Una violación de la seguridad de los datos personales es una violación de la seguridad que provoca la destrucción, pérdida, alteración, comunicación o acceso no autorizados a datos personales, de forma accidental o ilícita (artículo 4.12). Es algo más amplio que un ataque informático.
Ejemplos
- Un correo con datos personales enviado a la persona equivocada.
- Un portátil, un móvil o un expediente en papel perdido o robado.
- Un ataque de ransomware que bloquea los registros.
- Alguien, incluido un empleado, que accede a registros que no debería ver.
- Una carta metida en el sobre equivocado.
- Datos personales olvidados en la impresora o papeles tirados a una papelera normal.
- Datos enviados por error por un encargado, como una empresa de nóminas.
Una violación de seguridad abarca también la disponibilidad. Perder el acceso a datos de los que dependen las personas, por ejemplo los registros de un hospital, puede ser una violación de seguridad aunque nadie haya visto los datos.
Su primera obligación: avisar dentro de la organización, de inmediato
Cuando detecte una violación de seguridad, o sospeche que la hay:
- Actúe con rapidez. Intente limitar el daño si puede, por ejemplo pidiendo al destinatario equivocado que no abra el correo y lo borre.
- Avise de inmediato a su responsable, a informática o al DPD, del modo que indique el procedimiento de violaciones de seguridad de su empleador. No espere a estar seguro.
- Anote lo que pasó, cuándo se enteró y qué hizo.
- No lo oculte ni intente arreglarlo en silencio. No borre pruebas.
La mayoría de las violaciones de seguridad son pequeños errores humanos. Los empleadores quieren saberlo enseguida, porque el plazo ya está corriendo.
La regla de las 72 horas
El responsable debe notificar a la Data Protection Commission una violación de seguridad sin dilación indebida y, de ser posible, en un plazo máximo de 72 horas desde que tenga constancia de ella (artículo 33). Las 72 horas incluyen los fines de semana. La única excepción: cuando sea improbable que la violación de seguridad entrañe un riesgo para los derechos y las libertades de las personas. Si la notificación se hace pasadas las 72 horas, el responsable debe explicar los motivos.
Una notificación a la DPC indica qué ocurrió, cuántas personas y registros están afectados aproximadamente, las consecuencias probables, las medidas adoptadas y un punto de contacto, como el DPD. Las organizaciones notifican mediante el formulario en línea de notificación de violaciones de seguridad de la DPC. La información puede darse por fases si aún no se conoce toda.
Un encargado debe comunicar la violación de seguridad al responsable sin dilación indebida desde que tenga conocimiento de ella (artículo 33.2).
Informar a las personas afectadas
Si es probable que la violación de seguridad entrañe un alto riesgo para las personas, como un peligro de fraude, de suplantación de identidad, de discriminación o de daño a la salud, el responsable debe comunicárselo también a las personas afectadas sin dilación indebida y en lenguaje claro (artículo 34). No tiene que hacerlo si los datos estaban debidamente cifrados, si medidas posteriores eliminan el riesgo o si exigiría un esfuerzo desproporcionado y basta un aviso público.
Toda violación de seguridad se documenta
El artículo 33.5 obliga al responsable a documentar cada violación de seguridad, se notifique o no a la DPC: los hechos, los efectos y las medidas adoptadas. La DPC puede pedir ver ese registro. Forma parte de la responsabilidad proactiva.
Por qué importa su rapidez
Imagine que un empleado envía el viernes a las 17:00 una hoja de cálculo con datos de pacientes a una dirección equivocada y no dice nada hasta el miércoles. Para entonces, al responsable puede quedarle poco tiempo, o ninguno, de las 72 horas. Si el empleado avisa al DPD a las 17:10, el DPD dispone de tres días completos para evaluar el riesgo y, si es necesario, notificar.
Aprender de las violaciones de seguridad
Las violaciones de seguridad sirven para mejorar la formación, los procedimientos y los sistemas. Un enfoque sin culpas fomenta que se avise. Ocultar una violación de seguridad es más grave que el error inicial.
Qué debe recordar
- Una violación de seguridad es cualquier pérdida, daño, alteración, comunicación o acceso que no debió ocurrir.
- Avise de inmediato a su empleador. No espere.
- El responsable notifica a la DPC en 72 horas, salvo que sea improbable que la violación de seguridad suponga un riesgo para alguien.
- Si el riesgo para las personas es alto, también hay que informarlas.