Un fallo de sentencia sumaria a favor de un estado de EE.UU. contra una empresa de telecomunicaciones dejó en evidencia un riesgo que muchos equipos legales y de gobernanza subestiman: notificar una brecha de datos de forma técnicamente incompleta puede ser tan costoso como no notificar. El caso, analizado por abogados de BakerHostetler, ilustra cómo el estándar “close enough” —notificaciones que se aproximan al cumplimiento pero no lo alcanzan— se convierte en pasivo legal concreto.
La premisa parece simple: ocurre una brecha, la empresa notifica a los reguladores y a los afectados, y el expediente se cierra. Lo que el fallo en cuestión demuestra es que el contenido, el alcance y la precisión técnica de esa notificación son auditables y accionables. El estado demandante logró una sentencia sumaria argumentando que la notificación enviada por la telecom no cumplió con los requisitos legales vigentes, pese a que la empresa sí había comunicado el incidente. El matiz, en este contexto, tiene consecuencias millonarias.
Qué falló: el gap entre notificar y cumplir con los requisitos técnicos de notificación
Según se informó a partir del análisis de BakerHostetler, el problema central no fue la omisión de la notificación sino su insuficiencia técnica. Las leyes de notificación de brechas —tanto en EE.UU. como en la mayoría de las jurisdicciones de América Latina— exigen elementos específicos: descripción del incidente, categorías de datos comprometidos, número de afectados, medidas adoptadas y, en muchos casos, plazos estrictos de comunicación. Omitir uno de esos elementos, o describirlo de manera vaga, puede equivaler, a ojos de un regulador, a no haber notificado en absoluto.
El caso involucra a una empresa de telecomunicaciones —sector de alto perfil regulatorio en toda la región— y subraya que los grandes incidentes atraen un escrutinio diferencial. Cuando el volumen de afectados es significativo, las autoridades tienen mayor incentivo para revisar la calidad de la notificación, no solo su existencia. Un informe que llega en plazo pero que describe los datos comprometidos en términos genéricos, o que subestima el universo de afectados, puede transformar un procedimiento de cumplimiento en un litigio.
Argentina, Brasil y México: tres regímenes de notificación con distinto nivel de exigencia
En América Latina, el estándar de notificación varía significativamente entre jurisdicciones, lo que crea un mapa de riesgo asimétrico para empresas que operan en múltiples países. En Argentina, la Ley 25.326 de Protección de Datos Personales establece la obligación de notificar incidentes, y la Agencia de Acceso a la Información Pública (AAIP) ha ido precisando vía disposiciones los contenidos mínimos esperados. Sin embargo, la norma original —de 2000— no fue diseñada para el entorno de brechas masivas actuales, y el proyecto de reforma que lleva años en discusión parlamentaria busca, entre otras cosas, incorporar plazos explícitos y requisitos de contenido más detallados.
Brasil presenta el régimen más maduro de la región en este aspecto. La Lei Geral de Proteção de Dados (LGPD) establece en su artículo 48 la obligación de comunicar incidentes de seguridad a la Autoridade Nacional de Proteção de Dados (ANPD) y a los titulares afectados en un “prazo razoável”, que la ANPD ha ido precisando mediante resoluciones —actualmente orientadas hacia las 72 horas para incidentes de alto riesgo. La resolución CD/ANPD nº 15/2024 detalló los elementos mínimos que debe contener esa comunicación, acercando el estándar brasileño al europeo del GDPR. Una notificación que omita la descripción de las categorías de datos o el número estimado de afectados puede ser considerada incompleta, con las consecuencias sancionatorias que eso implica.
En México, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) obliga a notificar a los titulares cuando ocurra una vulneración que afecte “de manera significativa” sus derechos patrimoniales o morales, pero la regulación no establece un plazo explícito ni un formulario estandarizado para la notificación al Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI). Esa ambigüedad, paradójicamente, puede generar mayor exposición: sin un estándar claro, la autoridad tiene amplio margen interpretativo para determinar si una notificación fue suficiente.
Por qué las empresas de telecomunicaciones concentran mayor riesgo en la región
El sector de telecomunicaciones maneja datos de alta sensibilidad —geolocalización, comunicaciones, datos financieros asociados a facturación— y opera bajo doble regulación: la sectorial de las agencias de telecomunicaciones y la de protección de datos personales. En varios países de la región, esa superposición normativa implica que una brecha puede disparar procedimientos en dos frentes regulatorios simultáneos. Las empresas que operen en Colombia bajo la Ley 1581 de 2012 y la supervisión de la Superintendencia de Industria y Comercio (SIC), o en Chile bajo la nueva Ley 21.719 —que entró en vigor en 2026 y endureció significativamente el régimen de notificación—, enfrentan un escenario donde la calidad documental de la notificación puede ser determinante en el resultado de una investigación.
Qué monitorear: Chile 2026, la reforma argentina y la evolución del estándar ANPD
Tres hitos regulatorios definen la agenda inmediata en la región. Primero, la aplicación plena de la Ley 21.719 en Chile, que introduce requisitos de notificación con plazos de 72 horas para incidentes de alto riesgo y establece por primera vez un catálogo de elementos mínimos obligatorios en la comunicación a la Agencia de Protección de Datos Personales (APDP). Segundo, el estado de la reforma a la Ley 25.326 en Argentina, donde la AAIP ha impulsado un proyecto que, de aprobarse, elevaría el estándar de notificación al nivel de la LGPD brasileña. Tercero, las resoluciones complementarias de la ANPD de Brasil, que continúan precisando los criterios de suficiencia técnica de las notificaciones, generando jurisprudencia administrativa que el resto de la región observa de cerca.
Las empresas con operaciones regionales deberían revisar sus plantillas de notificación de incidentes contra los requisitos específicos de cada jurisdicción —no contra un estándar genérico— y documentar el proceso de decisión que llevó al contenido final de cada notificación. Esa documentación puede ser determinante si un regulador cuestiona, meses después, si la comunicación fue técnicamente suficiente.
Nuestro análisis
El fallo estadounidense sintetiza un problema estructural que la región está comenzando a enfrentar con mayor frecuencia: la notificación de brechas dejó de ser un trámite administrativo para convertirse en un acto jurídico con consecuencias propias. En América Latina, la tendencia regulatoria es clara —Brasil ya opera con un estándar cercano al GDPR, Chile acaba de adoptarlo, y Argentina busca actualizarse— pero la implementación corporativa no siempre acompañó ese endurecimiento. Muchas organizaciones tienen procesos de respuesta a incidentes razonablemente maduros en su dimensión técnica (contención, forensics, remediación) pero notablemente débiles en su dimensión legal-documental: quién decide qué se informa, con qué nivel de detalle, en qué plazo y con qué evidencia de respaldo. Ese gap es exactamente el que explotó el estado demandante en el caso analizado por BakerHostetler. El riesgo no es nuevo, pero la disposición de los reguladores a litigarlo sí parece estarlo.
Cuando un regulador puede ganar una sentencia sumaria por la calidad —no la ausencia— de una notificación, el estándar de cumplimiento cambió: la pregunta ya no es si se notificó, sino si la notificación hubiera resistido un interrogatorio judicial.
