Què ha de fer una empresa si hi ha una fuga de dades personals?
Cal contenir la bretxa, valorar quines dades i persones s'han vist afectades i quin risc tenen, i decidir si s'ha de notificar. Si la bretxa pot suposar un risc per als drets de les persones, el Reglament general de protecció de dades obliga a notificar-la a l'Agència Espanyola de Protecció de Dades en un màxim de 72 hores des que se'n té coneixement, i a comunicar-la a les persones afectades si el risc és alt. Totes les bretxes, també les no notificades, s'han de registrar internament.
Per a qui és rellevant
Rellevant per a qualsevol empresa que tracti dades de clients, treballadors o proveïdors: un correu enviat a qui no tocava, un portàtil perdut o un accés no autoritzat ja poden ser una bretxa.
Què es considera una bretxa
- Accés no autoritzat a correus, carpetes o bases de dades.
- Pèrdua o robatori d'un portàtil o mòbil sense xifrar.
- Un correu amb dades personals enviat a destinataris equivocats.
- Un atac de ransomware que xifra o extreu dades.
Passos
- Contenir: tancar l'accés, bloquejar comptes, demanar la retirada d'un enviament erroni.
- Documentar: què ha passat, quan, quines dades, quantes persones.
- Valorar el risc per a les persones afectades (tipus de dades, volum, possibilitat d'identificació).
- Notificar a l'AEPD en un màxim de 72 hores si hi ha risc. Si falta informació, es pot notificar per fases.
- Comunicar-ho a les persones afectades si el risc és alt, amb llenguatge clar i recomanacions.
- Registrar la bretxa al registre intern, encara que no calgui notificar-la.
Qui fa què
| Paper | Responsabilitat |
|---|---|
| Direcció | Decideix i signa la notificació com a responsable del tractament. |
| Delegat o assessor de protecció de dades | Valora el risc i redacta la notificació. |
| Equip tècnic | Contenció, abast, evidències i mesures per evitar que es repeteixi. |
Criteri Esolvo
Les 72 hores passen de pressa. Recomanem tenir decidit abans qui valora el risc i qui notifica, i que l'equip tècnic sàpiga quina informació haurà d'aportar. Aquesta informació no substitueix l'assessorament jurídic en protecció de dades.