Reportes de incidentes de seguridad: ¿modelo punitivo o de aprendizaje?

El texto cuestiona el régimen colombiano de reporte de incidentes de seguridad en materia de protección de datos personales, regulado por la Circular Única de la SIC. El autor señala que, a diferencia del GDPR europeo —que exige documentar todo incidente pero reportar solo los que representen un riesgo para los derechos y libertades de los titulares—, en Colombia no existe umbral alguno, de modo que las organizaciones deben reportar cualquier incidente y quedan expuestas a investigaciones y multas de hasta 2.000 SMMLV. Argumenta que este enfoque punitivo desincentiva la transparencia y sugiere adoptar un modelo de reporte selectivo basado en el riesgo, alineado con el principio de responsabilidad demostrada y con los criterios de proporcionalidad y eficiencia del artículo 3 de la Ley 1437 de 2011. Propone que la SIC expida nuevos lineamientos orientados a la prevención y al aprendizaje continuo.