Violación de datos personales: cómo construir un procedimiento claro en la empresa

01

La respuesta breve

Los responsables y encargados del tratamiento deberían planificar con antelación procedimientos para detectar y contener rápidamente una violación, evaluar el riesgo para las personas y decidir si es necesario notificar a la autoridad de protección de datos y comunicar el incidente a los afectados.

Si su empresa actúa como encargado del tratamiento, tres reglas permanecen fijas: documentar cada violación, notificarla a la autoridad dentro de 72 horas salvo riesgo improbable, y comunicarla a las personas sin dilación indebida cuando el riesgo sea elevado.

02

Qué cuenta como violación de datos

Una violación de datos personales es una violación de seguridad que ocasiona la destrucción, pérdida, alteración, divulgación no autorizada o acceso ilícito a datos personales. No se trata solo de la pérdida de datos: incluye incidentes que afectan la confidencialidad, integridad o disponibilidad, ya sea por accidente (un correo enviado al destinatario equivocado, una memoria USB perdida) o de forma deliberada, como el phishing.

03

Los pasos a seguir en secuencia

Pasos

1. Detectar y contener el incidente en cuanto se descubre
2. Evaluar el riesgo concreto para las personas afectadas
3. Notificar a la autoridad de protección de datos dentro de 72 horas, salvo riesgo improbable
4. Comunicar a los afectados sin dilación indebida si el riesgo es elevado
5. Documentar siempre los detalles, la evaluación, los efectos y las medidas adoptadas, incluso sin notificación

04

Un ejemplo hipotético

Escenario: un empleado de una PYME envía por error una lista de clientes a un destinatario externo equivocado. El equipo detecta el envío, bloquea el acceso al archivo cuando es posible y evalúa si los datos expuestos (nombres, contactos) suponen un riesgo para las personas. Si el riesgo no puede descartarse, la empresa notifica a la autoridad dentro de 72 horas y evalúa si informar a los clientes afectados, documentando cada paso.

05

Controles de prevención y verificación

• Un identificador único para cada usuario y autenticación para acceder a los sistemas
• Perfiles de autorización separados según las necesidades reales
• Revisión periódica de las autorizaciones y eliminación de las obsoletas
• Cifrado de los datos y seudonimización cuando sea posible
• Una política de seguridad dedicada para el teletrabajo y los dispositivos personales (BYOD)

06

Qué puede configurar una empresa con el apoyo de un socio de software

Una empresa puede pedir a su socio de software que configure un registro trazable de incidentes, con campos para la fecha de detección, descripción, personas involucradas, evaluación del riesgo y medidas adoptadas. Roles distintos (quién detecta, quién evalúa, quién notifica) y un historial consultable ayudan a cumplir la disciplina de documentación requerida, que sigue siendo una decisión operativa a definir con el profesional de referencia.

07

Preguntas frecuentes

¿Todo incidente de seguridad es una violación de datos? No: todas las violaciones de datos personales son incidentes de seguridad, pero no todos los incidentes de seguridad involucran datos personales.

¿Siempre hay que informar a las personas afectadas? No, solo cuando el riesgo para ellas es elevado; en algunos casos, como datos cifrados con claves no comprometidas, la comunicación individual no es necesaria pero debe garantizarse una información igualmente eficaz.

¿Debe documentarse también una violación no notificada? Sí: el artículo 33 apartado 5 exige documentar al menos los detalles fundamentales, la evaluación, los efectos y las medidas adoptadas.

08

Próximo paso práctico

Prepare hoy un borrador de procedimiento interno con los cinco pasos indicados y asigne un responsable para cada fase, de modo que pueda reaccionar sin dudar cuando sea necesario.