Las brechas de seguridad que comprometen datos personales pueden suponer un riesgo grave tanto para la privacidad de los usuarios como para la reputación de las empresas. Por eso, es fundamental saber cómo actuar legalmente ante una brecha de datos, cumplir con los plazos de notificación establecidos por la normativa y aplicar las medidas adecuadas para mitigar el daño.
En este artículo te explicamos los pasos esenciales que debes seguir según el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018, de Protección de Satos Personales y garantía de los derechos digitales (LOPDGDD), en vigor en España.
¿Qué es una brecha de datos personales?
Según el artículo 4.12 del RGPD, una brecha de seguridad es «toda violación de la seguridad que provoque la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos».
Este concepto incluye desde un ciberataque hasta el extravío de un dispositivo que contenga información personal. Su gravedad y la obligación de notificarla dependerán del tipo de datos comprometidos y del riesgo para los derechos y libertades de las personas afectadas.
Pasos clave ante una brecha de datos
Identificar y contener el incidente
Lo primero es detectar la brecha y limitar su alcance. Esto puede implicar, por ejemplo, desconectar equipos, bloquear accesos o cambiar contraseñas. El objetivo es evitar un mayor perjuicio.
Evaluar el riesgo para los afectados
El responsable del tratamiento debe valorar si la brecha implica un riesgo o un alto riesgo para los derechos de los interesados. Si existe riesgo, debe notificarse a la Agencia Española de Protección de Datos (AEPD).
Notificar la brecha a la AEPD
El artículo 33 del RGPD establece un plazo de 72 horas desde que se tiene constancia del incidente para notificarlo a la autoridad de control. La notificación debe contener, al menos:
- La naturaleza de la brecha.
- Los datos y personas afectadas.
- Las consecuencias posibles.
- Las medidas adoptadas o propuestas para resolver el incidente.
Comunicarlo a los afectados
Cuando la brecha entraña un alto riesgo para los derechos y libertades, el artículo 34 del RGPD obliga a informar directamente a los afectados, en lenguaje claro y accesible, indicando las medidas recomendadas para protegerse.
Documentar el incidente
Independientemente de su gravedad, la brecha debe documentarse internamente, según indica el artículo 33.5 del RGPD. Esto es clave para demostrar cumplimiento ante futuras inspecciones o reclamaciones.
¿Qué consecuencias tiene no actuar correctamente?
El incumplimiento de las obligaciones en materia de brechas de seguridad puede conllevar sanciones administrativas elevadas. La AEPD puede imponer multas de hasta 10 millones de euros o el 2 % del volumen de negocio anual, según la gravedad del incumplimiento (art. 83 RGPD).
Refuerza la protección de tus sistemas
Contar con un protocolo interno de gestión de incidentes y capacitar al personal en materia de privacidad y ciberseguridad son medidas fundamentales para prevenir y minimizar las consecuencias de una brecha de datos.
Para una visión más amplia sobre las nuevas exigencias legales en materia de ciberseguridad, te recomendamos consultar nuestro artículo «Directiva NIS2: nuevas obligaciones para mejorar la ciberseguridad en Europa».
¿Tienes dudas sobre cómo cumplir con tus obligaciones legales en materia de protección de datos? Puedes contactarnos a través de nuestro formulario de contacto.
*Los contenidos de esta página son de carácter general y no constituyen en modo alguno la prestación de un servicio de asesoramiento legal o fiscal de ningún tipo, por lo que dicha información resulta insuficiente para la toma de decisiones personales o empresariales por parte del usuario.
