En caso de una infracción de datos, necesita en esencia tres tipos de documentos: un registro interno de lo que ha sucedido, una evaluación de si la notificación a la Autoridad de Protección de Datos es obligatoria, y —si es así— la notificación en sí con su fundamentación. Si la comunicación a los interesados se suma a esto, entonces esa comunicación también cuenta como documento a preservar.
El detalle que con más frecuencia se pasa por alto en este tema es el registro interno. Incluso si después de evaluar decide que una infracción de datos no necesita ser notificada a la Autoridad de Protección de Datos, el RGPD sigue requiriendo que documente el incidente en sí: qué sucedió, qué datos afectó, cuáles podrían haber sido las consecuencias y por qué llegó a su conclusión. Muchos empresarios piensan que algo solo necesita constar por escrito cuando se notifica. Eso no es lo que describe la normativa.
El registro interno del incidente
Este es el documento que debe existir en toda infracción de datos, independientemente del resultado de su evaluación. Describe cuándo descubrió el incidente, qué sucedió exactamente, qué categorías de datos y qué interesados se vieron afectados, y qué medidas tomó para limitar las consecuencias. Los supervisores, durante una inspección, no solo observan las notificaciones que se han hecho, sino también si una organización puede demostrar cómo se han evaluado los incidentes anteriores. Sin este documento, esa fundamentación no existe.
La evaluación de si es necesaria la notificación
Junto al registro de hechos, se necesita un segundo documento: la propia evaluación. ¿Qué riesgos vio para los interesados, y sobre qué base concluyó que la notificación era o no necesaria? El RGPD distingue aquí el riesgo para los derechos y libertades de los interesados como criterio de medida. Documentar esa evaluación no solo es útil para usted posteriormente, sino que es también el documento con el que puede demostrar que se tomó una decisión consciente, y no al azar. Quien duda de si un incidente concreto está sujeto a la obligación de notificación, encontrará en el árbol de decisión que da una primera indicación en unos pocos pasos un punto de partida, sin que esto sustituya su propia evaluación.
La notificación a la Autoridad de Protección de Datos
Si la conclusión es que la notificación es necesaria, la notificación en sí se añade como documento: qué ha notificado, cuándo, y con qué datos. El RGPD establece un plazo de 72 horas desde que tuvo conocimiento de la infracción de datos. Conserve no solo la confirmación de la notificación, sino también la versión de los hechos tal como se conocían en el momento de notificar — que puede completarse posteriormente si se descubren más detalles sobre el alcance.
La comunicación a los interesados
En algunos casos, también debe haber un mensaje a los propios interesados, por ejemplo cuando el riesgo para ellos se considera significativo. Ese mensaje también —qué se comunicó exactamente y a quién— es parte del expediente. No es una plantilla fija que sea igual para toda infracción de datos; el contenido depende de lo que sucedió y de qué datos se trata.
Acuerdos con proveedores y encargados de tratamiento
Si la infracción de datos ocurre en una parte que procesa datos para usted, como un paquete de contabilidad u un proveedor de alojamiento, el acuerdo establecido sobre esto en el contrato de encargo de tratamiento también debe ser parte del expediente: ¿notifica esa parte incidentes a usted, y dentro de qué plazo? Quien aún no tiene esto claro, encontrará en la base de conocimientos donde esto se desarrolla según cada situación un punto de referencia para revisar los contratos de encargo de tratamiento sobre este aspecto.
Por qué este expediente está separado de su seguridad
La documentación en torno a una infracción de seguridad es algo diferente de las medidas que adoptó de antemano para evitar una infracción de seguridad, pero las dos se relacionan: una autoridad de control puede preguntarle cómo era su seguridad en el momento del incidente. Cómo se documenta la seguridad de datos en la práctica puede leerlo a través de la orientación sobre medidas de seguridad apropiadas.
Tener esto en orden ahora
La base de conocimientos y el árbol de decisión son gratuitos de consultar, sin cuenta. Si desea tener el registro de incidentes, los plazos y las plantillas para ellos de forma estructurada en un único lugar en lugar de tener que buscarlo de nuevo cada vez, para eso se ha diseñado la suscripción en gdpria.eu. Una cuenta comercial la crea a nombre de su número de KvK y número de IVA, vinculada a la organización y no a una única dirección de correo electrónico.
Si en este momento tiene una posible infracción de seguridad que evaluar, primero realice el análisis rápido gratuito o lea los temas en la base de conocimientos. Para la explicación de qué corresponde exactamente a su situación, un abogado o la Autoriteit Persoonsgegevens sigue siendo el punto de contacto indicado.