Hoteles, restaurantes, gestoras de alquiler vacacional y agencias inmobiliarias de Marbella tratan datos de huéspedes y clientes procedentes de muchos países: nombres, pasaportes, reservas, tarjetas y comunicaciones. Un correo enviado al destinatario equivocado o un ataque informático pueden convertirse en una violación de seguridad que obliga a actuar de inmediato.
Qué exige el artículo 33
El artículo 33.1 del Reglamento General de Protección de Datos obliga al responsable a notificar la violación de seguridad de los datos personales a la autoridad de control competente sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella. La notificación no es necesaria si es improbable que la violación constituya un riesgo para los derechos y libertades de las personas físicas.
Si la notificación no se hace en 72 horas, debe ir acompañada de los motivos de la dilación.
Qué es una violación de seguridad
No solo es un ataque. Incluye la pérdida de un dispositivo con datos, el envío de información a un tercero por error, el acceso no autorizado por un empleado o la pérdida de disponibilidad por un secuestro de sistemas. Cualquiera de ellos puede afectar a la confidencialidad, la integridad o la disponibilidad.
El reloj empieza con la constancia
Las 72 horas se cuentan desde que el responsable tiene constancia. Por eso es importante que el personal sepa a quién avisar cuando detecta un incidente. Un empleado que calla durante días retrasa la reacción de toda la empresa.
Contenido de la actuación
- Contener el incidente y cerrar los accesos afectados.
- Evaluar qué datos se han visto comprometidos y cuántas personas.
- Valorar el riesgo para los afectados.
- Decidir con rapidez si procede notificar a la autoridad.
- Documentar el incidente y las decisiones tomadas.
El encargado del tratamiento
Si el incidente ocurre en un proveedor, como un sistema de reservas, debe existir un contrato que obligue a avisar al responsable sin demora. Sin esa cláusula, la empresa puede enterarse tarde y perder horas decisivas.
Sanciones
El artículo 83.5 permite multas de hasta 20 millones de euros o del cuatro por ciento del volumen de negocio anual global, la cantidad más alta, para las infracciones de principios básicos y derechos de los interesados. Otros incumplimientos tienen un tramo propio.
Recomendación
Prepare un protocolo breve de respuesta, con responsables, teléfonos y plantillas. Practicarlo una vez al año reduce errores bajo presión.
Si su empresa o actividad está en Marbella, puede consultar el asesoramiento jurídico en Marbella. Este asunto se incluye en el servicio de protección de datos y compliance.
Carlos Babot Horcajadas
Abogado colegiado en Málaga, nº 10.971. Socio de Babot Aranguren Abogados. Más sobre el autor.