Una violación de la seguridad de los datos personales (data breach; en adelante, «violación de seguridad») es una violación de la seguridad que ocasiona, de forma accidental o ilícita, la destrucción, pérdida, alteración o comunicación no autorizadas de datos personales, o el acceso a ellos (art. 4, punto 12, del RGPD). No hace falta un ataque informático: basta un error.
Tres tipos de violación de seguridad
- De confidencialidad: los datos llegan a quien no debía tenerlos. Ejemplo: un correo con datos de salud enviado al destinatario equivocado.
- De integridad: los datos se modifican sin autorización o por error.
- De disponibilidad: los datos se pierden o dejan de ser accesibles. Ejemplo: un ataque de ransomware que cifra los archivos, o un archivo en papel destruido por una inundación.
Ejemplos
- Se pierde o se roba un ordenador portátil o una memoria USB sin protección.
- Se adjunta por error a un correo externo un archivo con datos de clientes.
- Se echa en el buzón equivocado una carta con datos sanitarios.
- Un compañero usa las credenciales de otro y consulta expedientes que no son suyos.
- Alguien pulsa un enlace de phishing y le toman la cuenta.
Las 72 horas
El responsable debe notificar la violación de seguridad al Garante en un plazo máximo de 72 horas desde que tuvo conocimiento de ella, salvo que sea improbable que entrañe un riesgo para los derechos y libertades de las personas (art. 33 del RGPD). Pasadas las 72 horas la notificación puede hacerse, pero debe explicar el retraso. El Garante tiene un procedimiento en línea en su sitio.
El encargado del tratamiento debe informar al responsable sin dilación indebida tras tener conocimiento de la violación de seguridad.
Si el riesgo para las personas es alto, el responsable debe avisar también a los interesados, con palabras sencillas, indicando qué ha ocurrido y qué pueden hacer (art. 34). Si los datos estaban cifrados de forma eficaz, por ejemplo, el aviso puede no ser necesario.
El responsable documenta toda violación de seguridad, incluso las no notificadas, en un registro de violaciones de seguridad (art. 33, apartado 5).
Por qué cuenta su aviso
El plazo de 72 horas afecta al responsable, pero para cumplirlo la empresa debe saber enseguida qué ha pasado. Si usted espera tres días para decir que envió el archivo a una dirección equivocada, el tiempo para reaccionar ya se ha agotado. Algunas violaciones de seguridad aún se pueden remediar si se actúa pronto: pedir al destinatario que lo borre, bloquear una cuenta, cambiar una contraseña, desactivar un dispositivo.
Qué hacer si ocurre
- Deténgase y no intente «arreglarlo» por su cuenta borrando mensajes o archivos: pueden hacer falta para entender qué ha ocurrido.
- Avise enseguida a la persona que indique la empresa (departamento informático, persona de contacto de privacidad, DPD o su responsable). Si no sabe quién es, avise a su responsable: no espere.
- Cuente los hechos: qué ha ocurrido, cuándo, qué datos, cuántas personas, quién puede haberlos visto.
- Siga las instrucciones de la empresa. No informe por su cuenta a clientes, periodistas o redes sociales y no contacte con la autoridad: la valoración y la eventual notificación corresponden al responsable.
- Si ya ha pulsado un enlace o ha introducido una contraseña, cambie la contraseña desde un canal seguro y dígalo.
Un clima sin miedo
Quien avisa pronto de un error debe ser escuchado, no castigado por haber hablado. Las empresas que ocultan los incidentes corren riesgos mucho mayores. Una violación de seguridad no notificada cuando era necesario puede ser sancionada por el Garante (art. 83, apartado 4, del RGPD: sanciones de hasta 10 millones de euros o el 2 % del volumen de negocio).