Aplicación del Principio de Responsabilidad Demostrada frente a incidentes de seguridad en el tratamiento de datos personales: análisis de Colombia, Brasil, Perú y México

Abstract

El presente artículo examina cómo el Principio de Responsabilidad Demostrada (PRD) y el deber de seguridad, concebidos para una protección de datos práctica y actualizada, se ven afectados cuando un incidente de seguridad se considera automáticamente prueba de incumplimiento, generando un riesgo moral que desincentiva la inversión en prevención. Se propone que una evaluación adecuada del deber de seguridad, aplicando el PRD, requeriría que la Autoridad Nacional de Protección de Datos (ANPD) analice la evaluación de riesgos del Responsable, la idoneidad de las medidas de seguridad y su actuación post-incidente. El estudio de casos concretos en Colombia, Brasil, Perú y México revela una diversidad en la aplicación, con algunos casos donde la mera ocurrencia del incidente implica responsabilidad, y otros donde se realiza un análisis más profundo de las medidas implementadas. Finalmente, se plantea un análisis tripartito para considerar los ciberataques como eximentes de responsabilidad bajo ciertas circunstancias, buscando reconciliar el PRD con el deber de seguridad y fomentar una gestión de riesgos diligente.