Nuestra vida es cada vez más tecnológica y el tratamiento de datos personales adquiere una dimensión nunca vista. Los ciberataques crecen exponencialmente en número y magnitud con graves consecuencias económicas y reputacionales para las organizaciones. En 2022 asistiremos a grandes y complejos ciberataques cuyas consecuencias podrían haber sido, si no evitadas, al menos muy reducidas si se hubieran cumplido determinadas medidas organizativas y de seguridad aplicables al tratamiento de datos personales.
Cada vez más nuestros Clientes, preocupados por esta cuestión, nos buscan para identificar formas de prevenir o minimizar el impacto de estos ataques, sea contratando correctamente determinados servicios para su organización, siendo importante la correcta descripción funcional de las obligaciones que incumben al proveedor al respecto en dichos contratos (o mediante la realización de adendas a los contratos existentes), sea identificando cuáles son las mejores recomendaciones sobre las medidas a implantar para la protección de datos personales, e implementando formas para que la organización identifique, adopte y supervise su cumplimiento.
Desde principios de este año, la Comisión Nacional de Protección de Datos Portuguesa (CNPD) ya ha enumerado algunas medidas organizativas y de seguridad relevantes aplicables al tratamiento de datos personales dirigidas a responsables y encargados del tratamiento, con la intención de concienciarles de sus obligaciones legales en materia de seguridad del tratamiento y de la necesidad de realizar una mayor inversión en este ámbito (véase la Directriz/2023/1, aprobada por la CNPD el 10 de enero).
Es aconsejable disponer de planes de prevención actualizados que ayuden a proteger los sistemas e infraestructuras de la organización y crear mecanismos sólidos preparados para detectar una violación de datos personales y detener o mitigar, lo antes posible, los efectos adversos sobre los derechos de los respectivos titulares y sobre la propia organización.
Dicho plan de respuesta ante incidentes debe incluir una evaluación del riesgo para las personas físicas, que permita al responsable del tratamiento concluir si debe notificar la violación de los datos a la autoridad de control y a los interesados afectados. Es importante indicar que, si bien es posible facilitar la información necesaria para notificar a la autoridad de control estas amenazas por fases, ello no excluye ni debe excluir la obligación del responsable del tratamiento de actuar en tiempo y forma para responder correcta y oportunamente a la violación de los datos personales cuando se produzca.
Se recomienda que el responsable del tratamiento y sus subcontratistas (con las debidas adaptaciones) adopten medidas de seguridad específicas, adecuadas a las características y sensibilidad del tratamiento de datos personales realizado y a las especificidades de su organización, para cumplir con las obligaciones previstas en el Régimen General de Protección de Datos en materia de seguridad del tratamiento de datos personales.
Por ello, es importante analizar qué medidas se están aplicando en su organización, los contratos relativos a esta materia y cuál es su contenido obligatorio, y qué puede hacer para que su empresa cumpla con las medidas de seguridad (técnicas y organizativas) que se deben adoptar para minimizar las consecuencias sobre los derechos de las personas cuando se producen ciberataques y cada vez es más importante realizar este trabajo antes de sufrir las consecuencias de un ciberataque.
En el Departamento de Derecho Mercantil y Societario contamos con una amplia experiencia en la asesoría jurídica a personas físicas o jurídicas, nacionales o extranjeras, en este tipo de cuestiones y ayudamos a las empresas a cumplir la ley y a aplicar las mejores prácticas para evitar o minimizar los efectos indeseables de un ciberataque.
Miriam Brice
Departamento Derecho Mercantil y Societario | (Portugal)
Belzuz Advogados SLP
La presente publicación contiene información de carácter general sin que constituya opinión profesional ni asesoría jurídica. © Belzuz Abogados, S.L.P., quedan reservados todos los derechos. Se prohíbe la explotación, reproducción, distribución, comunicación pública y transformación total o parcial, de esta obra, sin autorización escrita de Belzuz Abogados, S.L.P.
