mi portátil con datos de clientes ha sido robado, ¿qué debo hacer ahora

Un portátil robado con datos de clientes suele ser una brecha de datos

Un portátil de empresa robado con datos de clientes cuenta en la mayoría de los casos como una brecha de seguridad de datos personales, tal como la define el artículo 4 del RGPD. Los datos salen del control de la organización, y eso es exactamente en lo que se centra esa definición — no importa si el portátil fue robado de un coche, un bolso o una oficina. Lo que exactamente había en ese portátil, y si esa información estaba cifrada o de otra forma protegida, también determina la gravedad, pero el robo en sí es el punto de partida de la evaluación. Una explicación más completa de qué entra y qué no entra en esa definición está en la página de la base de conocimientos sobre qué es exactamente una brecha de datos.

A partir del momento del descubrimiento ocurren dos cosas simultáneamente: determinar los hechos (qué datos, de quién, cuántas personas, y si había cifrado) y la pregunta de si esto debe notificarse — a la autoridad supervisora y posiblemente a los interesados mismos. Ambas preguntas dependen del riesgo que los datos robados suponen para las personas, y ese riesgo es precisamente por qué un portátil vacío o bien cifrado se evalúa de manera diferente a un portátil lleno de archivos de clientes sin cifrar. Cómo funciona esa ponderación para la notificación a la autoridad supervisora, está desarrollado en la página sobre cuándo debe notificarse una brecha de datos a la Autoridad de Protección de Datos, y la pregunta de si los interesados mismos también deben recibir un mensaje está en la página sobre informar a los interesados de una brecha de datos.

En qué se basa esto: artículo 4, artículo 32 y artículo 33 del RGPD

La definición de una brecha está en el artículo 4 del RGPD, la obligación de proteger los datos de manera adecuada — incluyendo el riesgo de pérdida de equipos — en el artículo 32, y la obligación de notificación a la autoridad supervisora en el artículo 33. Estos tres artículos se aplican directamente en toda la UE, por lo que la evaluación de si un portátil robado es una brecha de datos que debe notificarse sigue las mismas reglas en todas partes. Lo que sí varía por país es la autoridad supervisora a la que llega una notificación: en los Países Bajos es la Autoridad de Protección de Datos, en otros estados miembros la autoridad supervisora nacional de ese país. Las directrices del EDPB proporcionan una explicación complementaria sobre cómo se aplican estos artículos en la práctica, y la Autoridad de Protección de Datos ofrece en su propia página sobre brechas de datos una explicación neerlandesa de las mismas reglas.