Brecha de seguridad de datos personales

¿Es su caso?

• Envío de un correo con la lista de destinatarios en copia visible
• Pérdida o robo de un portátil o de un USB sin cifrar
• Base de datos expuesta en internet sin contraseña
• Documentación con datos personales accesible por error en la web

Ante quién se denuncia

Esta es la ruta habitual. El orden importa: algunas vías tienen plazos que empiezan a correr con su primera comunicación, y otras exigen haber agotado un paso previo. El asistente la ajusta a su caso concreto —comunidad autónoma, tipo de entidad responsable, si dispone de certificado digital— y puede cambiarla por completo.

Apoyo disponible (no reciben denuncias)

Normativa que se cita en el escrito

• Artículo 4.12 del Reglamento General de Protección de Datos, que define la violación de la seguridad de los datos personales.
• Artículo 33 del Reglamento General de Protección de Datos, sobre la notificación a la autoridad de control sin dilación indebida y, de ser posible, en el plazo de 72 horas.
• Artículo 34 del Reglamento General de Protección de Datos, sobre la comunicación a los interesados cuando la brecha entrañe un alto riesgo para sus derechos y libertades.
• Artículos 5.1.f) y 32 del Reglamento General de Protección de Datos, sobre confidencialidad y seguridad del tratamiento.
• Artículos 72 a 74 de la Ley Orgánica 3/2018, sobre el régimen sancionador en materia de protección de datos.

Qué pruebas conservar, y cómo

Hágalo antes de nada: los rastros digitales se sobrescriben solos. Esta lista va de lo específico de su caso a lo que vale para cualquier incidente.

1. Fije el momento exacto de constancia de la brechaAnote la fecha y la hora en que la organización tuvo conocimiento y quién dio el aviso. De ahí cuentan las 72 horas del artículo 33 del Reglamento General de Protección de Datos, no desde que concluya la investigación.
2. Delimite categorías y volumen de datos afectadosQué categorías de datos, cuántos interesados aproximadamente y qué consecuencias probables. Es el contenido mínimo que exige la notificación.
3. Documente las medidas adoptadas y las propuestasContención, erradicación, recuperación y medidas para mitigar los posibles efectos adversos. La diligencia demostrada pesa en la valoración de la autoridad.
4. Conserve los registros del sistema afectadoAccesos, servidor de correo, copias de seguridad, sistema de tickets. Guárdelos fuera del sistema comprometido.
5. Anote la brecha en el registro internoEl artículo 33.5 del Reglamento General de Protección de Datos obliga a documentar toda violación de seguridad, incluso las que no se notifican, con sus efectos y las medidas correctoras.
6. No borre ni «limpie» nadaNo elimine correos, conversaciones, perfiles ni archivos, aunque resulten desagradables. Tampoco reinstale equipos. Todo ello es prueba y su desaparición juega en su contra.
7. Capture con fecha, hora y contexto visibleLas capturas de pantalla deben mostrar la dirección completa (URL), el remitente, la fecha y la hora del dispositivo. Una captura recortada sin contexto tiene escaso valor probatorio.
8. Calcule el hash de cada archivo que entregueUn hash SHA-256 acredita que el archivo no se ha modificado desde que lo obtuvo. En Windows: «certutil -hashfile ARCHIVO SHA256». En macOS o Linux: «shasum -a 256 ARCHIVO». Anote el resultado en el propio escrito.
9. Entregue copia, nunca el originalAporte una copia en un soporte que pueda dejar en la dependencia policial o judicial (un USB barato). Conserve usted el original intacto.
10. Anote la cronología mientras la recuerdeFecha y hora de cada hecho, de cada llamada y de cada gestión, con el nombre de quien le atendió y el número de referencia que le dieron. Esta bitácora es, a efectos prácticos, prueba.
11. Valore el sellado de tiempo o el acta notarialSi el contenido puede desaparecer (una publicación, un perfil, una web), un acta notarial o un servicio de sellado de tiempo cualificado fija su existencia en una fecha concreta. Es la forma más sólida de evitar la discusión sobre la autenticidad.

Preguntas frecuentes