¿Se trata de una brecha de datos y debo notificarla?

Como empresario, usted es responsable de los datos personales de sus clientes y empleados. En el RGPD se le denomina responsable del tratamiento. Aquí puede leer cuándo algo es una brecha de datos, cuándo debe notificarla y qué debe hacer de inmediato. Se trata de una explicación general y no de asesoramiento jurídico; en caso de duda, consulte el sitio web de la Autoriteit Persoonsgegevens (AP), la autoridad neerlandesa de protección de datos, o pregunte a un jurista.

¿Qué es una brecha de datos?

Según el RGPD, la ley europea de privacidad, es una violación de la seguridad que provoca la pérdida, destrucción o alteración de datos personales, o que estos lleguen a alguien que no debería tener acceso a ellos (artículo 4, punto 12). Los datos personales son datos sobre una persona identificable, como un nombre, una dirección de correo electrónico, una dirección postal o un historial de pedidos. Por lo tanto, no se trata solo de hackers. Algunos ejemplos:

• un correo o un archivo adjunto con datos personales que se envía al destinatario equivocado;
• un portátil, teléfono o memoria USB perdido o robado con datos personales que no estaban cifrados;
• un buzón de correo hackeado que contiene facturas, presupuestos o cartas de solicitud de empleo;
• un sitio web o tienda online del que se han robado datos de clientes;
• un ransomware que le impide acceder a su base de datos de clientes, aunque no se haya copiado nada.

Los primeros pasos

1. Detenga la brecha. Pida al destinatario equivocado que elimine el correo y que se lo confirme. Cambie la contraseña de un buzón de correo comprometido desde un dispositivo de confianza (consulte Contraseñas seguras y qué hacer si se ha filtrado una contraseña).
2. Determine qué ha ocurrido. ¿Cuál es la causa, cuándo empezó, de qué datos se trata, de cuántas personas, quién tiene acceso a ellos y estaban cifrados? Anótelo todo, con fecha y hora.
3. Evalúe el riesgo para las personas a las que pertenecen los datos (vea más abajo).
4. Notifíquelo a la AP si es necesario, en un plazo de 72 horas.
5. Informe a los interesados si el riesgo para ellos es alto.
6. Anótelo en su registro de brechas de datos. Esto debe hacerlo siempre.

¿Debo notificarlo a la Autoriteit Persoonsgegevens?

Debe notificar una brecha de datos sin dilación indebida y, si es posible, en un plazo de 72 horas desde que la haya descubierto. No es necesario si es improbable que suponga un riesgo para las personas a las que pertenecen los datos (artículo 33 del RGPD).

• El plazo empieza a contar cuando usted lo sabe, no cuando se produjo la brecha. El fin de semana también cuenta: si la descubre el viernes a las 16:40, debe notificarla como muy tarde el lunes a las 16:40.
• Se permite una notificación incompleta. Si pasadas 72 horas todavía no lo sabe todo, notifique con lo que sepa y complete la notificación más adelante.
• Solo en línea. La notificación se realiza mediante el formulario de notificación de la AP, no por teléfono, correo electrónico ni correo postal. Con el cuestionario de la AP puede preparar la notificación.
• ¿Tiene dudas? En ese caso, la AP recomienda notificarlo de todos modos.

Estas preguntas le ayudarán a valorarlo:

Un ejemplo: si roban un portátil bien cifrado, probablemente no haya riesgo. En ese caso no es necesario notificarlo, pero sí debe anotarlo en su registro. En un portátil sin cifrar, quien lo encuentre puede leerlo todo; en ese caso suele haber riesgo.

¿Cuándo debe informar a los interesados?

Si es probable que la brecha suponga un riesgo alto para las personas a las que pertenecen los datos, debe informarles sin dilación (artículo 34 del RGPD). Explique en un lenguaje sencillo qué ha ocurrido, qué consecuencias puede tener, qué está haciendo usted y qué pueden hacer ellos mismos, como cambiar una contraseña o prestar especial atención al phishing en su nombre.

No es necesario si los datos eran ilegibles gracias a un buen cifrado, o si después ha tomado medidas que hacen que el riesgo alto ya no sea probable. Si contactar con todos supone un esfuerzo desproporcionado, debe hacer una comunicación pública.

El registro de brechas de datos: manténgalo siempre

Debe documentar cada brecha de datos, también si no la notifica (artículo 33, apartado 5). Anote los hechos, las consecuencias, las medidas y su valoración: por qué ha notificado o no y por qué ha informado o no a los interesados. La AP dispone de un modelo de registro de brechas de datos.

¿Y si la brecha se produce en un proveedor?

Su empresa de hosting, su programa de contabilidad en la nube o su servicio de newsletters es, según el RGPD, un encargado del tratamiento: una parte que trata datos personales por encargo suyo. Un encargado del tratamiento debe informarle sin dilación indebida si descubre una brecha de datos (artículo 33, apartado 2). A continuación, usted valora si debe notificarla y, en principio, la notificación la realiza usted mismo.

Esto también se aplica si WebOké es su encargado del tratamiento. Los acuerdos al respecto figuran en nuestro contrato de encargo del tratamiento, consulte Contrato de encargo del tratamiento: ¿dónde lo encuentro? ¿Cree que la brecha se ha producido en nuestros sistemas, por ejemplo en nuestros servidores? Póngase en contacto con nosotros de inmediato mediante un ticket en el Centro de soporte, indicando lo que ha visto y cuándo.

Más información

• WebOké Backups: ver, restaurar o descargar una copia de seguridad
• Autoriteit Persoonsgegevens: notificar o no
• Autoriteit Persoonsgegevens: cómo notificar una brecha de datos
• Autoriteit Persoonsgegevens: cuestionario del formulario de notificación
• Autoriteit Persoonsgegevens: modelo de registro de brechas de datos
• El RGPD, artículos 4, 33 y 34 (EUR-Lex)

¿Quiere aprender más? Siga el curso gratuito Seguridad en línea para empresarios, lección 8.2 Brechas de datos y la obligación de notificación.