he perdido un pendrive con datos de clientes, ¿es eso una infracción de datos

Una memoria USB perdida suele ser una infracción de seguridad de datos

Una memoria USB con datos de clientes que se ha perdido es en la mayoría de los casos una infracción de seguridad de datos en el sentido de la RGPD. La definición del artículo 4 RGPD habla de una violación de la seguridad que conduce a la pérdida de datos personales, y eso es exactamente lo que ocurre cuando una memoria con nombres, direcciones u otros datos de clientes ya no se puede encontrar: los datos no se han destruido, pero sí han quedado fuera del control de la empresa. Que también caigan en manos equivocadas no es el núcleo de la cuestión — la pérdida de control es suficiente para caer bajo la definición.

Lo que ocurre después depende de qué había en la memoria y cómo estaba protegida. Una memoria cifrada con un conjunto limitado de datos presenta un panorama diferente que una memoria sin protección con muchos datos de clientes o información sensible. Esta distinción es relevante para la pregunta cuándo debo notificar una infracción de seguridad de datos a la autoridad de supervisión, y también para la pregunta de si los clientes deben ser informados — esta cuestión se describe en la página sobre debo informar a los interesados de una infracción de seguridad de datos. Para la distinción entre un incidente y una infracción de seguridad de datos en sentido más amplio, la página qué es exactamente una infracción de seguridad de datos es un punto de partida lógico.

En qué se basa esto

La definición de una violación de la seguridad se encuentra en el artículo 4 RGPD, y el artículo 33 RGPD regula la notificación a la autoridad de supervisión una vez que se cumplen los requisitos para ello. La autoridad de supervisión elabora esto más en su página sobre notificación de infracciones de seguridad de datos, y el RGPD ha publicado directrices con ejemplos de tipos de infracciones de seguridad de datos, incluida la pérdida de soportes de datos. La obligación de notificar se aplica en toda la UE conforme a la Regulación, pero el lugar donde se notifica varía según el país: en los Países Bajos es la autoridad de supervisión, en otros Estados miembros la autoridad de supervisión designada en ese Estado.