Una violación de la seguridad de los datos personales (personal data breach) es una violación de la seguridad que provoca la destrucción, pérdida, alteración o divulgación no autorizada de datos personales, o el acceso a ellos, de forma accidental o ilícita (artículo 4). Es más amplio que el hackeo.
Ejemplos
- Un correo enviado a la persona equivocada, o con el archivo adjunto equivocado.
- Un portátil, teléfono, memoria USB o expediente en papel perdido o robado.
- Alguien que mira registros que no tiene motivo para ver.
- Un ataque de phishing que da su contraseña a un delincuente.
- Un ransomware que bloquea los registros, de modo que el personal no puede acceder a ellos.
- Papeles tirados a una papelera común, o cartas enviadas a una dirección equivocada.
- Datos facilitados por teléfono a alguien que no tenía derecho a ellos.
- Un empleado que borra o cambia registros por error.
La pérdida de disponibilidad también cuenta. Si los datos se pierden o quedan bloqueados y nadie puede usarlos, eso también puede ser una violación de seguridad.
Su primera obligación: avisar de inmediato
Avise a su jefe o a la persona indicada en su procedimiento enseguida. No espere a ver si importa. No intente arreglarlo en silencio. No se culpe ni lo oculte. Todo el mundo comete errores. Lo que causa el daño real es el silencio.
Al avisar, diga:
- qué pasó y cuándo;
- qué datos están implicados y de quién son;
- quién pudo verlos;
- qué ha hecho usted hasta ahora (por ejemplo, pedir a un destinatario equivocado que borre un correo).
No borre pruebas. Conserve los correos, mensajes y papeles.
Por qué importa la rapidez
El responsable debe notificar algunas violaciones de seguridad a la ICO. El plazo es de 72 horas desde que tiene conocimiento de la violación de seguridad, cuando sea posible (artículo 33). El plazo corre desde que la organización lo sabe, y un retraso largo del personal consume el tiempo que la organización necesita. Si se superan las 72 horas, el responsable debe explicar los motivos del retraso.
Quién decide si se notifica
Lo decide el empleador o su responsable de protección de datos, no usted. Ellos evalúan el riesgo para las personas.
- Riesgo improbable. La violación de seguridad no se notifica a la ICO, pero debe registrarse. Las organizaciones deben llevar un registro de todas las violaciones de seguridad, con los hechos, los efectos y las medidas adoptadas.
- Riesgo probable. El responsable debe notificarlo a la ICO, por fases si aún no se conocen todos los detalles.
- Riesgo alto. El responsable también debe informar a las personas afectadas, directamente y sin demora indebida, para que puedan protegerse, por ejemplo cambiando contraseñas o vigilando sus cuentas.
El riesgo depende de factores como lo sensibles que sean los datos, cuántas personas afecte y si están cifrados. Enviar datos de salud a la persona equivocada es más grave que enviar una invitación a una reunión.
Encargados del tratamiento
Un encargado, como un proveedor en la nube, debe avisar al responsable sin demora indebida cuando tenga conocimiento de una violación de seguridad. Los contratos deben establecerlo.
Consecuencias
No notificar cuando corresponde puede acarrear una multa de hasta 8,7 millones de £ o el 2 % del volumen de negocio anual mundial, lo que sea mayor. La ICO examina si la organización tenía medidas adecuadas, formó a su personal y reaccionó con rapidez. El personal que avisa pronto ayuda a demostrar que la organización actuó bien.
Aprender después
Una buena organización aprovecha una violación de seguridad para mejorar sus procedimientos y su formación. Comunicar un casi incidente, en el que algo estuvo a punto de salir mal, ayuda a evitar una violación de seguridad real más adelante.