Una violación de datos personales puede adoptar formas muy cotidianas: un portátil con un archivo de clientes robado de un coche, un email enviado por error a la lista de destinatarios equivocada, un plugin de WordPress mal configurado que deja una base de datos accesible públicamente. En cada uno de estos casos, el reglamento general de protección de datos impone obligaciones precisas, con plazos ajustados que muchas pymes solo descubren en el momento en que ocurre el incidente.

Lo que el RGPD considera una violación

Una violación de datos, según el artículo 33 del RGPD, designa cualquier incidente de seguridad que provoque de forma accidental o ilícita la destrucción, pérdida, alteración, divulgación no autorizada, o acceso no autorizado a datos personales. Esta definición amplia abarca tanto un ciberataque como un simple error humano, como un email de newsletter enviado con los destinatarios visibles en copia en lugar de en copia oculta, exponiendo así las direcciones de todos los destinatarios entre sí.

La cuenta atrás de 72 horas

Cuando la violación puede suponer un riesgo para los derechos y libertades de las personas afectadas, la empresa responsable del tratamiento debe notificar el incidente a la autoridad de control sin dilación indebida, y si es posible, en un plazo de setenta y dos horas desde que tuvo conocimiento de ella. Este plazo no empieza en el momento en que ocurre el incidente técnico, sino cuando la empresa adquiere un conocimiento razonablemente cierto del mismo, lo que puede generar ambigüedad cuando el propio descubrimiento es progresivo. La notificación puede realizarse por etapas: una declaración inicial en setenta y dos horas, aunque sea incompleta, seguida de información adicional a medida que avanza la investigación, en lugar de esperar un análisis exhaustivo antes de declarar nada.

No todas las violaciones se tratan igual

La respuesta esperada depende del nivel de riesgo evaluado para las personas afectadas. Una violación considerada sin riesgo plausible para las personas, por ejemplo un archivo cifrado perdido sin clave de descifrado accesible, debe simplemente registrarse en un registro interno de violaciones, sin notificación a la autoridad de control. Una violación que presente un riesgo debe además notificarse en el plazo de setenta y dos horas. Una violación que presente un riesgo elevado, por ejemplo la exposición de datos bancarios o datos de salud, exige además informar individualmente a cada persona afectada, sin dilación injustificada.

Lo que debe contener la notificación

La notificación a la autoridad de control, presentada a través de su servicio en línea dedicado, debe describir la naturaleza de la violación, las categorías y el número aproximado de personas afectadas, las consecuencias probables del incidente, así como las medidas ya adoptadas o previstas para remediarlo y limitar sus efectos. Una notificación tardía sigue siendo posible pero debe entonces ir acompañada de los motivos que justifiquen ese retraso, lo cual no exime de la obligación pero puede potencialmente atenuar las consecuencias si el retraso está justificado.

Por qué las pymes están especialmente expuestas

Las pequeñas estructuras representan una parte significativa de las violaciones declaradas cada año en Francia, a menudo porque disponen de medios de seguridad más limitados que una gran empresa, sin estar por ello exentas de las mismas obligaciones legales. Un sitio WordPress con un plugin obsoleto, una contraseña de administración débil, o un proveedor externo mal regulado contractualmente, son puntos de entrada frecuentes para este tipo de incidente entre autónomos y pymes.

Prepararse antes de que ocurra el incidente

Mantener actualizado un registro de tratamientos de datos, documentar las medidas de seguridad existentes, y preparar con antelación una plantilla de notificación tipo permiten reaccionar más rápido el día en que un incidente ocurre realmente, en lugar de descubrir el procedimiento con urgencia. Para una pyme sin delegado de protección de datos interno, identificar de antemano un contacto jurídico o técnico capaz de acompañar este proceso evita perder un tiempo valioso en un plazo que se cuenta en horas y no en días.

Puntos a verificar antes de publicar: confirmar que el plazo de setenta y dos horas y los tres niveles de riesgo descritos en este artículo siguen correspondiendo a la redacción vigente de los artículos 33 y 34 del RGPD en el momento de la publicación, y comprobar que la dirección del servicio en línea de notificación de la autoridad de control sigue siendo exacta y accesible.