Incluso con buenas medidas, los errores ocurren. Lo que distingue a una buena empresa es la rapidez con que se detecta el problema y se actúa. En esta materia, el RGPD fija normas y plazos ajustados.
Qué es una violación de la seguridad de los datos personales
Una violación de la seguridad de los datos personales es una violación de la seguridad que provoca, de forma accidental o ilícita, la destrucción, la pérdida, la alteración, la comunicación o el acceso no autorizados a datos personales (artículo 4, punto 12, del RGPD). Abarca tres tipos de problemas:
- confidencialidad: alguien sin permiso ve o recibe los datos;
- integridad: los datos se alteran sin autorización;
- disponibilidad: los datos se pierden o dejan de ser accesibles.
Ejemplos:
- un correo con datos de clientes enviado al destinatario equivocado;
- un portátil o un móvil de trabajo perdido o robado;
- un ataque informático o un ransomware que cifra los archivos;
- un documento con datos personales olvidado en un lugar público;
- una cuenta de correo asaltada tras un phishing;
- un compañero que consulta archivos sin necesidad.
Qué debe hacer el trabajador
- Comunicarlo de inmediato a su superior, al DPD o a quien indique la empresa. No espere a tener la certeza.
- Decir lo que sabe: qué ocurrió, cuándo, qué datos están en juego. No borre ni altere pruebas.
- Seguir las instrucciones para limitar el daño, por ejemplo cambiar la contraseña o desconectar el equipo de la red.
- No ocultar el incidente, ni siquiera para "proteger" a un compañero. Ocultarlo retrasa la reacción y agrava el daño.
La Lei n.º 58/2019 (artículo 11) atribuye al DPD la función de concienciar sobre la importancia de detectar a tiempo los incidentes e informar sin demora al responsable de seguridad.
Qué debe hacer el empleador
- Notificar a la CNPD sin dilación indebida y, de ser posible, en un plazo de 72 horas tras haber tenido constancia de la violación de seguridad, salvo que sea improbable que la violación de seguridad constituya un riesgo para los derechos y libertades de las personas (artículo 33, apartado 1). Si no se cumple el plazo, la notificación debe indicar los motivos de la dilación.
- La notificación describe la naturaleza de la violación de seguridad, las categorías y el número aproximado de interesados y de registros, el contacto del DPD, las consecuencias probables y las medidas adoptadas (apartado 3).
- Comunicarlo a los interesados cuando la violación de seguridad entrañe un alto riesgo para ellos, sin dilación indebida y en un lenguaje claro (artículo 34).
- Documentar todas las violaciones de seguridad, incluso las que no hace falta notificar, con los hechos, los efectos y las medidas (artículo 33, apartado 5).
- El encargado del tratamiento que tenga conocimiento de una violación de seguridad informa al responsable sin dilación indebida (artículo 33, apartado 2).
El incumplimiento de los deberes de los artículos 33 y 34 es una infracción administrativa grave (artículo 38, apartado 1, letras j) y k), de la Lei n.º 58/2019).
Por qué importa la prisa
Un aviso en minutos permite recuperar un correo, bloquear una cuenta o cambiar accesos antes de que el daño se extienda. Un aviso al cabo de días puede haber dejado pasar ya el plazo de 72 horas. La empresa quiere saberlo, incluso del error pequeño.
Ejemplos prácticos
- ¿Envió un archivo al cliente equivocado? Avise ya. Puede ser posible pedir al destinatario que lo borre y lo confirme.
- ¿Perdió el móvil de trabajo? Avise ya. La empresa podrá bloquear o borrar el dispositivo a distancia.
- ¿Hizo clic en un enlace sospechoso? Avise ya, desconéctese de la red si se lo indican y no vuelva a usar el ordenador.
Resumen: una violación de seguridad es cualquier pérdida, acceso o comunicación indebidos. Avisar enseguida es el deber del trabajador. La notificación a la CNPD, en 72 horas, corresponde al empleador.