Filtraciones de datos y la obligación de notificación

Módulo 8: Cuando algo sale mal · Tiempo de lectura: 11 minutos

Objetivo de aprendizaje: Después de esta lección podrá determinar si algo constituye una filtración de datos, si debe notificarla en un plazo de 72 horas a la Agencia Española de Protección de Datos (AEPD) y si debe informar a los afectados, y podrá registrarla en un registro de filtraciones de datos.

Conceptos clave: datos personales, filtración de datos (violación de la seguridad de los datos personales), responsable del tratamiento, encargado del tratamiento, artículos 33 y 34 del RGPD, sede electrónica para notificaciones, 72 horas, riesgo y alto riesgo, registro de filtraciones de datos

¿Qué es una filtración de datos?

Al oír "filtración de datos" la gente piensa en piratas informáticos que roban una base de datos. Esa es una de sus formas. El RGPD utiliza una descripción más amplia: una violación de la seguridad de los datos personales es una violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos (artículo 4, punto 12).

Los datos personales son todos los datos sobre una persona identificable: un nombre, una dirección de correo electrónico como juan.garcia@..., un número de teléfono, una dirección, un número de cliente con historial de pedidos, una fotografía, una dirección IP combinada con otros datos. Los datos sobre una empresa como tal (número de registro mercantil, dirección general) no lo son, pero los datos sobre la persona de contacto sí.

Por tanto, todos estos son filtraciones de datos:

• un correo con una lista de clientes que se envía al destinatario equivocado;
• un boletín en el que todos los destinatarios son visibles en el campo Para o CC;
• una memoria USB o un portátil perdido con datos del personal, si no estaba cifrado;
• un ransomware que cifra la administración de clientes (los datos dejan de estar disponibles, aunque no se haya copiado nada);
• una cuenta de correo tomada que contiene facturas con nombres y direcciones;
• un enlace compartido a una carpeta con cartas de solicitud de empleo que está abierta para cualquiera.

La expresión "violación de la seguridad" muestra que no se trata solo de confidencialidad. También cuentan la pérdida (los datos han desaparecido) y la alteración (alguien ha modificado números de cuenta).

¿Quién es responsable: usted o su proveedor?

El RGPD distingue dos funciones.

• El responsable del tratamiento determina por qué y cómo se tratan los datos personales. Para los datos de sus clientes y empleados, ese es usted, como empresario.
• Un encargado del tratamiento trata datos por encargo suyo: su empresa de alojamiento, su programa de contabilidad en la nube, su servicio de boletines, su proveedor de informática.

Si se produce una filtración en un encargado, este debe notificárselo a usted sin dilación indebida (artículo 33, apartado 2). Usted evalúa entonces si debe notificarlo a la AEPD y a los afectados, y en principio es usted quien debe realizar la notificación (salvo que hayan acordado que el encargado lo haga en su nombre). La obligación sigue siendo suya, aunque el fallo se haya producido en otra parte. Por eso, en un contrato de encargo del tratamiento se incluyen acuerdos sobre la rapidez y la forma en que un encargado debe informarle (lección 7.2).

El plazo de 72 horas

El artículo 33 del RGPD establece que debe notificar una filtración de datos sin dilación indebida y, de ser posible, en el plazo de 72 horas a la Agencia Española de Protección de Datos, después de haber tenido constancia de ella. La excepción: que sea improbable que la filtración entrañe un riesgo para los derechos y libertades de las personas.

Hay cuatro puntos que suelen entenderse mal:

1. El plazo empieza a contar cuando usted tiene conocimiento de ello, no cuando se produjo la filtración. "Tener conocimiento" significa: tener la certeza razonable de que se ha producido una violación que afecta a datos personales. Una primera evaluación breve es aceptable, pero quien deliberadamente no investiga no retrasa así el inicio del plazo.
2. 72 horas son 72 horas, también en fin de semana y festivos. Si descubre una filtración el viernes a las 16:40, el plazo máximo vence el lunes a las 16:40.
3. Se permite notificar de forma incompleta. Si después de 72 horas aún no lo sabe todo, notifique con lo que sepa y complételo más adelante. Si notifica pasadas las 72 horas, deberá justificar el retraso (artículo 33 del RGPD).
4. Lo que importa es el riesgo para las personas, no el perjuicio para su empresa.

Descubierto: viernes   16:40   -> empieza el plazo
          sábado              (cuenta)
          domingo             (cuenta)
A más tardar el lunes 16:40   -> notificación a la AEPD (eventualmente incompleta)

La notificación se realiza normalmente a través del formulario electrónico de la sede electrónica de la AEPD. Puede preparar la notificación de antemano. Debe indicar, entre otras cosas, qué ocurrió, cuándo, qué datos y cuántos afectados hay, cuáles pueden ser las consecuencias y qué medidas adoptó. Aquí es donde el registro de la lección 8.1 resulta útil.

Cuándo notificar y cuándo no: la valoración del riesgo

Debe evaluar la probabilidad y la gravedad de las consecuencias para los afectados. Piense en: usurpación de identidad, perjuicio económico, discriminación, daño a la reputación o pérdida de control sobre sus datos. Preguntas que ayudan:

Dos ejemplos que se repiten con frecuencia:

• Robo de un portátil cifrado, con contraseña fuerte, clave no filtrada, copia de seguridad reciente: probablemente no hay riesgo. No es necesario notificarlo a la AEPD, pero sí registrarlo.
• Tienda en línea pirateada, el atacante ha obtenido direcciones de correo y contraseñas mal almacenadas: hay riesgo, por lo que debe notificarse. Y como las personas suelen reutilizar contraseñas (lección 1.4), el riesgo es alto: hay que informar a los afectados.

¿Tiene dudas? En general, notificar es la opción más segura. La propia AEPD recomienda notificar en caso de duda. La información nueva se comunica después mediante una notificación de ampliación.

Informar a los afectados: en caso de alto riesgo

El artículo 34 trata sobre las personas cuyos datos se ven afectados. Si la filtración es susceptible de entrañar un alto riesgo, debe informarles sin dilación: tan pronto como sea razonablemente posible. Para esto no existe un plazo de 72 horas, pero tampoco es aceptable esperar hasta haberlo aclarado todo.

En el mensaje se explica en lenguaje claro qué ocurrió, cuáles son las probables consecuencias, qué está haciendo usted y qué pueden hacer ellos mismos (por ejemplo, cambiar su contraseña en otros servicios, estar alerta ante el phishing que se haga pasar por usted, avisar a su banco), además de una persona de contacto.

No es necesario informar si había adoptado medidas adecuadas que hacen ilegibles los datos (como un cifrado adecuado), si adoptó medidas posteriores que hacen que el alto riesgo ya no sea probable, o si ello exige un esfuerzo desproporcionado: en ese caso se realiza una comunicación pública (artículo 34, apartado 3).

Tenga en cuenta: el phishing suele seguir a una filtración de datos. Los delincuentes saben entonces quiénes son sus clientes y envían un correo "de su parte". Advierta también a sus clientes de ello.

El registro de filtraciones de datos: siempre

El artículo 33, apartado 5, le obliga a registrar todas las filtraciones de datos, incluso si no las notifica. Registre: los hechos, las consecuencias, las medidas adoptadas y su valoración (por qué notificó o no, por qué informó o no). Puede elegir el formato libremente; la AEPD dispone de un modelo de registro de filtraciones de datos. Una tabla sencilla es suficiente:

Nº | Descubierto (fecha/hora) | Qué ocurrió | Qué datos, cuántas personas
   | Consecuencias | Medidas | ¿Notificado a la AEPD? (sí/no + por qué, fecha)
   | ¿Afectados informados? (sí/no + por qué) | Resuelto (fecha)

El registro también le ayuda a usted mismo: si ve tres veces al año "correo enviado al destinatario equivocado", sabrá dónde debe mejorar (por ejemplo, un retraso en el envío, o dejar de adjuntar listas de clientes, lección 7.3).

Filtración de datos y la transposición de NIS2: dos notificaciones distintas

Si su organización está sujeta a la transposición española de NIS2 (lección 9.1), existe además una obligación de notificación para incidentes significativos: una alerta temprana en 24 horas, una notificación en 72 horas y un informe final en el plazo de un mes, ante la autoridad competente. Se trata de una notificación distinta, con un objetivo diferente (la continuidad de los servicios) y ante una instancia diferente. Un ataque de ransomware puede, por tanto, encajar en ambas categorías. La mayoría de las pequeñas empresas no están sujetas a la transposición de NIS2; la obligación de notificación del RGPD, en cambio, se aplica a todos.

Esta lección ofrece una explicación general y no constituye asesoramiento jurídico. En caso de duda, consulte la sede electrónica de la AEPD o a un profesional del derecho.

Resumen

• Una filtración de datos es cualquier violación que provoque la pérdida, alteración o acceso no autorizado a datos personales; también un correo enviado al destinatario equivocado o un portátil sin cifrar que se ha perdido.
• Notificación a la AEPD: sin dilación indebida y, de ser posible, en el plazo de 72 horas tras su descubrimiento, también en fin de semana, salvo que sea improbable que entrañe un riesgo. Se permite notificar de forma incompleta.
• Informar a los afectados: sin dilación, si es probable que exista un alto riesgo.
• Si la filtración se produce en su encargado del tratamiento, este debe informarle a usted; la decisión de notificar le corresponde a usted.
• Registre cada filtración de datos en su registro de filtraciones, junto con su valoración.

Cuestionario

Ejercicio

Ejercicio A8.2: Calcule el plazo. Se le proporcionan cuatro momentos de descubrimiento. Indique, para cada uno, la fecha y hora límite para la notificación a la AEPD. El programa lo corregirá.

Ejercicio A8.2b: ¿Notificar o no? Se le presentan ocho casos breves. Para cada caso, elija si debe notificarlo a la AEPD, si debe informar a los afectados y si debe registrarlo en su registro de filtraciones de datos. El programa lo corregirá y le ofrecerá la explicación de cada caso.

Para saber más

Los pasos de los artículos de WebOké se aplican al entorno de WebOké; en otros proveedores el funcionamiento es similar.

• ¡Ayuda! Han hackeado mi sitio web. ¿Cómo lo soluciono y cómo puedo evitarlo?
• Agencia Española de Protección de Datos, sede electrónica para la notificación de filtraciones de datos: https://www.aepd.es/
• Agencia Española de Protección de Datos, información sobre la obligación de notificar filtraciones de datos: https://www.aepd.es/
• Agencia Española de Protección de Datos, guía para la gestión de brechas de seguridad: https://www.aepd.es/
• RGPD (Reglamento (UE) 2016/679), artículos 4, 33 y 34: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Comité Europeo de Protección de Datos (EDPB), información sobre autoridades de protección de datos: https://www.edpb.europa.eu/about-edpb/about-edpb/members_en
• ¿Se trata de una brecha de datos y debo notificarla?