Una violación de la seguridad de datos personales o Data Breach es “una violación de la seguridad que provoque la destrucción, accidental o ilícita, la pérdida, la alteración, la difusión o el acceso no autorizados, de datos personales transmitidos, conservados o tratados de otro modo”, según lo dispuesto en el artículo 4, apartado 12, del Reglamento General de Protección de Datos (“RGPD”).

Si su empresa es objeto de una violación de datos, estos son los pasos clave a seguir:

1. Evaluar el alcance de la violación de datos

El primer paso tras descubrir una violación de datos es evaluar su alcance. Esto implica determinar qué tipo de datos se han visto comprometidos, cuántos registros se han visto afectados y cómo se ha producido la filtración. Una evaluación detallada le permitirá comprender la gravedad de la situación y tomar las medidas adecuadas.

2. Actuar con rapidez

Tras conocer el alcance de la violación de datos, es crucial actuar con rapidez para mitigar los daños. Esto puede incluir tomar medidas inmediatas para detener la violación, como bloquear el acceso no autorizado y solucionar cualquier vulnerabilidad del sistema.

3. Comunicar interna y externamente

La transparencia es clave cuando se trata de hacer frente a una violación de datos.

Internamente, es importante informar a los empleados de lo ocurrido y las medidas que se están tomando para resolver la situación.

Externamente, las organizaciones deben comunicarse abiertamente con los clientes y otras partes interesadas, proporcionando información clara sobre la violación y los procedimientos adoptados.

Esta obligación recae en el responsable del tratamiento de datos, que está obligado a informar a los interesados de la ocurrencia de una violación de datos, siempre que se cumplan los requisitos legales establecidos en el artículo 34 del GDPR.

4. Cumplimiento de las obligaciones legales

Dependiendo de la gravedad de la situación, las empresas pueden tener obligaciones legales específicas que deben cumplir. Esto puede incluir la notificación a las autoridades competentes y a las entidades reguladoras responsables, así como informar a los clientes afectados.

El responsable del tratamiento de datos debe notificar a la Comisión Nacional de Protección de Datos (“CNPD”) sobre la violación ocurrida, tal como exige el artículo 33, apartado 1, del RGPD.

Además, a menos que no sea probable que la violación de los datos personales suponga un riesgo para los derechos y libertades de los interesados, la notificación debe realizarse en un plazo de 72 horas desde que se tuvo conocimiento de ella.

También es obligación del responsable del tratamiento disponer de una política interna para detectar y gestionar incidentes de seguridad con impacto en la protección de datos personales y, cuando el tratamiento de datos se realice por subcontratistas, disponer de mecanismos de control eficaces sobre las actuaciones de los subcontratistas, garantizando que no ponen en peligro el cumplimiento de las obligaciones del responsable del tratamiento en esta materia.

Una vez resuelta la violación de datos, es importante llevar a cabo un análisis posterior al incidente para comprender las causas y prevenir futuras situaciones similares.

Este análisis debe incluir una revisión de las políticas de seguridad de datos, formación adicional para los empleados y la aplicación de medidas adicionales de protección de datos.

El de cuenta con una amplia experiencia y un equipo especializado que puede asesorar a su empresa en el cumplimiento de la normativa legal en materia de protección de datos de carácter personal.