¿Puedo gestionar un incidente de seguridad yo mismo?
Sí, puede realizar la mayor parte de la evaluación y gestión de un incidente de seguridad por su cuenta. El RGPD no establece que deba contratar a un abogado o a una empresa externa. Lo que exige la norma es que identifique el incidente, evalúe si presenta un riesgo para las personas cuyos datos se han visto afectados y —en caso afirmativo— lo notifique a tiempo a la Autoridad de Protección de Datos y, en su caso, a los interesados.
La capacidad de hacerlo de forma independiente depende principalmente del alcance y la complejidad del incidente. Un correo electrónico enviado erróneamente con datos de un cliente es algo muy diferente de un servidor pirateado con miles de expedientes de clientes. La línea entre hacerlo usted mismo y subcontratarlo no está determinada por la ley, sino por su propia capacidad para evaluar rápida y cuidadosamente lo que ha sucedido.
Lo que puede evaluar usted mismo
La primera pregunta ante cualquier incidente es si se trata realmente de un incidente de seguridad en el sentido del RGPD: ¿se han perdido datos personales, han sido consultados por alguien no autorizado, o se han modificado o eliminado por error? Puede evaluar esta cuestión fácilmente por su cuenta con un cuestionario claro. en pocas preguntas puede ver dónde se encuentra proporciona una indicación inicial sin que necesite recurrir inmediatamente a un asesor.
Si hay un incidente, sigue la evaluación del riesgo: ¿presenta peligro para los derechos y libertades de los interesados, por ejemplo porque datos sensibles han quedado expuestos o es posible el fraude de identidad? Esta evaluación también puede realizarla en muchas situaciones comunes siguiendo las directrices del EDPB y las orientaciones que proporciona la Autoridad de Protección de Datos. El banco de conocimiento con explicaciones por tema describe los criterios que intervienen en esta evaluación, incluyendo la referencia al texto oficial.
La notificación efectiva a la Autoridad de Protección de Datos también puede realizarla por su cuenta en la mayoría de los casos. El organismo supervisor dispone de un formulario de notificación específico, y la información solicitada —qué ha sucedido, qué datos están implicados, cuántas personas se han visto afectadas y qué medidas se han adoptado— es información que como organización usted conoce mejor que nadie.
Cuándo es aconsejable buscar ayuda adicional
En algunas situaciones la gestión independiente resulta más difícil. Si afecta a un gran número de interesados, implica datos especiales como datos de salud, o se trata de un incidente técnico cuyo alcance aún no está claro, es recomendable no confiar únicamente en su propia evaluación. Lo mismo ocurre si el incidente podría tener repercusiones en otro estado miembro, o si no está claro qué autoridad supervisora es competente.
Informar a los propios interesados —en lugar de solo a la autoridad supervisora— también requiere cuidado. El tono, el contenido y el momento de esa comunicación determinan en parte cómo reaccionan las personas, y un mensaje mal redactado puede causar más inquietud que el propio incidente. En estos casos, es aconsejable consultar a un abogado o ponerse en contacto con la Autoridad de Protección de Datos para conocer el procedimiento adecuado.
Lo que el RGPD exige y no exige
La norma establece un plazo dentro del cual un incidente de seguridad que deba notificarse debe comunicarse a la autoridad supervisora, y obliga a las organizaciones a documentar los incidentes de seguridad que se hayan producido, incluidos los que no necesitan ser notificados. Lo que el RGPD no exige es quién ejecuta este proceso dentro de su organización. Esto significa que la gestión independiente está permitida, siempre que el resultado cumpla con lo que exige la ley.
La responsabilidad permanece en la organización, incluso cuando parte del trabajo se subcontrata a un asesor o agencia. No se trata, por lo tanto, de transferirlo todo y desentenderse, sino de saber qué pasos se han dado y por qué.
El registro siempre es necesario
Ya sea que lo haga usted mismo o se haga acompañar, el registro es necesario en ambos casos: qué ha ocurrido, cuándo lo ha descubierto, qué valoración ha hecho del riesgo y qué medidas se han tomado para evitar que se repita. Ese registro no solo es útil para la autoridad supervisora, sino también para usted, en caso de que un incidente similar vuelva a ocurrir más adelante.
Cómo debe verse esa fundamentación y qué fuentes se utilizan al respecto puede leerse en la página de donde procede la información. Si duda de si su situación está sujeta a la obligación de notificación, primero haga la comprobación gratuita y lea los temas relevantes en la base de conocimientos antes de tomar una decisión. Si desea poner en orden estructuralmente el proceso de identificación hasta la resolución, puede registrarse para obtener una cuenta empresarial para que los plazos y el registro se ejecuten automáticamente.