La Superintendencia de Protección de Datos Personales mediante resolución No. SPDP-SPD-2026-0040-R, expide la norma técnica para la notificación de vulneraciones de seguridad de los datos personales, estableciendo reglas para su gestión y seguimiento.
Puntos Claves
La norma establece un procedimiento digital para notificar vulneraciones de seguridad, fija plazos para responsables y encargados, y dispone el uso del sistema AIxSPDP como herramienta de apoyo para el análisis y gestión de riesgos.
Tipos de vulneración
Se distinguen tres posibles vulneraciones, que podrán presentarse de forma concurrente en un mismo incidente.
| Confidencialidad | Integridad | Disponibilidad |
| Divulgación no autorizada | Alteración o pérdida de la información | Imposibilidad de recuperar los datos |
Notificación Obligatoria
El responsable deberá reportar la vulneración a la SPDP a través del SISPDP y, cuando afecte derechos y libertades, informar al titular de forma clara y oportuna. La falta de notificación constituye una infracción grave.
El encargado deberá comunicar la vulneración al responsable en un máximo de 2 días; posteriormente, el responsable deberá notificar a la SPDP en el término de 5 días.
Vigencia
Esta resolución entrará en vigencia a partir de su publicación en el registro oficial.