Normativa y datos
Brecha de seguridad de datos personales
Una brecha de datos personales es toda violación de la seguridad que ocasiona la destrucción, pérdida o alteración accidental o ilícita de datos personales, o su comunicación o acceso no autorizados (art. 4.12 del RGPD). Perder un móvil del equipo con datos de residentes o mandar un listado por error son brechas.
También se le llamaviolación de la seguridad de los datos personales · brecha de datos · data breach
Qué hacer y en cuánto tiempo
No hace falta un ataque informático: también es brecha la confidencialidad que se rompe por un descuido, el dato que se altera sin querer o el que deja de estar disponible, como un fichero sin copia que se corrompe. Lo que el RGPD pide al responsable depende del riesgo para las personas:
| Riesgo | Qué hace el responsable |
|---|---|
| Improbable | La documenta: hechos, efectos y medidas tomadas (art. 33.5) |
| Posible | Además, la notifica a la AEPD sin dilación indebida y, si es posible, en 72 horas desde que tiene constancia; si tarda más, explica por qué (art. 33.1) |
| Alto | Además, la comunica a los afectados en un lenguaje claro y sencillo (art. 34.1) |
Ojo con esto
El cifrado puede ahorrar la comunicación a los afectados: no hace falta si los datos eran ininteligibles para quien accedió (art. 34.3.a); ver cifrado. La notificación se hace en la sede electrónica de la AEPD y puede completarse por fases si no se tiene toda la información (art. 33.4). Si la brecha la sufre un proveedor, éste avisa al centro sin dilación indebida (art. 33.2), pero el plazo de 72 horas sigue siendo del centro, que es el responsable.
Fuentes
Términos relacionados
- AEPD (Agencia Española de Protección de Datos)La AEPD, Agencia Española de Protección de Datos, es la autoridad administrativa independiente que vigila en España el cumplimiento del RGPD y de la LOPDGDD: tramita reclamaciones, inspecciona y sanciona, recibe las notificaciones de brechas y las designaciones de delegados, y publica guías y herramientas.
- CifradoEl cifrado es la técnica que convierte unos datos en un texto ilegible para quien no tiene la clave. El RGPD lo nombra entre las medidas de seguridad de su art. 32 y le da un efecto práctico: si se pierden datos cifrados y la clave está a salvo, puede no hacer falta avisar a cada afectado.