Un ransomware cifra los equipos, un portátil se queda en el tren, un correo con nóminas va al destinatario equivocado. Todo eso puede ser una brecha de datos personales, y el Reglamento General de Protección de Datos (RGPD) da 72 horas para notificarla a la Agencia Española de Protección de Datos (AEPD). Esta guía explica, sin jerga legal, cuándo hay que hacerlo y cómo.
Qué cuenta como brecha
Una brecha es cualquier incidente que afecte a datos personales de una de estas tres formas:
- Confidencialidad: alguien que no debía ha visto o se ha llevado los datos. Un buzón hackeado, un archivo compartido por error.
- Integridad: los datos se han modificado sin permiso. Un IBAN cambiado en la ficha de un empleado.
- Disponibilidad: los datos se han perdido o no se puede acceder a ellos. Un ransomware sin copias que funcionen es una brecha aunque nadie se haya llevado nada.
¿Hay que notificarla siempre?
No. Hay que notificarla a la AEPD salvo que sea improbable que suponga un riesgo para las personas afectadas. Un portátil cifrado y con contraseña que se pierde, por ejemplo, suele no requerir notificación; el mismo portátil sin cifrar, sí.
Si el riesgo para los afectados es alto (datos bancarios, de salud, credenciales, documentos de identidad), además hay que comunicárselo a ellos directamente, en un lenguaje claro y con consejos sobre cómo protegerse.
Herramienta
La AEPD tiene una herramienta gratuita, Asesora Brecha, que con unas pocas preguntas te dice si tu caso hay que notificarlo. La notificación se hace en su sede electrónica.
Las 72 horas, paso a paso
- Contén el incidente. Desconecta el equipo afectado, cambia contraseñas, cierra el enlace compartido. Sin borrar pruebas.
- Apunta la hora en que tuviste constancia. Las 72 horas cuentan desde ese momento, no desde que ocurrió.
- Averigua el alcance: qué datos, de cuántas personas aproximadamente y qué consecuencias pueden tener para ellas.
- Decide y notifica. Si no tienes toda la información en 72 horas, notifica con lo que sepas y complétalo después. Es mejor una notificación incompleta a tiempo que una completa tarde.
- Avisa a los afectados si el riesgo para ellos es alto.
- Regístralo. Todas las brechas, también las que no se notifican, deben quedar documentadas internamente: qué pasó, qué efectos tuvo y qué se hizo.
Si los datos son de tus clientes
Gestorías, asesorías, despachos y administradores de fincas tratan muchos datos por cuenta de sus clientes. En ese papel, el de encargado del tratamiento, no notificas tú a la AEPD: avisas sin demora a cada cliente afectado, que es quien notifica. Cuanto antes y mejor documentado, más fácil se lo pones.
Lo que se prepara antes
En 72 horas no da tiempo a averiguar qué datos tienes, dónde están y quién accede a ellos. Eso se hace antes:
- Un inventario de dónde están los datos personales: correo, carpetas, programas y nube.
- Copias de seguridad que funcionen, para que un ransomware no se convierta en pérdida.
- Portátiles y móviles cifrados, para que perder uno no sea una brecha.
- Un procedimiento de una página: a quién se avisa, quién decide y quién notifica.
Para dudas sobre el incidente en sí, el 017 de INCIBE es gratuito y confidencial. Y si quieres tener todo esto preparado antes de necesitarlo, es parte de lo que revisamos en el diagnóstico de ciberseguridad.
