Teño que notificar esta quebra?

Como notificar unha quebra á AEPD: prazos e criterios

Calquera organización, sexa cal sexa o seu tamaño, pode sufrir un incidente de seguridade: un correo masivo enviado cos enderezos en copia visible (CC) en lugar de oculta, un ordenador portátil perdido sen cifrar, unha brecha provocada por un engano de phishing ou un ataque de ransomware que bloquea o acceso aos seus servidores.

En todos estes supostos atopámonos ante unha brecha de seguridade dos datos persoais segundo o Regulamento xeral de protección de datos (RXPD). Agora ben, que se producise un incidente non significa automaticamente que deba comunicarse á Axencia Española de Protección de Datos (AEPD). Saber cando existe a obriga legal de notificar, en que prazo debe facerse e como documentalo é indispensable para protexer os dereitos das persoas afectadas e evitar sancións por falta de dilixencia.

Criterios: cando é obrigatorio notificar?

O artigo 33 do RXPD establece que o responsable do tratamento debe notificar a brecha á AEPD, agás que sexa improbable que a violación constitúa un risco para os dereitos e as liberdades das persoas físicas. Para avaliar se existe ese risco, a súa organización debe analizar catro factores clave:

1. A natureza e a tipoloxía dos datos. Non supón o mesmo perigo a filtración dunha listaxe corporativa con nomes e teléfonos que o acceso non autorizado a credenciais, historiais clínicos, nóminas, números de conta bancaria ou categorías especiais de datos (orixe étnica, conviccións relixiosas, datos biométricos ou de saúde, previstos no artigo 9 do RXPD).
2. O tipo de afectación. As brechas poden comprometer a confidencialidade (acceso non autorizado ou filtración), a integridade (modificación ou manipulación) ou a dispoñibilidade (destrución, borrado ou cifrado por ransomware). Un corte temporal que se soluciona en minutos grazas ás copias de seguridade non xera o mesmo impacto ca a perda irreversible de información.
3. O volume e as circunstancias das persoas afectadas. Debe valorarse tanto o número de persoas implicadas como o seu grao de vulnerabilidade (por exemplo, menores ou colectivos protexidos).
4. As medidas técnicas previas. Se os datos afectados contaban cun cifrado robusto e a clave de descifrado non se viu comprometida, o risco real para as persoas afectadas é practicamente inexistente, o que pode xustificar non notificar (artigo 33.1 do RXPD). O artigo 34.3.a exime ademais, nese caso, de comunicalo ás persoas afectadas.

Se desta avaliación se deduce que as persoas afectadas poden sufrir prexuízos económicos, usurpación de identidade, discriminación ou unha perda efectiva de confidencialidade, a notificación é imperativa.

Os prazos: o reloxo das 72 horas

O RXPD fixa un prazo estrito: a notificación á AEPD debe formalizarse sen dilación indebida e, como moito, en 72 horas. É fundamental comprender con exactitude como se computa este prazo:

• O momento de inicio. O reloxo non empeza a contar cando se produciu o ataque ou o erro, senón desde o momento en que vostede ten constancia razoable de que ocorreu. Unha mera sospeita esixe comprobación técnica; unha vez confirmada a brecha, o prazo de 72 horas corre de forma ininterrompida, incluídas as fins de semana e os festivos.
• Notificación por fases. Unha das maiores dúbidas nas organizacións pequenas é que facer se en 72 horas aínda non dispoñen de todas as respostas técnicas. O artigo 33.4 do RXPD contempla expresamente esta situación: debe presentarse unha primeira notificación cos datos recadados ata ese momento e ampliala despois por fases a medida que avance a investigación. Agardar a ter un informe pericial pechado para notificar fóra de prazo constitúe unha infracción directa.

Como presentar a notificación na práctica

A notificación á AEPD non se fai mediante un correo electrónico xenérico nin por un escrito en papel:

1. Tramítase a través da sede electrónica da AEPD, empregando o procedemento específico habilitado para brechas de seguridade.
2. O formulario oficial esixe detallar a natureza da brecha, as categorías e o número aproximado de persoas afectadas, as posibles consecuencias, as medidas de contención xa adoptadas ou propostas, e os datos de contacto do delegado de protección de datos (DPD) ou do responsable do incidente.

Antes de facelo, pode orientarse coa ferramenta oficial da AEPD, Asesora Brecha (en castelán), ou co asistente desta mesma páxina.

Hai que avisar tamén as persoas afectadas?

A comunicación ás persoas afectadas (artigo 34 do RXPD) só é preceptiva cando a brecha supoña un risco alto. Nese caso, o aviso debe facerse directamente e nunha linguaxe comprensible, explicando con claridade que ocorreu, que consecuencias pode ter e que pautas prácticas deben seguir as persoas afectadas (como cambiar contrasinais ou vixiar os cargos bancarios).

A obriga que adoita esquecerse: o artigo 33.5

Existe unha obriga legal que adoita pasarse por alto con facilidade: o artigo 33.5 do RXPD esixe documentar calquera violación da seguridade, incluídas aquelas que, de forma motivada, se decida non notificar á autoridade.

Manter ao día un rexistro interno de incidentes e brechas no que consten os feitos, os efectos valorados, a análise de risco e os motivos da decisión final é a súa principal garantía. Se un terceiro denuncia o caso ou a autoridade lle pide explicacións máis adiante, poder amosar esa valoración razoada acredita a súa dilixencia e pode ser decisivo. Para facelo, ten o noso rexistro interno de incidentes e brechas.