Una brecha de seguridad es cualquier incidente que provoque la pérdida, destrucción, alteración, acceso o divulgación no autorizada de datos personales, ya sea de forma accidental o ilícita. Este concepto está regulado por el artículo 4.12 del Reglamento General de Protección de Datos (RGPD) y constituye una de las obligaciones más críticas para las empresas en materia de privacidad.
Tipos de brechas de seguridad más frecuentes
En el día a día de cualquier organización pueden ocurrir incidentes que, aunque comunes, representan una brecha de seguridad según el RGPD
- Acceso indebido: cuando un empleado consulta datos personales sin necesidad para sus funciones.
- Pérdida de dispositivos: como USBs, portátiles o móviles con información sensible.
- Errores de envío: compartir por accidente correos o documentos con datos personales a destinatarios equivocados.
- Ciberataques: como malware, ransomware, phishing o intrusiones en sistemas.
- Sabotaje interno o externo: acciones intencionadas que afectan la integridad o disponibilidad de los datos.
Obligaciones legales ante una brecha de seguridad
El RGPD, en sus artículos 33 y 34, establece claramente cómo deben actuar las empresas si sufren una brecha:
Notificación a la AEPD en 72 horas
El responsable del tratamiento debe comunicar el incidente a la Agencia Española de Protección de Datos (AEPD) en un máximo de 72 horas, salvo que se determine que la brecha no supone un riesgo para los derechos y libertades de los afectados.
Información a los afectados si el riesgo es alto
Si se concluye que la brecha supone un alto riesgo para las personas, también se debe notificar a los propios interesados, de forma clara y comprensible.
¿Qué deben hacer las organizaciones para prevenir y actuar ante brechas?
Para minimizar riesgos y cumplir con el RGPD, toda empresa u organización debe:
- Evaluar riesgos con carácter preventivo.
- Documentar todas las brechas, incluso las no notificadas.
- Implementar medidas técnicas y organizativas adecuadas (como cifrado, control de accesos, formación del personal…).
- Designar un delegado de Protección de Datos (DPD) si es obligatorio según el RGPD o la LOPDGDD.
Las brechas de seguridad no son solo un fallo técnico, son una responsabilidad legal y reputacional para cualquier organización. Actuar con rapidez, transparencia y conforme a la ley puede marcar la diferencia entre una incidencia gestionada correctamente o una sanción por incumplimiento del RGPD.