¿Qué es exactamente una violación de datos?

Una violación de datos es cualquier incumplimiento en el que datos personales han quedado expuestos, perdidos o alterados

Una violación de datos es, en pocas palabras, un evento en el que los datos personales ya no están seguros: se han perdido, han caído en manos equivocadas, o han sido alterados o destruidos sin consentimiento. Por lo tanto, no se trata solo de hackers. Un correo electrónico mal dirigido con una base de datos de clientes en el archivo adjunto, un portátil robado sin cifrado, una memoria USB perdida en la calle, un ataque de phishing en el que se sustraen credenciales de acceso, o un error del sistema que expone datos públicamente de manera involuntaria — todo ello se considera una violación de datos, siempre que implique datos personales.

En la práctica, se distinguen tres tipos de incumplimientos: un incumplimiento de disponibilidad (datos perdidos o inaccesibles, por ejemplo, por un ataque de ransomware o una copia de seguridad defectuosa), un incumplimiento de integridad (datos alterados sin autorización) e un incumplimiento de confidencialidad (datos vistos o compartidos por alguien que no debería haberlo hecho). Un único incidente puede caer bajo varios de estos tipos simultáneamente. Que un evento constituya una violación de datos es una cuestión distinta de si debe ser notificado — esto último depende del riesgo que corre los interesados, y es un paso separado que viene después de la identificación de la violación.

De dónde procede esto: artículo 4 RGPD

La definición de violación de datos procede directamente del artículo 4 del RGPD, donde un "incumplimiento en materia de protección de datos" se define como un incumplimiento de la seguridad que, de forma accidental o ilícita, resulta en la destrucción, pérdida, alteración, divulgación no autorizada o acceso a datos transmitidos, almacenados o procesados de otra manera. Esta definición se aplica directamente en cada estado miembro, sin variación nacional. La Autoridad de Protección de Datos desarrolla esta definición en su página sobre violaciones de datos con la clasificación en incumplimientos de disponibilidad, integridad y confidencialidad, y con ejemplos de la práctica.