¿Cómo gestionar una brecha de datos según la normativa de protección de datos?
En el entorno digital actual, las empresas manejan una cantidad significativa de datos personales, lo que las hace vulnerables a brechas de seguridad. Ante tales incidentes, es fundamental que las organizaciones actúen con rapidez y conforme a la normativa vigente para mitigar posibles sanciones y proteger los derechos de los afectados.
Un seguro de ciberriesgos puede facilitar este proceso, ya que incluye la cobertura para el procedimiento de notificación a la AEPD, garantizando que cumplas con la normativa. Además, te protege frente a las consecuencias económicas derivadas de estos incidentes, como la pérdida financiera, los gastos de recuperación de datos y la gestión de la crisis. Descubre más sobre nuestro seguro de ciberriesgos aquí.
¿Qué es una brecha de datos personales?
Según la Agencia Española de Protección de Datos (AEPD), una brecha de datos personales es cualquier incidente que provoque la destrucción, pérdida, alteración, divulgación no autorizada o acceso a datos personales tratados por una organización.
Obligación de notificación a la AEPD
El Reglamento General de Protección de Datos (RGPD) establece que, en caso de una brecha de seguridad, el responsable del tratamiento debe notificarla a la autoridad de control competente, en este caso, la AEPD, dentro de las 72 horas posteriores a su detección. Si la notificación se realiza fuera de este plazo, es necesario justificar el motivo del retraso.
Contenido de la notificación
La notificación debe incluir:
- Descripción de la naturaleza de la brecha, incluyendo las categorías y el número aproximado de interesados y registros afectados.
- Datos de contacto del delegado de protección de datos u otro punto de contacto para obtener más información.
- Consecuencias probables de la brecha.
- Medidas adoptadas o propuestas para abordar la brecha y, si corresponde, mitigar sus posibles efectos negativos.
Comunicación a los afectados
Si la brecha supone un alto riesgo para los derechos y libertades de las personas, además de notificar a la AEPD, es obligatorio informar directamente a los afectados sin dilación indebida. Esta comunicación debe realizarse de manera clara y sencilla, detallando la naturaleza de la brecha y las medidas adoptadas.
Excepciones a la comunicación a los interesados
No será necesario comunicar la brecha a los afectados si:
- Se han aplicado medidas de protección técnicas y organizativas adecuadas que hagan ininteligibles los datos personales afectados.
- Se han tomado medidas posteriores que garanticen que ya no existe un alto riesgo para los derechos y libertades de los interesados.
- Implicaría un esfuerzo desproporcionado; en su lugar, se realizará una comunicación pública o medida similar para informar de manera efectiva.
Sanciones por incumplimiento
El incumplimiento de las obligaciones de notificación y comunicación de brechas de datos puede conllevar sanciones significativas. La AEPD puede imponer multas que varían según la gravedad de la infracción, pudiendo alcanzar hasta 10 millones de euros o el 2% del volumen de negocio anual global de la empresa.
