Es un incidente de seguridad que ocasiona la destrucción, pérdida, alteración, comunicación o acceso no autorizado a datos personales. Puede deberse a un ciberataque, error humano, fallo de configuración, robo de dispositivos, envío equivocado de información, pérdida documental o actuación indebida de un proveedor. Lo relevante no es solo que haya ocurrido un problema técnico, sino que ese problema haya afectado a datos personales tratados por la empresa.

La notificación debe valorarse cuando la brecha pueda suponer un riesgo para los derechos y libertades de las personas físicas. Para decidirlo hay que analizar qué datos se han visto afectados, cuántas personas pueden estar implicadas, qué consecuencias puede producir el incidente, si los datos estaban cifrados, si han sido recuperados, si hay indicios de acceso por terceros y qué medidas de contención se han aplicado.

El plazo general para notificar a la autoridad de control es de 72 horas desde que la organización tiene constancia de la brecha. Si todavía no se conoce todo el alcance del incidente, puede ser necesario realizar una notificación inicial con la información disponible y ampliarla posteriormente. Por eso es importante activar cuanto antes una valoración jurídica y técnica coordinada.

No siempre. La comunicación a las personas afectadas se exige cuando la brecha puede entrañar un alto riesgo para sus derechos y libertades. En esos casos, la comunicación debe ser clara, comprensible y útil para que las personas puedan adoptar medidas de protección. Debe explicar qué ha ocurrido, qué datos pueden estar afectados, qué medidas ha tomado la organización y qué recomendaciones se ofrecen.

Si el incidente se produce en un proveedor que actúa como encargado de tratamiento, hay que revisar el contrato, sus obligaciones de seguridad, los plazos de aviso, las medidas adoptadas y la información que debe facilitar al responsable. La empresa responsable del tratamiento debe poder documentar su actuación y demostrar que ha exigido al proveedor la información necesaria para valorar el riesgo y cumplir con sus obligaciones.

Sí, especialmente si se aprecia falta de medidas de seguridad adecuadas, ausencia de diligencia, notificación tardía, falta de documentación, inexistencia de protocolos o una respuesta desordenada. Sin embargo, haber sufrido una brecha no significa automáticamente que exista sanción. Lo importante es acreditar que la empresa tenía medidas razonables, que actuó con rapidez, que documentó las decisiones y que adoptó medidas correctoras.

Sí. Podemos revisar la notificación presentada, preparar comunicaciones complementarias, ordenar la documentación interna, responder a requerimientos, valorar la comunicación a afectados y asesorar a la empresa en la fase posterior al incidente. También podemos revisar qué medidas organizativas, contractuales y técnicas conviene reforzar para reducir riesgos futuros.