¿Se trata de una filtración de datos y debo notificarla?

Como empresario, usted es responsable de los datos personales de sus clientes y empleados. En el RGPD se le denomina responsable del tratamiento. Aquí puede leer cuándo algo es una brecha de seguridad, cuándo debe notificarla y qué debe hacer de inmediato. Esto es una explicación general y no constituye asesoramiento jurídico; en caso de duda, consulte la web de la Autoriteit Persoonsgegevens (AP) o consulte a un jurista.

¿Qué es una brecha de seguridad de datos personales?

Según el RGPD, el reglamento europeo de protección de datos, se trata de una violación de la seguridad que provoca la pérdida, destrucción o alteración de datos personales, o que estos lleguen a manos de alguien que no debería tener acceso a ellos (artículo 4, punto 12). Los datos personales son datos sobre una persona identificable, como un nombre, una dirección de correo electrónico, una dirección o un historial de pedidos. Por tanto, no se trata únicamente de ataques de hackers. Algunos ejemplos:

• un correo o un archivo adjunto con datos personales que se envía al destinatario equivocado;
• un portátil, teléfono o memoria USB perdido o robado con datos personales que no estaban cifrados;
• una cuenta de correo pirateada en la que hay facturas, presupuestos o cartas de candidatura;
• una web o tienda online de la que se han sustraído datos de clientes;
• un ransomware que le impide acceder a la gestión de sus clientes, incluso aunque no se haya copiado nada.

Los primeros pasos

1. Detenga la fuga. Pida al destinatario equivocado que elimine el correo y que se lo confirme. Cambie la contraseña de una cuenta de correo comprometida desde un dispositivo de confianza (consulte Contraseñas seguras y qué hacer si se filtra una contraseña).
2. Averigüe qué ha ocurrido. ¿Cuál es la causa, cuándo empezó, de qué datos se trata, de cuántas personas, quién puede acceder a ellos y estaban cifrados los datos? Anote todo, con fecha y hora.
3. Evalúe el riesgo para las personas cuyos datos se han visto afectados (vea más abajo).
4. Notifíquelo a la AP si es necesario, en un plazo de 72 horas.
5. Informe a los interesados si el riesgo para ellos es alto.
6. Regístrelo en su registro de brechas de seguridad. Esto debe hacerse siempre.

¿Debo notificarlo a la Autoriteit Persoonsgegevens?

Debe notificar una brecha de seguridad sin dilación indebida y, a ser posible, en un plazo de 72 horas desde que la haya detectado. No es necesario hacerlo si es probable que no suponga ningún riesgo para las personas cuyos datos se han visto afectados (artículo 33 del RGPD).

• El plazo empieza a contar desde que usted lo sabe, no desde que ocurrió la brecha. El fin de semana cuenta: si lo descubre un viernes a las 16:40, debe notificarlo a más tardar el lunes a las 16:40.
• Puede notificarlo de forma incompleta. Si pasadas 72 horas todavía no sabe todo, notifique lo que sepa y complete la notificación más adelante.
• Solo en línea. Debe notificarlo a través del formulario de notificación de la AP, no por teléfono, correo electrónico o correo postal. El cuestionario de la AP le ayuda a preparar la notificación.
• ¿Tiene dudas? La AP recomienda notificarlo de todos modos.

Estas preguntas ayudan a valorar la situación:

Un ejemplo: si roban un portátil bien cifrado, probablemente no hay riesgo. En ese caso no es necesario notificarlo, pero sí debe registrarlo. En un portátil sin cifrar, quien lo encuentre puede leerlo todo; en ese caso suele existir riesgo.

¿Cuándo informa a los interesados?

Si la brecha supone probablemente un riesgo alto para las personas cuyos datos se han visto afectados, debe informarles sin demora (artículo 34 del RGPD). Explique en un lenguaje sencillo qué ha ocurrido, cuáles pueden ser las consecuencias, qué está haciendo usted y qué pueden hacer ellos mismos, como cambiar una contraseña o prestar especial atención al phishing en su nombre.

No es necesario hacerlo si los datos eran ilegibles gracias a un buen cifrado, o si después ha tomado medidas que hacen que el riesgo alto ya no sea probable. Si contactar con todos supone un esfuerzo desproporcionado, puede hacer un comunicado público.

El registro de brechas de seguridad: llévelo siempre al día

Debe registrar toda brecha de seguridad, incluso si no la notifica (artículo 33, apartado 5). Anote los hechos, las consecuencias, las medidas tomadas y su valoración: por qué ha notificado o no, y por qué ha informado o no a los interesados. La AP dispone de un modelo de registro de brechas de seguridad.

¿Y si la brecha se produce en un proveedor?

Su proveedor de alojamiento, su programa de contabilidad en la nube o su servicio de newsletter son, según el RGPD, un encargado del tratamiento: una parte que trata datos personales por encargo suyo. Un encargado del tratamiento debe informarle sin dilación indebida si detecta una brecha de seguridad (artículo 33, apartado 2). Después, usted evalúa si debe notificarlo, y en principio es usted quien debe hacer la notificación.

Esto también se aplica si WebOké actúa como su encargado del tratamiento. ¿Cree que la brecha se ha producido en nuestros sistemas, por ejemplo en nuestros servidores? Póngase en contacto con nosotros de inmediato mediante un ticket en el Centro de soporte, indicando qué ha observado y cuándo.

Para saber más

• Copias de seguridad de WebOké: ver, restaurar o descargar una copia de seguridad
• Autoriteit Persoonsgegevens: notificar o no una brecha de seguridad
• Autoriteit Persoonsgegevens: cómo notificar una brecha de seguridad
• Autoriteit Persoonsgegevens: cuestionario del formulario de notificación
• Autoriteit Persoonsgegevens: modelo de registro de brechas de seguridad
• El RGPD, artículos 4, 33 y 34 (EUR-Lex)