Brecha de datos: qué hacer en las primeras 72 horas

Una brecha de datos debe notificarse a la autoridad de protección de datos en las 72 horas siguientes a tener conocimiento de ella, salvo que sea improbable que suponga un riesgo para las personas afectadas. Toda brecha debe documentarse, también las que no se notifican.

Las brechas de datos rara vez parecen una escena de película. Suele ser un correo con una lista de clientes enviado a la dirección equivocada, un portátil olvidado en el tren o un buzón tomado mediante phishing. Entonces cuentan la cabeza fría y un orden claro de pasos.

Qué se considera una brecha de datos

El RGPD habla de «violación de la seguridad de los datos personales»: datos personales destruidos, perdidos, alterados, comunicados sin autorización o consultados por alguien que no debería tener acceso, ya sea por accidente o a propósito. Ejemplos:

• un correo con datos personales enviado al destinatario equivocado
• un portátil o móvil con datos de clientes perdido o robado
• un ransomware que cifra el servidor
• una cuenta tomada mediante phishing

Las primeras horas

1. Anota el momento en que te enteraste. Desde entonces corren las 72 horas.
2. Detén la fuga: cambia contraseñas, bloquea accesos, desconecta los dispositivos afectados, pide al destinatario equivocado que borre el correo.
3. Aclara qué ha pasado, qué datos están afectados y cuántas personas.
4. Evalúa el riesgo para las personas afectadas: ¿qué les podría pasar por ello?

¿Notificar o no?

Si es improbable que la brecha suponga un riesgo para las personas afectadas, no tienes que notificarla, pero sí documentarla (art. 33.5 RGPD). Un ejemplo típico: se pierde un portátil cifrado y la clave no estaba con él. En todos los demás casos, notifícala a la autoridad de protección de datos sin dilación indebida y, si es posible, en 72 horas (art. 33 RGPD). En Austria, la Datenschutzbehörde ofrece un formulario para ello en su web. Si aún no conoces todos los hechos, notifica lo que sabes y completa el resto después.

Cuándo hay que informar a los afectados

Si el riesgo es alto, por ejemplo con datos de salud, datos bancarios o contraseñas, también debes informar sin dilación indebida a las personas afectadas, en lenguaje claro: qué ha pasado, qué haces al respecto y qué pueden hacer ellas mismas, como cambiar una contraseña (art. 34 RGPD).

Si interviene un proveedor de servicios

Si la brecha se produce en un encargado del tratamiento, como tu proveedor de TI o servicio en la nube, debe informarte sin dilación indebida (art. 33.2 RGPD). La obligación de notificar a la autoridad sigue siendo tuya como responsable. Asegúrate de que tus contratos de encargo de tratamiento lo regulen.

Prepararse es tenerlo medio resuelto

Imprime nuestra lista de comprobación para brechas de datos y acordad de antemano quién decide y quién notifica. Si ocurre y necesitas ayuda, escríbenos.