El DPO y la notificación de incidentes de seguridad
Los responsables y encargados del tratamiento quedan sometidos a una nueva obligación. La notificación de violaciones de seguridad de los datos personales.
Esta obligación se divide en dos comunicaciones diferentes. Por un lado, a las autoridades de control y por otro a los afectados.
Los encargados del tratamiento también están obligados a notificar a los responsables del tratamiento.
En caso de que exista un DPO en la entidad, éste sería el obligado a realizar esa notificación.
Aquí te explico el proceso.
¿En qué consiste la obligación de notificar las violaciones de seguridad?
La violación de seguridad se define como “toda brecha de seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizado a dichos datos” (art. 4.12 del RGPD).
Por tanto, se trata de acontecimientos como accesos no autorizados a repositorios de datos sensibles también son violaciones de seguridad.
Notificación a la autoridad de control
El responsable del tratamiento que sufra una brecha de seguridad que constituya un riesgo para los derechos y las libertades de las personas físicas tiene la obligación de comunicarla sin dilación indebida. Y de ser posible, en no más de 72 horas desde que tenga constancia de la misma.
Se deberá comunicar a la autoridad de control competente, que en el caso español es la Agencia Española de Protección de Datos (AEPD). O la autoridad autonómica en el caso de entidades que estén bajo su ámbito competencia.
Esta comunicación únicamente será necesaria cuando suponga un riesgo para los derechos y libertades de las personas, en la medida que puedan suponer:
- discriminaciones,
- pérdida de confidencialidad o
- cualquier otro daño económico o social.
Por el contrario, no será necesario comunicar la brecha de seguridad cuando exista una baja probabilidad de que el riesgo se materialice y que tenga un impacto para el interesado.
Las brechas de seguridad deberán ser estudiadas caso por caso. Y deberá existir un procedimiento muy claro dentro de la organización. Con las responsabilidades muy definidas para poder dar una respuesta eficaz a la violación y a la comunicación.
En los últimos años hemos sido testigos de este tipo de comunicaciones por parte de grandes organizaciones que vieron comprometidos datos bancarios de miles de sus usuarios.
Una comunicación a tiempo puede al menos ayudar a mitigar los daños reputacionales, la transparencia es un valor.
Comunicación a los interesados
La violación de datos personales deberá ser comunicada a los interesados de un modo claro y sencillo, sin dilación indebida cuando pueda entrañar un alto riesgo para sus derechos y libertades.
La finalidad de esta comunicación es facilitar al interesado la posibilidad de tomar las precauciones necesarias. Y así evitar consecuencias mayores debido a la violación de los datos personales.
¿Cuál es el contenido de la notificación?
La notificación a la Autoridad de Control, como mínimo, contendrá:
- Una descripción de la naturaleza de la violación. Y cuando sea posible, las categorías y número aproximado de interesados, categorías y número de registros afectados
- Datos de contacto del Delegado de Protección de Datos u otro punto de contacto
- Especificación de las posibles consecuencias
- Detalle de las medidas adoptadas o propuestas como remedio a la violación.
Además, el responsable del tratamiento debe documentar cualquier violación de seguridad (art. 33.5 RGPD), por lo que será necesario que los responsables del tratamiento mantengan un registro interno, que con la normativa previa era el conocido como “registro de incidencias”.
La comunicación de una violación de la seguridad de los datos a los interesados deberá describir, con un lenguaje claro y sencillo, la naturaleza de la violación y contendrá, como mínimo, la siguiente información:
- Los datos de contacto del Delegado de Protección de Datos u otro punto de contacto
- Descripción de las posibles consecuencias
- Explicación de las medidas adoptadas o propuestas como remedio a la violación.
¿Cuándo no tendría que comunicarse la violación a los interesados?
Existen una serie de excepciones en virtud de las que no es necesario comunicar una violación de la seguridad de los datos a los interesados:
- Se han adoptado medidas técnicas y organizativas apropiadas que, aplicadas a los datos comprometidos hiciera a estos ininteligibles y no permitiera su acceso por parte de terceros. Por ejemplo, el cifrado.
- Cuando se reaccione de manera eficaz, adoptando medidas ulteriores que puedan asegurar que no se vaya a producir ningún riesgo para los derechos y libertades de los interesados.
- Si la comunicación supone un esfuerzo desproporcionado. En este caso se debería llevar a cabo una comunicación pública o semejante que hiciera igualmente efectiva la notificación.
No obstante, el responsable del tratamiento tendrá siempre la obligación de documentar las violaciones de la seguridad de los datos. Incluyendo también los hechos relacionados con estas, sus efectos, así como las medidas correctivas que haya adoptado.
Esta documentación estará a disposición de la autoridad de control que, si lo considera oportuno en atención a la probabilidad de que la violación implique un alto riesgo para los interesados, podrá ordenar al responsable que lo comunique a los interesados.
Tampoco será necesario notificar una violación de la seguridad de los datos personales a la autoridad de protección de datos cuando “sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas”.
Directrices del Comité Europeo de Protección de Datos
El Comité Europeo de Protección de Datos (CEPD) publicó sus directrices sobre la notificación de las violaciones de la seguridad de los datos personales de acuerdo con el RGPD.
Clases de incidentes de seguridad
En estas directrices el CEPD, siguiendo un documento previo del Grupo de Trabajo del artículo 29, clasifica las violaciones, atendiendo a los principios de seguridad de la información, de la siguiente manera:
- Violación de la confidencialidad. Cuando se produce una revelación no autorizada o accidental de los datos personales, o el acceso a los mismos.
- Violación de la integridad. Cuando se produce una alteración no autorizada o accidental de los datos personales.
- Violación de la disponibilidad. Cuando se produce una pérdida de acceso accidental o no autorizada a los datos personales, o la destrucción de los mismos.
Además de analizar las previsiones del RGPD, respectivamente, en relación con la notificación de la violación de la seguridad de los datos a la autoridad de control y la comunicación al afectado, el CEPD se refiere expresamente a la necesidad de llevar un registro de las violaciones de la seguridad, con independencia de que tengan que notificarse y/o comunicarse, por el responsable. Lo que está vinculado al principio de responsabilidad proactiva (“accountability”).
Normativa aplicable y requisitos
Y se refiere también a la obligación de notificación en virtud de otras normas del Derecho de la Unión Europea.
Como el Reglamento (UE) 910/2014 relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior. O la Directiva (UE) 2016/1148 relativa a las medidas destinadas a garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión (Directiva RSI).
Por último, en su anexo incluye un diagrama de flujo con los requisitos aplicables a la notificación de una violación de la seguridad de los datos personales. Y una lista ejemplificativa de violaciones, así como a quién habría que notificarlas, ya sea tanto la autoridad de control y, en su caso, al afectado.
Regulación en la LOPDGDD
La nueva LOPDGDD, aprobada en España en diciembre de 2018, regula el tratamiento de datos relacionado con la notificación de incidentes de seguridad.
Indica que cuando se notifique un incidente de seguridad, podrán tratarse los datos personales contenidos en esa notificación por:
- autoridades públicas competentes,
- equipos de respuesta a emergencias informáticas (CERT),
- equipos de respuesta a incidentes de seguridad informática (CSIRT),
- proveedores de redes y servicios de comunicaciones electrónicas y
- proveedores de tecnologías y servicios de seguridad.
Pero solo podrán tratarse durante el tiempo y alcance necesarios para su análisis, detección, protección y respuesta ante incidentes. Y adoptando las medidas de seguridad adecuadas y proporcionadas al nivel de riesgo determinado.
¿Qué consecuencias tiene para el responsable no notificar esas brechas de seguridad?
El incumplimiento del deber de notificar estas violaciones de seguridad podrá suponer, en el caso de las empresas u otras organizaciones del sector privado, la imposición de una multa de hasta 10 millones de euros o el 2% de los ingresos totales anuales de la entidad.
Es por ello muy importante que todo el personal sea consciente de qué es una incidencia relacionada con protección de datos, en caso de que dé lugar a una violación. Y qué debe hacer si la detecta.
En España, la AEPD ha adoptado el canal de comunicación de brechas de seguridad existente en el ámbito de las comunicaciones electrónicas para las violaciones en materia de protección de datos.
Como ves, no es ninguna broma.
Prepárate para evitar incidentes de seguridad y, si se producen, para notificarlos.