He de notificar aquesta bretxa?

Com notificar una bretxa a l'AEPD: terminis i criteris

Qualsevol organització, sigui quina sigui la seva mida, pot patir un incident de seguretat: un correu massiu enviat amb les adreces en còpia visible (CC) en lloc d'oculta, un ordinador portàtil perdut sense xifrar, una bretxa provocada per un engany de pesca de credencials o un atac de ransomware que bloqueja l'accés als servidors.

En tots aquests casos ens trobem davant d'una bretxa de seguretat de les dades personals segons el Reglament general de protecció de dades (RGPD). Ara bé, que s'hagi produït un incident no vol dir automàticament que s'hagi de comunicar a l'Agència Espanyola de Protecció de Dades (AEPD). Saber quan hi ha l'obligació legal de notificar, en quin termini s'ha de fer i com s'ha de documentar és indispensable per protegir els drets de les persones afectades i evitar sancions per manca de diligència.

Criteris: quan és obligatori notificar?

L'article 33 del RGPD estableix que el responsable del tractament ha de notificar la bretxa a l'AEPD, tret que sigui improbable que la violació constitueixi un risc per als drets i les llibertats de les persones físiques. Per avaluar si hi ha aquest risc, la vostra organització ha d'analitzar quatre factors clau:

1. La naturalesa i la tipologia de les dades. No comporta el mateix perill la filtració d'un llistat corporatiu amb noms i telèfons que l'accés no autoritzat a credencials, històries clíniques, nòmines, números de compte bancari o categories especials de dades (origen ètnic, conviccions religioses, dades biomètriques o de salut, previstes a l'article 9 del RGPD).
2. El tipus d'afectació. Les bretxes poden comprometre la confidencialitat (accés no autoritzat o filtració), la integritat (modificació o manipulació) o la disponibilitat (destrucció, esborrament o xifratge per ransomware). Un tall temporal que es resol en minuts gràcies a les còpies de seguretat no té el mateix impacte que la pèrdua irreversible d'informació.
3. El volum i les circumstàncies de les persones afectades. Cal valorar tant el nombre de persones implicades com el seu grau de vulnerabilitat (per exemple, menors o col·lectius protegits).
4. Les mesures tècniques prèvies. Si les dades afectades tenien un xifratge robust i la clau de desxifratge no s'ha vist compromesa, el risc real per a les persones afectades és pràcticament inexistent, cosa que pot justificar no notificar (article 33.1 del RGPD). L'article 34.3.a eximeix, a més, en aquest cas, de comunicar-ho a les persones afectades.

Si d'aquesta avaluació es desprèn que les persones afectades poden patir perjudicis econòmics, usurpació d'identitat, discriminació o una pèrdua efectiva de confidencialitat, la notificació és imperativa.

Els terminis: el rellotge de les 72 hores

El RGPD fixa un termini estricte: la notificació a l'AEPD s'ha de fer sense dilació indeguda i, com a màxim, en 72 hores. És fonamental entendre amb exactitud com es computa aquest termini:

• El moment d'inici. El rellotge no comença a comptar quan es va produir l'atac o l'error, sinó des del moment en què en teniu una constància raonable. Una simple sospita requereix una comprovació tècnica; un cop confirmada la bretxa, el termini de 72 hores corre de manera ininterrompuda, incloent-hi caps de setmana i festius.
• Notificació per fases. Un dels dubtes més freqüents a les organitzacions petites és què cal fer si en 72 hores encara no tenen totes les respostes tècniques. L'article 33.4 del RGPD preveu expressament aquesta situació: s'ha de presentar una primera notificació amb les dades recollides fins aleshores i ampliar-la després per fases a mesura que avanci la investigació. Esperar a tenir un informe pericial tancat per notificar fora de termini constitueix una infracció directa.

Com es presenta la notificació a la pràctica

La notificació a l'AEPD no es fa amb un correu electrònic genèric ni amb un escrit en paper:

1. Es tramita a través de la seu electrònica de l'AEPD, amb el procediment específic habilitat per a les bretxes de seguretat.
2. El formulari oficial demana detallar la naturalesa de la bretxa, les categories i el nombre aproximat de persones afectades, les possibles conseqüències, les mesures de contenció ja adoptades o proposades, i les dades de contacte del delegat de protecció de dades (DPD) o del responsable de l'incident.

Abans de fer-ho, us podeu orientar amb l'eina oficial de l'AEPD, Asesora Brecha (en castellà), o amb l'assistent d'aquesta mateixa pàgina.

Cal avisar també les persones afectades?

La comunicació a les persones afectades (article 34 del RGPD) només és preceptiva quan la bretxa comporta un risc alt. En aquest cas, l'avís s'ha de fer directament i en un llenguatge comprensible, explicant amb claredat què ha passat, quines conseqüències pot tenir i quines pautes pràctiques han de seguir les persones afectades (com canviar les contrasenyes o vigilar els càrrecs bancaris).

L'obligació que sol oblidar-se: l'article 33.5

Hi ha una obligació legal que es passa per alt fàcilment: l'article 33.5 del RGPD exigeix documentar qualsevol violació de la seguretat, incloses les que, de manera motivada, es decideix no notificar a l'autoritat.

Mantenir al dia un registre intern d'incidents i bretxes en què constin els fets, els efectes valorats, l'anàlisi de risc i els motius de la decisió final és la vostra principal garantia. Si un tercer denuncia el cas o l'autoritat us demana explicacions més endavant, poder mostrar aquesta valoració raonada acredita la vostra diligència i pot ser decisiu. Per fer-ho, teniu el nostre registre intern d'incidents i bretxes.