Qué es una brecha
Es todo incidente de seguridad que provoca la destrucción, pérdida o alteración accidental o ilícita de datos personales, o su comunicación o acceso no autorizados (art. 4.12 RGPD). Incluye ataques externos y errores internos:
- correo con datos personales enviado al destinatario equivocado;
- portátil, móvil o memoria USB perdidos sin cifrar;
- ransomware que bloquea o copia archivos;
- empleados que acceden a datos que no necesitan.
Cuándo notificar
El plazo es de 72 horas desde que la organización tiene constancia de la brecha. No hay que notificar cuando es improbable que haya riesgo para los derechos y libertades de las personas, pero esa valoración debe poder justificarse.
Si no se tiene toda la información en plazo, se notifica lo que se sabe y se completa después sin dilación indebida (art. 33.4). La notificación tardía debe explicar los motivos del retraso.
Qué debe contener
Según el art. 33.3 RGPD, como mínimo:
- la naturaleza de la brecha, las categorías y el número aproximado de interesados y de registros afectados;
- los datos de contacto del DPD u otro punto de contacto;
- las consecuencias probables;
- las medidas adoptadas o propuestas para ponerle remedio y mitigar sus efectos.
Cuándo avisar a los afectados
Si el riesgo es alto, se comunica a los interesados en un lenguaje claro y sencillo (art. 34). No es necesario si los datos estaban cifrados y eran ininteligibles, si las medidas posteriores han eliminado el alto riesgo o si supondría un esfuerzo desproporcionado; en ese caso se usa una comunicación pública.
Si la brecha es del proveedor
El encargado del tratamiento debe avisar al responsable sin dilación indebida (art. 33.2). El plazo de 72 horas corre para el responsable: el contrato de encargo debe fijar cómo y en cuánto tiempo llega ese aviso.
Preguntas frecuentes
¿Un correo al destinatario equivocado se notifica?
Depende del contenido y del destinatario. Si incluye datos sensibles o de muchas personas, o el destinatario es desconocido, suele haber riesgo. La valoración se documenta siempre.
¿Cuentan los fines de semana en las 72 horas?
Sí. El plazo se cuenta en horas, no en días hábiles.
¿Dónde se notifica?
En la sede electrónica de la AEPD o, si la competencia es de una autoridad autonómica, ante esa autoridad.