares de reporte. Quién debe cumplir y qué constituye exactamente datos personales varía de estado a estado. Aumentando la complejidad, los requisitos también cambian, con algunos estados actualizando recientemente sus leyes.

¿Cuánto tiempo tengo para reportar una filtración de datos?

La mayoría de las leyes de notificación exigen que las empresas notifiquen a los clientes sin demora injustificada. El plazo varía según el estado y el sector industrial. Al enfrentar una filtración, los fabricantes tienen responsabilidades competidoras: hacia su empresa, hacia otros en la industria, hacia los clientes y hacia las autoridades. Incluso hay circunstancias donde las autoridades investigan una filtración y esta debe ocultarse temporalmente.

Prepárese para las filtraciones de datos antes de que ocurran

Trate los planes de notificación de filtraciones como cualquier otro plan de desastre: ¡no espere! Dado que no existe una respuesta única y estándar a una filtración, los fabricantes de EE. UU. deben comprender las leyes estatales y federales específicas que les aplican. Los fabricantes deben considerar las leyes de todos los estados donde operan.

Afortunadamente, existen varios excelentes recursos a los que los fabricantes pueden recurrir para mayor claridad. Varias organizaciones resumen las leyes estatales de filtración de datos, incluyendo la Conferencia Nacional de Legislaturas Estatales, IT Governance y Perkins Coie.

Para garantizar que su empresa manufacturera cumpla con las leyes de protección de datos, debe mantenerse al tanto de las regulaciones actuales de su estado e industria. Una filtración siempre será un evento estresante. La conciencia de sus obligaciones y un plan establecido pueden aliviar parte del estrés y ayudarle a evitar multas elevadas. Aquí tiene algunos consejos:

• Identifique las leyes estatales e industriales que cubren su empresa
• Documente los requisitos de notificación de filtraciones que afectan a su empresa, junto con el proceso(es) para cumplir esos requisitos en el peor escenario
• Cree una política en torno a los requisitos de notificación que afectan a su empresa
• Si hay regulaciones superpuestas, use la más estricta para la política de su empresa
• Prepare borradores de cartas y correos de notificación con antelación
• Cree una estrategia clara de comunicación para filtraciones y hágala revisar por los departamentos legal y de relaciones públicas de su empresa con antelación, si es necesario

La Red Nacional MEP está lista para ayudarle

Para ayuda en la comprensión de las leyes de notificación de filtraciones de datos de su estado y otras preguntas de ciberseguridad, puede contactar a uno de los 51 Centros MEP, ubicados en los 50 estados y Puerto Rico, que forman parte de la Red Nacional MEP^TM.