Cuando un incidente golpea a un grupo fintech: de la primera hora al informe final del regulador

• RGPD y UK GDPR: 72 horas desde que el responsable tiene conocimiento de una violación de datos personales.
• DORA: 4 horas desde que el incidente de TIC se clasifica como grave, y a más tardar 24 horas desde el conocimiento.
• RPAA (Banco de Canadá): 48 horas después de que el PSP determine que el incidente es material.
• NYDFS Part 500: 72 horas después de determinar que hubo un incidente, también en un proveedor.
• PDPA (Singapur): 3 días naturales tras evaluar la brecha como notificable.
• Safeguards Rule de la FTC: 30 días desde el descubrimiento si hay 500 consumidores o más.

Nuestro primer documento es un registro con hora de detección, clasificación y evaluación, base de todos los avisos.

1. Contención. Desactivar cuentas y claves comprometidas, aislar servidores, cerrar la vía de entrada.
2. Evidencias. Capturar registros, imágenes e instantáneas antes de reconstruir nada, con la cadena de custodia.
3. Alcance. Sistemas, categorías de datos, clientes y operaciones afectados; en una brecha de datos KYC, pasaportes, selfis y direcciones por separado.
4. Clasificación. Para cada jurisdicción del grupo, si se alcanza el umbral de notificación y cuándo empezó el plazo.
5. Borradores. Textos de aviso basados en hechos establecidos. El RGPD permite expresamente facilitar la información por fases cuando no puede reunirse toda a la vez (art. 33(4)).

La decisión de notificar es suya, de su DPD y de su abogado; nosotros les damos hechos fiables.

El aviso describe la violación, las personas y registros afectados, el contacto del DPD, las consecuencias y las medidas (art. 33(3)); pasadas las 72 horas, explica el retraso. Un encargado, como su proveedor de KYC, informa al responsable sin dilación indebida (art. 33(2)).

Reino Unido

El UK GDPR mantiene el plazo de 72 horas. Desde el 30 de septiembre de 2026, su artículo 33 designa como destinataria a la Information Commission, sucesora de la ICO.

Un registro de cada brecha

Cada violación se documenta, se notifique o no (art. 33(5)); en Canadá, PIPEDA exige conservar esos registros 24 meses. Construimos el registro mientras trabajamos.

Los plazos los fija el Reglamento Delegado (UE) 2025/301 de la Comisión. Si el incidente se clasifica como grave más de 24 horas después del conocimiento, la notificación inicial vence 4 horas después de la clasificación (art. 5(2)).

Para una EDE autorizada en la UE es el plazo más corto del grupo, así que criterios de clasificación y plantilla de aviso deben existir de antemano; ensayamos un escenario con los relojes de DORA y del RGPD a la vez. La seguridad de los datos personales en sí la tratamos en nuestra página de protección de datos.

El informe recoge cronología, vía de entrada, sistemas y datos afectados, recuperación, medidas y fecha de la nueva revisión: una versión breve para la dirección y el banco, un anexo técnico para el regulador. Después ajustamos el plan donde se perdió tiempo.