La ciberseguridad juridica: obligaciones legales de la empresa ante un ciberataque
Los ciberataques — ransomware, phishing, brechas de datos, ataques de denegacion de servicio — han pasado de ser una amenaza teorica a ser una realidad cotidiana para empresas de cualquier tamano. Pero mas alla del daño tecnologico y operativo inmediato, un ciberataque puede generar consecuencias juridicas muy significativas que muchos empresarios desconocen hasta que las viven. La empresa que sufre una brecha de seguridad informatica tiene un conjunto de obligaciones legales que debe cumplir en plazos muy estrictos, y el incumplimiento de esas obligaciones puede agradar considerablemente las consecuencias economicas y reputacionales del incidente.
La obligacion mas urgente y mas conocida es la notificacion de la brecha de datos personales a la Agencia Espanola de Proteccion de Datos (AEPD). El articulo 33 del RGPD establece que cuando se produce una violacion de la seguridad de los datos personales que entraña un riesgo para los derechos y libertades de las personas fisicas afectadas, el responsable del tratamiento tiene la obligacion de notificarla a la autoridad de control (la AEPD en Espana) en el plazo de 72 horas desde que tiene conocimiento de ella. Este plazo de 72 horas es extraordinariamente corto y requiere que la empresa tenga preparado un protocolo de respuesta a incidentes de seguridad que le permita detectar, evaluar y notificar la brecha en ese plazo. Si la brecha supone un alto riesgo para los derechos de los afectados — filtracion de datos medicos, financieros, de menores o de especial sensibilidad — la empresa debe ademas notificar a los propios afectados sin dilacion indebida, informandoles de la naturaleza de la brecha, los datos comprometidos y las medidas adoptadas para minimizar el impacto.
La responsabilidad civil ante los afectados por la brecha
Ademas de la notificacion a la AEPD, la empresa que sufre una brecha de datos puede ser demandada civilmente por los afectados cuya informacion personal ha quedado expuesta. El articulo 82 del RGPD establece el derecho de las personas fisicas afectadas a reclamar una indemnizacion al responsable del tratamiento por los daños materiales e inmateriales sufridos como consecuencia de la violacion. Los daños reclamables incluyen el daño material (perdidas economicas directas derivadas del uso fraudulento de los datos, como cargos no autorizados en tarjetas de credito o apertura fraudulenta de creditos), el daño inmaterial (la angustia, la perdida de control sobre la informacion personal, el riesgo de discriminacion) y el daño reputacional. Las demandas colectivas de grupos de afectados por grandes brechas de datos pueden generar reclamaciones de indemnizacion de importes muy elevados.
El protocolo de respuesta a incidentes: como prepararse antes de que ocurra
La mejor forma de gestionar las consecuencias juridicas de un ciberataque es estar preparado antes de que ocurra. El protocolo de respuesta a incidentes de la empresa debe incluir: la identificacion del equipo de respuesta (quien es el responsable de seguridad, quien es el DPO, a que abogado y a que empresa de ciberseguridad se llama), el procedimiento de deteccion y evaluacion inicial del incidente (como se determina si ha habido brecha de datos y cual es el alcance), el procedimiento de notificacion a la AEPD en el plazo de 72 horas (quien redacta la notificacion, que informacion debe incluir), la plantilla de comunicacion a los afectados, y el protocolo de preservacion de evidencias digitales para el eventual proceso judicial o para la defensa frente a la investigacion de la AEPD. Para la preparacion juridica de tu empresa frente a ciberataques y brechas de datos, LRB Tax y Legal elabora el protocolo de respuesta a incidentes de ciberseguridad de tu empresa, incluyendo los procedimientos de notificacion a la AEPD, la comunicacion a afectados y la preservacion de evidencias para el proceso judicial. Para la cuantificacion del dano economico derivado de un ciberataque y la valoracion de las reclamaciones de los afectados por brechas de datos, ValiTax elabora los informes periciales de cuantificacion del dano economico por ciberataques y de valoracion de las indemnizaciones reclamadas por los afectados por brechas de datos. Contacto: Contacto@LRB.es / +34 684 234 831.