Sabes actuar ante una brecha de seguridad. La cantidad de datos personales que se recaban, almacenan y se tratan en nuestras empresas son ingentes. En la misma línea cada vez son mas frecuentes los accidentes e incidentes relacionados con la recogida, almacenamiento y tratamiento de los mismos.
Es obligación del responsable y/o encargado del tratamiento de estos datos deben llevar a cabo una gestión adecuada de estos accidentes/ incidentes cuando tienen lugar. El RGPD establece que en estos casos se deben realizar una serie de actuaciones específicas (registro, mitigar sus consecuencias, notificación a la AEPD, informar a los interesados, etc.). por ello establece que se debe disponer de un protocolo de actuación ante estos acontecimientos
¿Que es una violación de seguridad de datos personales?
Es todo acontecimiento que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos; y que podría producir daños sobre los derechos y libertades de las personas físicas cuyos datos personales se están tratando.
¿Que no se considera una brecha de seguridad?
Cualquier incidente de seguridad que no haya afectado a datos personales o tratamientos de datos personales. Por tanto no se tienen en cuenta otros perjuicios que pueda producir el incidente al responsable o encargado del tratamiento.
Aquellos que ocurran a una persona física en el ámbito exclusivamente personal o doméstico.
¿Ejemplos de brechas de seguridad?
Ataques o ciberataques de delincuentes
- Pueden ser ataques a través de un código malicioso que se introduce en nuestros sistemas y se accede a los datos de la empresa, se cifran los datos personales y, posteriormente, el atacante pide un rescate a cambio del código de descifrado.
- En otras ocasiones se aprovechan las vulnerabilidades de los sistemas de la empresa. A través de servicios ofrecidos a terceros a través de internet, con el objetivo de objetivo copiar, extraer y usar indebidamente los datos personales, tambien las credenciales de acceso.
- otras veces se trata de robo de documentación o dispositivos con información personal.
Factores humanos intencionados
Se trata de actuaciones malintencionadas de algún miembro de la organización
- Filtración voluntaria de datos de clientes por parte de un/ empleado/a.
- Modificación no autorizada de datos por parte de un/ empleado/a.
Factores humanos no intencionados
En otras se producen por un Factor humano no intencionado, que obedecen a falta de información y formación de los trabajadores en el uso de los datos personales que maneja la organización, otras veces a la falta o insuficiencia de medidas tecnicas u organizativas que debe implantar la empresa en función del analisis de riesgo llevado a cabo y dirigidas a eviatr o minimizar los riesgos.
ejemplo de factores humanos no intencionados son los siguientes:
- Pérdida de documentación o dispositivos con información personal.
- Desechar documentos o soportes con información personal sin destruirla previamente.
- Comunicación accidental de datos a un tercero:
- En envíos a múltiples destinatarios, no utilizar el campo copia oculta.
- Envío postal a destinatarios distintos al que se pretendía.
- Enviar un adjunto con datos personales por error a destinatarios distintos al que se pretendía.
- Compartir documentos con información personal por error en un grupo de WhatsApp.
¿Qué hay que hacer ante una brecha de seguridad?
En primer lugar, informar a nuestro consultor de protección de datos si lo tenemos, o al DPO si lo tiene designado. Ellos analizaran el incidente y determinaran si realmente se trata de una brecha de seguridad y si supone un riesgo o no para los interesados afectados por la misma (clientes, pacientes, alumnos, proveedores, personal, contactos, etc.) y, actuaran de acuerdo con el protocolo de violaciones de seguridad establecido en la empresa que debe etar implantado y divulgado en la organización.
Una vez investigado se debe actuar según proceda:
Si no supone un riesgo
Documentar la brecha a través de su inclusión en el registro de violaciones de seguridad.
Y si supone un riesgo
Si supone un riesgo además de los anterior, se deben adoptar medidas de seguridad que mitiguen sus consecuencias:
En el siguiente enlace dispone de una relación no exhaustiva de las medidas de seguridad que se pueden implementar https://ampyf.es/top-brechas-de-seguridad/
Notificar la brecha a la Autoridad de Control lo antes posible y a más tardar 72 horas después de que haya tenido constancia de ella.
Si el riesgo es alto, además de todo lo anteriorse debe Comunicar la brecha a los interesados afectados.
Si se tiene designado un DPO, este actuará como punto de contacto con la Autoridad de Control en el proceso de notificación de la brecha de seguridad que afecte a datos personales, así como de las respuestas a los requerimientos realizados por dicha Autoridad, siempre de acuerdo con el proceso de gestión de brechas implantado en la organización.
Posibles consecuencias de una brecha de seguridad
Dentro de las posibles consecuencias de una brecha de seguridad esta la posibilidad de tener reclamaciones o de sufrir sanciones por parte de la autoridad de control.
Reclamaciones y sanciones
hay que tener en cuenta que una persona afectada por una violación de seguridad puede reclamar ante la autoridad de control por vulneración de sus derechos y libertades. En el caso de que se compruebe dicha vulneración la Autoridad de Control puede sancionar al responsable del tratamiento por:
- No documentar cualquier violación de seguridad en los términos exigidos en el RGPD.
- No notificar, notificar fuera de plazo, o notificar de manera incompleta una violación de seguridad a la Autoridad de control, cuando suponga un riesgo para los interesados.
- No comunicar una violación de seguridad al interesado, cuando entrañe un alto riesgo para sus derechos y libertades.
- Y también puede sancionar al encargado del tratamiento por Incumplir el deber de notificar al responsable del tratamiento las violaciones de seguridad de las que tuviera conocimiento.
¿Eres una empresa y tienes dudas sobre confidencialidad o sobre Protección de Datos? Contacta con nosotros sin compromiso.
Para cualquier duda a la hora de gestionar la confidencialidad o cuestiones relacionadas con Protección de Datos en tu empresa, contacta sin compromiso. Recuerda que para cualquier tratamiento de datos de carácter personal es fundamental recibir un asesoramiento profesional. Y nosotros estamos aquí para ayudarte.
Contacte con nosotros para conocer mucho más sobre Protección de datos para Pymes. Además puedes informarte del resto de nuestros servicios. No dudes en contactar a través de nuestra web o por email, y pídenos presupuesto sin compromiso . Además puedes seguirnos en redes sociales para estar al tanto de noticias, consejos, nuestros cursos y mucho más:
Si te ha resultado el artículo útil, puedes compartirlo con los iconos que aparecen justo debajo de este artículo.
Si nos sigues podrás estar al tanto de, no solo conceptos como el registro de actividades de tratamiento, sino de todo tipo de novedades con respecto a la Protección de Datos y estar al día de una legislación tan cambiante como ésta.
Comentarios recientes