Filtraciones de datos y la obligación de notificación
Módulo 8: Cuando algo sale mal · Tiempo de lectura: 11 minutos
Objetivo de aprendizaje: Después de esta lección podrá determinar si algo es una filtración de datos, si debe notificarla en un plazo de 72 horas a la Agencia Española de Protección de Datos y si debe informar a los interesados, y podrá registrarla en un registro de filtraciones de datos.
Conceptos clave: datos personales, filtración de datos (violación de la seguridad de los datos personales), responsable del tratamiento, encargado del tratamiento, artículos 33 y 34 del RGPD, sede electrónica para notificaciones de filtraciones, 72 horas, riesgo y alto riesgo, registro de filtraciones de datos
¿Qué es una filtración de datos?
Al oír "filtración de datos", mucha gente piensa en hackers que roban una base de datos. Esa es una de las formas posibles. El RGPD utiliza una descripción más amplia: una violación de la seguridad de los datos personales es una violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos (artículo 4, punto 12).
Los datos personales son todos los datos sobre una persona identificable: un nombre, una dirección de correo electrónico como jan.jansen@..., un número de teléfono, una dirección, un número de cliente con historial de pedidos, una fotografía, una dirección IP combinada con otros datos. Los datos sobre una empresa como tal (número de registro mercantil, dirección general) no lo son, pero los datos de la persona de contacto sí.
Por eso, todo esto son filtraciones de datos:
- un correo con una lista de clientes que se envía al destinatario equivocado;
- un boletín en el que todos los destinatarios son visibles en el campo Para o CC;
- una memoria USB o un portátil perdidos con datos del personal, si no estaban cifrados;
- un ransomware que cifra la administración de clientes (los datos dejan de estar disponibles, incluso si no se ha copiado nada);
- un buzón de correo tomado por un atacante que contiene facturas con nombres y direcciones;
- un enlace compartido a una carpeta con cartas de solicitud de empleo que está abierta para cualquiera.
La expresión "violación de la seguridad" muestra que no se trata solo de confidencialidad. También cuentan la pérdida (los datos han desaparecido) y la alteración (alguien ha modificado números de cuenta).
¿Quién es responsable: usted o su proveedor?
El RGPD contempla dos figuras.
- El responsable del tratamiento determina por qué y cómo se tratan los datos personales. Para los datos de sus clientes y empleados, ese es usted, como empresario.
- Un encargado del tratamiento trata datos por encargo suyo: su proveedor de alojamiento, su programa de contabilidad en la nube, su servicio de boletines, su proveedor de informática.
Si se produce una filtración en un encargado del tratamiento, este debe notificárselo sin dilación indebida (artículo 33, apartado 2). Usted evalúa entonces si debe notificarlo a la AEPD y a los interesados, y en principio es usted quien notifica (salvo que hayan acordado que el encargado lo haga en su nombre). La obligación sigue siendo suya, aunque el fallo haya sido de otra parte. Por eso, en un contrato de encargo del tratamiento se recogen acuerdos sobre la rapidez y la forma en que un encargado le informa (lección 7.2).
El reloj de las 72 horas
El artículo 33 del RGPD establece que debe notificar una filtración de datos sin dilación indebida y, de ser posible, a más tardar en 72 horas, después de tener constancia de ella, a la Agencia Española de Protección de Datos. La excepción: que sea improbable que la filtración constituya un riesgo para los derechos y libertades de las personas.
Hay cuatro puntos que suelen malinterpretarse:
- El reloj empieza cuando usted tiene constancia de ello, no cuando ocurrió la filtración. "Tener constancia" significa: usted tiene la certeza razonable de que existe una violación que afecta a datos personales. Una primera valoración breve está permitida, pero quien deliberadamente no mira, no retrasa el reloj.
- 72 horas son 72 horas, también en fin de semana y festivos. Si descubre una filtración el viernes a las 16:40, el plazo máximo es el lunes a las 16:40.
- Se permite notificar de forma incompleta. Si transcurridas 72 horas aún no sabe todo, notifique con lo que sepa y complete la información más adelante. Si notifica más tarde de 72 horas, debe explicar por qué; la AEPD solo lo acepta en casos excepcionales.
- Lo que importa es el riesgo para las personas, no el daño para su empresa.
Descubierto: viernes 16:40 -> empieza el reloj
sábado (cuenta)
domingo (cuenta)
A más tardar lunes 16:40 -> notificación a la AEPD (puede ser incompleta)La notificación se realiza únicamente a través del formulario en línea de la sede electrónica de la Agencia Española de Protección de Datos (AEPD); no es posible hacerlo por teléfono, correo electrónico o carta. La AEPD dispone de un cuestionario que permite preparar la notificación de antemano. Debe indicar, entre otras cosas, qué ocurrió, cuándo, qué datos y a cuántas personas afecta, cuáles pueden ser las consecuencias y qué medidas ha tomado. Aquí es donde el registro de la lección 8.1 da sus frutos.
Cuándo notificar y cuándo no: la valoración del riesgo
Debe evaluar la probabilidad y la gravedad de las consecuencias para los interesados. Piense en: fraude de identidad, daño financiero, discriminación, daño reputacional o pérdida de control sobre sus datos. Preguntas que ayudan:
| Pregunta | Riesgo más bajo | Riesgo más alto |
|---|---|---|
| ¿Qué datos? | Solo datos de contacto profesionales | DNI/NIE, copia del documento de identidad, IBAN, contraseñas, datos médicos, datos de menores |
| ¿Cuántas personas? | Una o unas pocas | Cientos o más |
| ¿Legible para quien lo recibió? | Fuertemente cifrado, clave no filtrada | Legible, o cifrado con una contraseña filtrada |
| ¿Quién lo tiene? | Un destinatario conocido y fiable que confirma que lo ha eliminado | Un desconocido, un delincuente, o público en internet |
| ¿Sigue disponible? | Copia de seguridad reciente, restaurado rápidamente | Desaparecido o inaccesible durante mucho tiempo |
Dos ejemplos que se repiten con frecuencia:
- Portátil cifrado robado, contraseña fuerte, clave no filtrada, copia de seguridad reciente: probablemente no hay riesgo. No se notifica a la AEPD, pero sí se registra.
- Tienda online hackeada, el atacante ha obtenido direcciones de correo y contraseñas almacenadas de forma débil: hay riesgo, por lo que se debe notificar. Y como las personas suelen reutilizar sus contraseñas (lección 1.4), existe un riesgo alto: hay que informar a los interesados.
¿Tiene dudas? Entonces notificar suele ser la opción más segura. La propia AEPD también aconseja notificar en caso de duda. La información nueva se comunica más adelante mediante una notificación complementaria.
Informar a los interesados: en caso de alto riesgo
El artículo 34 se refiere a las personas cuyos datos son objeto de la filtración. Si es probable que la filtración entrañe un riesgo alto, debe informarles sin dilación: tan pronto como sea razonablemente posible. No existe un plazo de 72 horas para esto, pero esperar hasta tenerlo todo averiguado tampoco es la intención.
En el mensaje se explica con un lenguaje claro qué ocurrió, cuáles son las probables consecuencias, qué está haciendo usted y qué pueden hacer ellos mismos (por ejemplo, cambiar su contraseña en otros servicios, estar alerta ante el phishing enviado en su nombre, avisar a su banco), además de indicar una persona de contacto.
No es necesario informar si había adoptado medidas apropiadas que hacían los datos ininteligibles (como un buen cifrado), si posteriormente ha adoptado medidas que hacen que el alto riesgo ya no sea probable, o si ello exige un esfuerzo desproporcionado: en ese caso se hace una comunicación pública (artículo 34, apartado 3).
Tenga en cuenta que el phishing suele seguir a una filtración de datos. Los delincuentes conocen entonces quiénes son sus clientes y les envían un correo "en su nombre". Advierta también de esto a sus clientes.
El registro de filtraciones de datos: siempre
El artículo 33, apartado 5, le obliga a registrar todas las filtraciones de datos, también cuando no las notifique. Registre: los hechos, las consecuencias, las medidas adoptadas y su valoración (por qué sí o no se notificó, por qué sí o no se informó). Puede elegir el formato; la AEPD dispone de un modelo de registro de filtraciones de datos. Una tabla sencilla es suficiente:
Nº | Descubierto (fecha/hora) | Qué ocurrió | Qué datos, cuántas personas
| Consecuencias | Medidas | ¿Notificado a la AEPD? (sí/no + por qué, fecha)
| ¿Informados los interesados? (sí/no + por qué) | Resuelto (fecha)El registro también le resulta útil a usted mismo: si ve tres veces al año "correo al destinatario equivocado", sabrá dónde debe mejorar (por ejemplo, un retardo al enviar, o dejar de adjuntar listas de clientes, lección 7.3).
Filtración de datos y la transposición de NIS2: dos notificaciones distintas
Si su organización está sujeta a la transposición española de NIS2 (lección 9.1), se aplica además una obligación de notificación para incidentes significativos: una alerta temprana en un plazo de 24 horas, una notificación en un plazo de 72 horas y un informe final en el plazo de un mes, a través del canal designado por la autoridad competente. Se trata de una notificación distinta, con otro objetivo (la continuidad de los servicios) y ante otra autoridad. Un ataque de ransomware puede, por tanto, estar sujeto a ambas obligaciones. La mayoría de las pequeñas empresas no están sujetas a esta normativa; la obligación de notificación del RGPD, en cambio, se aplica a todos.
Esta lección ofrece una explicación general y no constituye asesoramiento jurídico. En caso de duda, consulte la página web de la AEPD o a un abogado.
Resumen
- Una filtración de datos es cualquier violación por la que los datos personales se pierden, se alteran o llegan a manos de alguien que no debería tener acceso a ellos; también un correo al destinatario equivocado o un portátil sin cifrar que se ha perdido.
- Notificación a la AEPD: sin dilación indebida y, de ser posible, en un plazo de 72 horas tras el descubrimiento, también en fin de semana, salvo que probablemente no exista riesgo. Se permite notificar de forma incompleta.
- Informar a los interesados: sin dilación, si probablemente existe un riesgo alto.
- Si la filtración ocurre en su encargado del tratamiento, este debe informarle a usted; la decisión de notificar le corresponde a usted.
- Registre todas las filtraciones de datos en su registro de filtraciones, junto con su valoración.
Cuestionario
Ejercicio
Ejercicio A8.2: Calcule el plazo. Se le presentan cuatro momentos de descubrimiento. Indique para cada momento la fecha y hora límite para la notificación a la AEPD. El programa lo corregirá.
Ejercicio A8.2b: ¿Notificar o no? Se le presentan ocho casos breves. Elija en cada caso si debe notificar a la AEPD, si debe informar a los interesados y si debe anotarlo en su registro de filtraciones de datos. El programa lo corrige y le da la explicación de cada caso.
Para saber más
Los pasos de los artículos de WebOké se aplican al entorno de WebOké; en otros proveedores el funcionamiento es similar.
- ¡Ayuda! Mi web ha sido hackeada. ¿Cómo puedo solucionarlo o evitarlo?
- Agencia Española de Protección de Datos, modelo de registro de actividades de tratamiento e incidentes de seguridad: https://www.aepd.es/
- Agencia Española de Protección de Datos, notificaciones de quiebras de seguridad: https://www.aepd.es/
- Agencia Española de Protección de Datos, sede electrónica: https://www.aepd.es/
- RGPD (Reglamento (UE) 2016/679), artículos 4, 33 y 34: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- ENISA, sobre la gestión de incidentes y notificación de filtraciones: https://www.enisa.europa.eu/