hemos sido víctimas de ransomware, ¿es eso automáticamente una infracción de datos

El ransomware suele ser una brecha de datos, pero no automáticamente

Un ataque de ransomware suele constituir una brecha de datos en el sentido de la GDPR, pero el vínculo entre «víctima de ransomware» y «por lo tanto, notificación» no es automático. El artículo 4 de la GDPR define una brecha como toda destrucción, pérdida, alteración o comunicación no autorizada de datos personales. En el ransomware, los archivos se cifran o se vuelven inaccesibles, lo que se considera «pérdida de disponibilidad» — incluso si los datos no han sido consultados ni copiados. Esto generalmente satisface la definición de una brecha, lo que por lo demás es algo diferente de la cuestión qué es exactamente una infracción de seguridad de datos de la obligación de notificación en un caso concreto.

Si esos archivos cifrados contenían datos personales, y si existe un riesgo real para las personas a cuyos datos se refieren, sigue siendo una cuestión aparte. Un ataque de ransomware contra un servidor sin datos personales no es una brecha en el sentido de la GDPR. Un ataque en el que los datos sí se vieron afectados, pero existe una copia de seguridad que funciona bien y es posible una recuperación rápida, puede suponer un riesgo menor que un ataque en el que los datos también fueron sustraídos (extorsión doble). Esa evaluación del riesgo determina posteriormente cuándo debe notificarse una brecha de datos a la Autoridad de Protección de Datos, y si también los interesados deben ser informados.

En qué se basa esto

La definición de brecha en el artículo 4 de la GDPR es el punto de partida; el artículo 33 de la GDPR regula la notificación a la autoridad de control tan pronto como se produce una brecha, y el artículo 32 de la GDPR aborda la cuestión de si las medidas de seguridad eran adecuadas antes del ataque. Las directrices de la EDPB desarrollan explícitamente ejemplos de ransomware, incluida la distinción entre cifrado sin exfiltración y ataques en los que los datos también han sido robados. La obligación de evaluar una brecha y, en su caso, notificarla se aplica de la misma manera en toda la UE, porque la GDPR se aplica directamente; la autoridad de control que recibe la notificación varía según el Estado miembro — en los Países Bajos es la Autoridad de Protección de Datos, en otros países la autoridad de control de ese Estado miembro. Cuando un proveedor de TI o un socio de alojamiento se ve afectado por el ransomware, también surge la cuestión de si una notificación de un proveedor también genera una obligación de notificación propia.