mi buzón de correo empresarial ha sido hackeado, ¿debo notificarlo

Un buzón de correo hackeado suele ser una violación de datos; la notificación depende de las consecuencias

Un buzón de correo comercial hackeado es en la mayoría de los casos una violación de datos en el sentido del RGPD: hay acceso no autorizado a datos personales, y ese acceso surge casi siempre tan pronto como alguien de fuera inicia sesión en una cuenta que contiene datos de clientes o contactos. Con ello queda establecido que ha ocurrido algo que se ajusta a la definición de ¿qué es exactamente una violación de datos? Sin embargo, esto no es automáticamente lo mismo que una obligación de notificación a la autoridad supervisora.

Que la notificación a la autoridad supervisora sea necesaria depende del riesgo que conlleve la violación para las personas cuyos datos se encontraban en ese buzón —piensa en facturas con datos de dirección, presupuestos con números de identificación personal, o correspondencia con contenido sensible. Un buzón solo con datos de contacto comerciales de empresas asociadas conlleva un riesgo diferente al de un buzón lleno de expedientes de clientes o correspondencia médica. Esa evaluación y los pasos que conlleva están desarrollados en la página sobre ¿cuándo debo notificar una violación de datos a la Autoridad de Protección de Datos?. Independientemente de la notificación a la autoridad supervisora, también surge la pregunta de si los interesados deben ser informados, lo que tiene su propio marco de evaluación.

Fundamento en el RGPD: la definición de violación y la obligación de notificación

El fundamento está en el artículo 4 del RGPD, que define una violación de la seguridad de los datos personales como el acceso a, o la pérdida, alteración o destrucción de datos que no debería haber ocurrido —una descripción bajo la que generalmente cae un buzón hackeado. El artículo 33 del RGPD vincula a esto la condición para la notificación a la autoridad supervisora: esa obligación de notificación se aplica cuando la violación presenta un riesgo para los derechos y libertades de los interesados, con una excepción si ese riesgo es razonablemente improbable. Las directrices del EDPB desarrollan este concepto de riesgo más ampliamente, y la Autoridad de Protección de Datos ofrece en su página sobre violaciones de datos una guía práctica para esa evaluación. Lo que es igual en toda la UE: la definición y la prueba de riesgo de la regulación. Lo que varía según el país es la autoridad supervisora a la que va dirigida la notificación —en los Países Bajos la Autoridad de Protección de Datos, en otros Estados miembros la autoridad supervisora de ese país.