Un correo enviado al destinatario equivocado, un portátil perdido o un ataque informático pueden constituir una violación de la seguridad de los datos personales. En esos momentos, el tiempo cuenta. El Reglamento general de protección de datos fija un plazo muy corto para comunicar el incidente a la autoridad, y conocerlo con antelación marca la diferencia.
La regla del artículo 33
El artículo 33.1 establece que, en caso de violación de la seguridad de los datos personales, el responsable del tratamiento la notificará a la autoridad de control competente sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella. La excepción es que el responsable pueda demostrar la improbabilidad de que la violación entrañe un riesgo para los derechos y las libertades de las personas físicas.
Si la notificación no es posible en el plazo de 72 horas, debe acompañarse de una indicación de los motivos de la dilación. Puede facilitarse la información por fases.
Qué es constancia
El plazo comienza cuando el responsable tiene constancia razonable del incidente, no cuando concluye la investigación. Esto obliga a contar con procedimientos internos que permitan detectar y escalar los incidentes con rapidez.
Qué debe hacer la empresa
Un protocolo mínimo debería incluir:
- Un punto de contacto interno al que comunicar cualquier incidente.
- Una evaluación inicial del tipo de datos afectados y del riesgo.
- La contención del incidente para evitar que se agrave.
- La decisión documentada sobre si procede notificar.
- La conservación de un registro de todas las violaciones, aunque no se notifiquen.
Información a los afectados
Cuando la violación entrañe un alto riesgo para los derechos y libertades de las personas, el responsable debe además comunicárselo a los interesados sin dilación indebida. La comunicación debe explicar con lenguaje claro la naturaleza de la violación y las medidas recomendadas.
Encargados del tratamiento
Los proveedores que tratan datos por cuenta de la empresa deben notificarle sin dilación las violaciones de las que tengan conocimiento. Conviene que el contrato con ellos fije plazos concretos y canales de comunicación.
Prevención
La mejor respuesta es la anticipación. Formar a los empleados, utilizar contraseñas robustas, cifrar los dispositivos y hacer copias de seguridad reduce la probabilidad y el impacto de los incidentes.
Cuando se produzca un incidente, documente cada decisión. Un expediente ordenado es la mejor defensa ante una inspección y demuestra una actuación diligente.
Este asunto se incluye en el servicio de protección de datos y compliance.
Carlos Babot Horcajadas
Abogado colegiado en Málaga, nº 10.971. Socio de Babot Aranguren Abogados. Más sobre el autor.