Inicio/Protección de datos/Brechas de seguridad
Brechas de seguridad
El plazo de setenta y dos horas para notificar una brecha empieza a contar desde que se tiene conocimiento, no desde que se entiende lo ocurrido. En ese margen hay que detectar, contener, valorar el riesgo y decidir. Improvisarlo es la garantía de hacerlo mal.
Qué es una brecha
Toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados a los mismos. No solo un ciberataque: también un correo enviado con destinatarios en copia visible, un ordenador portátil perdido, documentación en papel extraviada, un empleado que accede a datos que no le corresponden o un servidor cifrado por un ransomware.
Confidencialidad —alguien ha accedido a lo que no debía—, integridad —los datos se han alterado— y disponibilidad —los datos no están accesibles—. Un ransomware afecta a las tres a la vez, y la pérdida de disponibilidad también es brecha, aunque nadie haya visto la información.
El protocolo
- Detección y comunicación interna. Cualquier empleado debe saber a quién avisar y en qué plazo. La mayoría de las brechas las detecta alguien que no sabe que lo es.
- Contención. Detener la fuga, aislar sistemas, revocar accesos y preservar evidencias sin destruir rastros.
- Valoración del riesgo. Tipo de datos, número de afectados, facilidad de identificación, gravedad de las consecuencias y medidas que mitigan el riesgo, como el cifrado.
- Notificación a la autoridad. En un plazo máximo de setenta y dos horas desde el conocimiento, salvo que sea improbable que la brecha suponga un riesgo. Si se retrasa, hay que motivar la demora.
- Comunicación a los afectados. Sin dilación indebida cuando el riesgo sea alto, en lenguaje claro y con recomendaciones concretas.
- Registro interno. De todas las brechas, incluidas las no notificadas, con los hechos, efectos y medidas adoptadas.
- Lecciones aprendidas. Corrección del control que falló y revisión de sus análogos.
Cuándo no hay que notificar
Cuando sea improbable que la brecha constituya un riesgo para los derechos y libertades de las personas. Ese juicio hay que hacerlo y documentarlo: la decisión de no notificar debe constar en el registro interno con su motivación. No notificar sin análisis previo es lo mismo que no cumplir, porque la ausencia de motivación se interpreta como ausencia de valoración.
Gestionar la brecha exclusivamente como incidente técnico. El departamento de sistemas contiene el ataque, restaura las copias y da el asunto por cerrado, sin que nadie valore la dimensión jurídica ni notifique. Semanas después, un afectado reclama y aparecen dos infracciones: la de seguridad y la de no notificación.
Esta página describe el marco general vigente en España y no sustituye al análisis del caso concreto. La normativa mercantil, laboral, penal y de protección de datos se modifica con frecuencia, y existen especialidades sectoriales y autonómicas: antes de tomar decisiones conviene verificar la redacción vigente de las normas citadas. Consúltenos su caso.
Sobre las brechas de seguridad
Nos han cifrado los sistemas con un ransomware. ¿Es brecha?
Sí, al menos por pérdida de disponibilidad, y muy probablemente también por acceso no autorizado, ya que la mayoría de los ataques actuales exfiltra información antes de cifrarla. Hay que valorar el riesgo, notificar salvo que sea improbable que exista, y comunicar a los afectados si el riesgo es alto. Además conviene denunciar penalmente y coordinar la respuesta técnica con la jurídica desde el primer momento.
La brecha la ha sufrido nuestro proveedor.
El encargado debe notificar al responsable sin dilación indebida, y es el responsable quien notifica a la autoridad y, en su caso, a los afectados. Por eso el contrato de encargo debe fijar un plazo interno corto de aviso: si el proveedor tarda cuatro días en comunicarlo, el plazo de setenta y dos horas del responsable puede haberse consumido sin que este lo supiera.
¿Notificar implica que nos van a sancionar?
No. La notificación es una obligación legal y su cumplimiento diligente se valora favorablemente. Lo que sí se sanciona es la ausencia de medidas de seguridad adecuadas cuando la brecha revela que no las había, y la falta de notificación cuando procedía. Entre notificar y no notificar teniendo que hacerlo, la segunda opción es siempre peor.
¿Quién controla hoy las obligaciones legales de su empresa?
Si la respuesta es «cada uno un poco» o «el despacho, cuando le llamamos», hay riesgo acumulado que nadie está midiendo. Cuéntenos cómo está organizada su empresa y le devolvemos un diagnóstico con lo que falta, lo que está desactualizado, lo que puede sancionarse y en qué orden conviene resolverlo, con una propuesta de honorarios cerrada.