«Las brechas de seguridad en el RGPD», tribuna de Sonia Vázquez, abogada de ECIJA, para Actualidad Jurídica Aranzadi.

El nuevo Reglamento General de Protección de Datos (en adelante, RGPD) viene a introducir una serie de novedades a tener en cuenta en aquellos casos en los que cualquier empresa sufra una brecha de seguridad. En esta línea, el Grupo de Trabajo del Artículo 29, ha venido a desarrollar una Guideline que señala las directrices sobre notificación de las violaciones de seguridad de los datos personales de acuerdo con el Reglamento 679/2016.

Lo novedoso se encuentra en que antes de la entrada en vigor del RGPD, la obligación de notificar las brechas de seguridad o violaciones de seguridad, se limitaba a los operadores de servicios de comunicaciones electrónicas disponibles al público, tal y como se señalaba en la Ley 9/2014 General de Telecomunicaciones y en el Reglamento (UE) nº 611/2013 de la Comisión (recogido en la Directiva 2002/58/EC, más conocida como Directiva E-Privacy).

El propio RGPD señala que se entenderá que existe una brecha de seguridad o una violación de seguridad de los datos en aquellos casos en los que la violación de la seguridad ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.

A título ejemplificativo, podemos señalar algunos de los incidentes de seguridad más importantes acontecidos en los últimos años, como el caso de Yahoo!, que fue víctima de una de las brechas de seguridad más grandes de la historia, al ser objeto de robo de los datos personales de millones de usuarios (incluyendo nombres, direcciones de correo electrónico, números de teléfono, fechas de nacimiento y contraseñas). También el Departamento de Justicia de EE.UU. fue objeto de ataque, y nombres, cargos, números de teléfono y direcciones de correo electrónico fueron robados y filtrados. Recientemente, Uber confirmó que había sufrido una brecha de seguridad  en octubre de 2016 y que información de carácter personal de millones de usuarios de su aplicación había sido expuesta. Como agravante, la compañía optó por ocultar esta brecha de seguridad cediendo a la extorsión de los ciberdelincuentes con el fin de que borrasen los datos personales robados y la filtración de estos no trascendiese.

Ninguna entidad, sea pública o privada, queda a salvo de sufrir una brecha de seguridad o de ser objeto de un ciberataque, por lo que este punto pasa a convertirse en primordial para todas ellas, no sólo desde el punto de vista de cumplimiento normativo, sino también desde aquel que afianza a la entidad en el mercado y garantiza a los terceros la fiabilidad y seguridad de las medidas de seguridad implementadas en la misma.

Una de las principales novedades que el RGPD impone a los responsables de tratamiento de datos de carácter personal es la obligación de notificar a la autoridad de control de aquellas brechas de seguridad que constituyan un riesgo para los derechos y las libertades de las personas físicas. En este sentido, deberán tenerse en cuenta diferentes criterios a la hora de determinar si se producido tal riesgo, como son: el tipo de brecha sufrida; la naturaleza, volumen y carácter sensible de los datos personales afectados; la gravedad de las posibles consecuencias para los titulares de los datos (daños morales, económicos, reputacionales, etc), que la violación de seguridad afecte a categorías especiales de datos e incluso las características específicas del responsable del tratamiento.

En aquellos casos en los que la empresa determine que la brecha de seguridad constituya un riesgo para los derechos y libertades de las personas físicas, deberá, en todo caso, proceder a su notificación a la autoridad de control sin dilación indebida y, a más tardar, 72 horas después de que haya tenido constancia de ella. Si dicha notificación no es posible en el plazo de 72 horas, deberá acompañarse de una indicación de los motivos de la dilación, pudiendo facilitarse información por fases sin más dilación indebida. Como mínimo, esta notificación deberá contener una descripción de la naturaleza de la violación de seguridad (incluyendo, cuando sea posible, las categorías y número aproximado de afectados y de registros de datos personales afectados), así como los detalles de contacto del DPO de la empresa, las posibles consecuencias de la brecha de seguridad y las medidas de seguridad adoptadas o propuestas por el responsable del tratamiento.

Además, en aquellos casos en los que la brecha de seguridad entrañe alto riesgo para los derechos y libertades de las personas físicas, el RGPD establece la obligación de notificar a los interesados de la misma, sin dilación indebida. Sin embargo, matiza que en aquellas ocasiones en las que el responsable haya adoptado medidas técnicas u organizativas apropiadas antes de que se produjese la brecha de seguridad, tomado medidas posteriores que mitiguen y resuelvan dicha violación o cuando dicha comunicación suponga un esfuerzo des proporcionado, no será necesario realizar esta comunicación.

Es importante señalar que la notificación de brechas de seguridad atañe también a los encargados del tratamiento que en su caso existiesen, quedando estos obligados a notificar cualquier brecha de seguridad de la que tengan conocimiento a los responsables del tratamiento, de nuevo sin dilación indebida.

Entre otras de las obligaciones que prevé el RGPD, el responsable del tratamiento deberá disponer de un registro de brechas de seguridad, en el cual deberá dejar reflejado todo incidente que tenga lugar, incluyendo los hechos relacionados con este, sus efectos y las medidas correctivas adoptadas, de tal forma que las autoridades de control puedan en todo momento verificar el cumplimiento del responsable respecto a sus obligaciones.

Como ya apuntábamos, además de que el incumplimiento de los requerimientos expuestos en el RGPD puede acarrear a la organización una multa administrativa superior a los 10 millones de euros o de una cuantía equivalente al 2% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, no debemos de perder de vista que estos incidentes de seguridad suelen conllevar nefastas consecuencias en lo que efectos reputacionales se refiere, lo cual en muchos casos resulta a las empresas incluso más gravoso que la propia sanción económica.

En base a lo expuesto, las empresas deberán proceder a implantar los protocolos de notificación de brechas de seguridad pertinentes con el fin de dar cumplimiento a las nuevas obligaciones establecidas en el RGPD, y en todo caso, adoptar las correspondientes medidas de seguridad con el fin de evitar, en lo posible, ser objeto de ciberataques y filtraciones de datos personales que acarreen gravosas consecuencias.