Brecha de datos: cuándo notificar, cuándo no, dentro de 72 horas

No todo incidente es una brecha de datos. No toda brecha hay que notificarla a la autoridad competente. Aquí tienes el árbol de decisión y una plantilla de notificación lista para usar.

Una brecha de datos (breach) es una violación de la seguridad en la que datos personales han sido destruidos, perdidos, alterados, divulgados o accedidos por personas no autorizadas. ¿Cuándo hay que notificar?

Árbol de decisión

1. ¿Es una brecha de datos? Si tienes dudas: sí.
2. ¿Existe riesgo para los afectados? ¿Los datos son públicos? ¿Puede haber daños económicos? ¿Hay riesgo de suplantación de identidad?
3. Riesgo bajo (p. ej., dispositivo cifrado extraviado): no es necesario notificar a la autoridad, pero sí registrarlo internamente en el registro de incidentes.
4. Riesgo considerable: notificar a la autoridad competente en un plazo de 72 horas.
5. Riesgo elevado para los afectados: informar también directamente a los afectados.

¿Qué se debe notificar?

• Naturaleza de la brecha de datos.
• Categorías y número de afectados.
• Categorías y número de datos personales implicados.
• Consecuencias de la brecha.
• Medidas adoptadas o previstas.
• Datos de contacto del DPO o persona responsable.

El reloj de las 72 horas

El plazo comienza desde el momento en que tuviste conocimiento del incidente, no desde que ocurrió. Los fines de semana cuentan. Se permite una notificación parcial con información adicional posterior.

¿Dónde se notifica?

autoriteitpersoonsgegevens.nl — formulario de notificación de brechas de datos en línea. Guarda una copia.

Qué hacer dentro de la organización

• Equipo en acción: responsable de seguridad, dirección, comunicación.
• Investigación: ¿qué ha ocurrido exactamente?
• Contención: detén la filtración.
• Documentación forense: evidencias para la investigación.
• Preparar la comunicación: interna, externa, medios.

Ver también: cómo crear un registro de incidentes, respuesta ante incidentes.