Las empresas de telecomunicaciones ya no podrían usar la negligencia como defensa para las violaciones de datos, ya que la FCC también busca acelerar la notificación pública de las violaciones. La FCC planea una revisión estricta de la normativa estadounidense sobre violación de datos, que tiene 15 años de antigüedad.
La Comisión Federal de Comunicaciones (FCC) ha propuesto una revisión de la legislación de 15 años. Esto podría reducir drásticamente la cantidad de tiempo que las empresas de telecomunicaciones tienen para informar las violaciones de datos a los clientes y las autoridades.
Las leyes actuales requieren que las empresas de telecomunicaciones informen las infracciones dentro de un máximo de siete días después del descubrimiento a las autoridades pertinentes. Los clientes pueden ser notificados tan pronto como sea posible después de este período. Las autoridades que reciben los informes de incumplimiento incluyen el Servicio Secreto de los Estados Unidos (Servicio Secreto) y la Oficina Federal de Investigaciones (FBI). Sin embargo, esta regla puede eliminarse y la guía de informes cambiarse a «tan pronto como sea posible».
En la actualidad, los clientes solo pueden ser notificados después de este período de siete días y en ausencia de cualquier objeción del Servicio Secreto o del FBI. En la propuesta, la FCC también sugiere que los clientes deben ser informados de una violación de datos «sin demoras injustificadas«. Esto es a menos que las fuerzas del orden público soliciten lo contrario.
La FCC planea una revisión estricta de la normativa estadounidense sobre violación de datos, que tiene 15 años de antigüedad
La definición de ‘violación‘ también se ampliaría en los cambios propuestos. Incluiría «acceso, uso o divulgación involuntarios de información del cliente«. Desde 2007, la FCC solo ha considerado las infracciones de datos que se han producido como resultado del acceso intencional a los datos sin o excediendo la autorización.
Si se aprueban las propuestas, esta definición actualizada afectaría a las empresas que sufrieron una infracción como resultado de una negligencia. Esto es en lugar de un ataque cibernético. Podría motivar a las empresas de telecomunicaciones de EE. UU. a proteger los datos de los clientes de manera más juiciosa.
La agencia ha buscado comentarios sobre las propuestas publicitadas durante 30 días. Se solicitó información específica para cambios como el plazo para la presentación de informes. También una definición precisa de cuándo una empresa ha «determinado razonablemente» que se ha producido una violación de datos.
También busca determinar si el contenido de las notificaciones de violación de datos es suficiente o si hay información adicional que los operadores podrían proporcionar.
La FCC citó otras leyes, como las reglas establecidas por la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) que requieren que los propietarios de infraestructuras críticas informen los ataques cibernéticos dentro de las 72 horas. También mencionó el RGPD, que exige que las violaciones de datos se informen en el mismo período de tiempo.
Como parte del período de comentarios, la FCC también cuestionó abiertamente si un umbral numérico para la cantidad de clientes afectados por una infracción antes de que deba informarse podría ser beneficioso.
Señaló que los incidentes más pequeños pueden no constituir ataques coordinados a los datos de los consumidores. Dicho umbral podría liberar los recursos tanto de las empresas de telecomunicaciones como de los reguladores actualmente presionados por el exceso de informes de pequeñas infracciones.