Notificación de “Violaciones de Seguiridad de los Datos Personales.”

El RGPD define las violaciones de seguridad de los datos, más comúnmente conocidas como “quiebras de seguridad”, de una forma muy amplia, que incluye todo incidente que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. Sucesos como la pérdida de un ordenador portátil, el acceso no autorizado a las bases de datos de una organización (incluso por su propio personal) o el borrado accidental de algunos registros constituyen violaciones de seguridad a la luz del RGPD y deben ser tratadas como el Reglamento establece.

OBLIGACIONES:

– Cuando se produzca una violación de la seguridad de los datos, el responsable debe notificarla a la autoridad de protección de datos competente, a menos que sea improbable que la violación suponga un riesgo para los derechos y libertades de los afectados.

– La notificación de la quiebra a las autoridades debe producirse sin dilación indebida y, a ser posible,    dentro de las 72 horas siguientes a que el responsable tenga constancia de ella.

– La notificación ha de incluir un contenido mínimo:

• la naturaleza de la violación
• categorías de datos y de interesados afectados
• medidas adoptadas por el responsable para solventar la quiebra
• si procede, las medidas aplicadas para paliar los posibles efectos negativos sobre los interesados

– Los responsables deben documentar todas las violaciones de seguridad.

– En los casos en que sea probable que la violación de seguridad entrañe un alto riesgo para los derechos o libertades de los interesados, la notificación a la autoridad de supervisión deberá complementarse con una notificación dirigida a estos últimos.

– El objetivo de la notificación a los afectados es permitir que puedan tomar medidas para protegerse de sus consecuencias. Por ello, el RGPD requiere que se realice sin dilación indebida, sin hacer referencia ni al momento en que se tenga constancia de ella ni tampoco a la posibilidad de efectuar la notificación dentro de un plazo de 72 horas. El propósito es siempre que el interesado afectado pueda reaccionar tan pronto como sea posible.

– El RGPD añade a los contenidos de la notificación las recomendaciones sobre las medidas que pueden tomar los interesados para hacer frente a las consecuencias de la quiebra.

A TENER EN CONSIDERACIÓN:

 – La valoración del riesgo de la quiebra es distinta del análisis de riesgos previo a todo tratamiento. Se trata de establecer hasta qué punto el incidente, por sus características, el tipo de datos a los que se refiere o el tipo de consecuencias que puede tener para los afectados puede causar un daño en sus derechos o libertades.

– Los daños pueden ser materiales o inmateriales, e ir desde la posible discriminación de los afectados como consecuencia de su uso por quien ha accedido a ellos de forma no autorizada hasta usurpación de identidad, pasando por perjuicios económicos o la exposición pública de datos confidenciales.

– Se considera que se tiene constancia de una violación de seguridad cuando hay una certeza de que se ha producido y se tiene un conocimiento suficiente de su naturaleza y alcance.

– La mera sospecha de que ha existido una quiebra o la constatación de que ha sucedido algún tipo de incidente sin que se conozcan mínimamente sus circunstancias no deberían dar lugar, todavía, a la notificación, dado que en esas condiciones no sería posible, en la mayoría de los casos, determinar hasta qué punto puede existir un riesgo para los derechos y libertades de los interesados.

– En casos de quiebras que por sus características pudieran tener gran impacto, sí podría ser recomendable contactar con la autoridad de supervisión tan pronto como existan evidencias de que se ha producido alguna situación irregular respecto a la seguridad de los datos, sin perjuicio de que esos primeros contactos puedan completarse con una notificación formal más completa dentro del plazo legalmente previsto.

– Puede haber casos en que la notificación no pueda realizarse dentro de esas 72 horas, por ejemplo, por la complejidad en determinar completamente su alcance. En esos casos, es posible hacer la notificación con posterioridad, acompañándola de una explicación de los motivos que han ocasionado el retraso.

– La información puede proporcionarse de forma escalonada cuando no sea posible hacerlo en el mismo momento de la notificación.

– El criterio de alto riesgo debe entenderse en el sentido de que sea probable que la violación de seguridad ocasione daños de entidad a los interesados. Por ejemplo, en casos en que se desvele información confidencial, como contraseñas o participación en determinadas actividades, se difundan de forma masiva datos sensibles o se puedan producir perjuicios económicos para los afectados.

MEDIDAS DE RESPONSABILIDAD ACTIVA

 – La notificación a los interesados no será necesaria cuando:

• El responsable hubiera tomado medidas técnicas u organizativas apropiadas con anterioridad a la violación de seguridad, en particular las medidas que hagan ininteligibles los datos para terceros, como sería el cifrado.
• Cuando el responsable haya tomado con posterioridad a la quiebra medidas técnicas que garanticen que ya no hay posibilidad de que el alto riesgo se materialice.
• Cuando la notificación suponga un esfuerzo desproporcionado, debiendo en estos casos sustituirse por medidas alternativas como puede ser una comunicación pública.

La AEPD estableció en su momento un canal específico para la notificación de las quiebras de seguridad en el ámbito de las comunicaciones electrónicas, único en que hasta ahora resultaba obligatoria la notificación en aplicación de las previsiones de la Directiva 2002/58 y la normativa nacional de trasposición. Durante el periodo transitorio hasta la aplicación del RGPD la AEPD adaptará este canal para que pueda ser utilizado para la comunicación de las violaciones de seguridad en el marco del RGPD.

Asimismo, el Grupo del Artículo 29 preparará un formulario estandarizado a nivel europeo tanto para ayudar a los responsables a presentar unas notificaciones completas de acuerdo con los criterios del RGPD como para que esas notificaciones se realicen de forma armonizada a en toda la Unión Europea.

Por gentileza de : Prodacan,SL