Brecha de seguridad: qué hacer en las primeras 72 horas

Un empleado envía un listado de clientes a la dirección equivocada. Roban el portátil de un comercial. Un día los ordenadores amanecen cifrados con un mensaje pidiendo un rescate. Las brechas de seguridad no son algo que solo les pase a las grandes empresas: les pasan a todas. Lo que marca la diferencia es cómo se reacciona en las primeras horas.

Qué es una brecha de datos personales

El RGPD la define como:

«toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos» (artículo 4.12 del RGPD).

La AEPD suele clasificarlas en tres tipos:

• De confidencialidad: alguien que no debía accede a los datos (correo enviado por error, acceso no autorizado, robo de un dispositivo sin cifrar, un correo masivo con todas las direcciones a la vista).
• De integridad: los datos se alteran o se corrompen.
• De disponibilidad: los datos se pierden o no se puede acceder a ellos, aunque sea temporalmente (ransomware, borrado accidental sin copia).

No todo incidente informático es una brecha de datos personales: si se cae la web de la empresa pero no hay datos de personas afectados, no lo es. Y no toda brecha hay que notificarla: depende del riesgo.

La regla de las 72 horas

«el responsable del tratamiento la notificará a la autoridad de control competente [...] sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas» (artículo 33.1 del RGPD).

Tres detalles importantes:

• Las 72 horas cuentan desde que tienes constancia de que hay datos personales afectados, y cuentan también fines de semana y festivos.
• Si notificas más tarde, tienes que explicar el motivo del retraso.
• No hace falta tenerlo todo: puedes hacer una notificación inicial y completarla después por fases (artículo 33.4 del RGPD).

Si la brecha se produce en un proveedor (tu encargado del tratamiento), este debe avisarte a ti sin dilación indebida (artículo 33.2). La notificación a la AEPD sigue siendo tuya, salvo que hayáis pactado otra cosa.

Hora a hora: qué hacer

Primeras horas: contener y anotar

1. Anota la fecha y hora en que se detectó el incidente y quién lo detectó. Es el punto de partida del plazo.
2. Contén el daño: desconecta de la red el equipo afectado, cambia contraseñas, bloquea accesos, pide al destinatario erróneo que borre el correo y que te lo confirme por escrito, solicita el bloqueo remoto del dispositivo robado.
3. No borres pruebas: registros, correos, capturas. Las necesitarás para entender qué pasó.
4. Avisa a quien gestiona la protección de datos en tu empresa (o a tu asesor) y, si es un ataque, a tu servicio informático.

Hasta las 48 horas: entender y valorar

1. ¿Qué datos se han visto afectados? ¿De cuántas personas? ¿Hay datos especialmente sensibles (salud, datos bancarios, menores)?
2. ¿Estaban cifrados o protegidos de forma que sean ininteligibles para quien los tenga?
3. ¿Quién puede tenerlos ahora? No es lo mismo un cliente de confianza que lo recibió por error que un delincuente.
4. ¿Qué consecuencias puede tener para las personas: fraude, suplantación, daño reputacional, discriminación?

La AEPD ofrece herramientas gratuitas en su web, como Asesora Brecha, que ayudan a decidir si hay que notificar.

Antes de las 72 horas: notificar si procede

Si hay riesgo, se notifica a la AEPD a través de su sede electrónica. La notificación debe describir, como mínimo, la naturaleza de la brecha, las categorías y el número aproximado de afectados y de registros, el contacto del delegado de protección de datos o del responsable, las posibles consecuencias y las medidas tomadas o propuestas (artículo 33.3 del RGPD).

¿Hay que avisar a los afectados?

Si es probable que la brecha suponga un alto riesgo para las personas, también debes comunicárselo a ellas sin dilación indebida, en un lenguaje claro y sencillo, explicando qué ha pasado, sus posibles consecuencias, qué has hecho y qué pueden hacer para protegerse (por ejemplo, cambiar una contraseña o vigilar movimientos bancarios) (artículo 34 del RGPD).

No es necesario comunicarlo a los afectados si los datos estaban cifrados de forma que nadie pueda leerlos, si has tomado medidas que hacen que el alto riesgo ya no sea probable, o si supondría un esfuerzo desproporcionado; en este último caso, se sustituye por una comunicación pública (artículo 34.3).

El registro de brechas: siempre

Aunque decidas que no hay que notificar, debes documentar la brecha: qué pasó, sus efectos y las medidas que tomaste (artículo 33.5 del RGPD). Ese registro permite a la AEPD comprobar que actuaste bien, y te ayuda a ti a no tropezar dos veces con la misma piedra.

Si es un ataque informático

• Además de la AEPD, puedes denunciar ante la Policía Nacional o la Guardia Civil.
• INCIBE ofrece una línea gratuita y confidencial de ayuda en ciberseguridad, el 017.
• No tomes decisiones como pagar un rescate sin asesorarte: no garantiza recuperar los datos ni que no se publiquen.
• Restaura desde copias de seguridad limpias y revisa cómo entraron antes de volver a la normalidad.

Prepárate antes de que ocurra

• Ten un procedimiento escrito y que el equipo sepa a quién avisar.
• Cifra portátiles y móviles de empresa.
• Haz copias de seguridad y comprueba que se pueden restaurar.
• Usa la copia oculta (CCO) en los envíos a varios destinatarios.
• Activa la verificación en dos pasos en el correo y los programas importantes.
• Exige en los contratos con tus proveedores que te avisen de inmediato.

En las clínicas, donde los datos de salud elevan el riesgo, y en las empresas tecnológicas, que custodian datos de sus clientes, estar preparado es imprescindible. Dentro de nuestro servicio de protección de datos te damos el procedimiento, el registro de brechas y apoyo cuando ocurre.