Diagrama de flujo de respuesta ante brechas de datos (RGPD, 72 horas)
Diagrama de flujo con carriles para responder a una brecha de datos personales: contención, prueba de riesgo para las personas, notificación a la autoridad de control en 72 horas y registro interno.
Cómo funciona
Pon nombre a los roles y al canal de aviso
Sustituye los cinco carriles por los roles que tenéis de verdad. Muchas organizaciones no tienen delegado de protección de datos y funden ese carril en Asesoría jurídica o en un responsable de privacidad; otras añaden un despacho externo o el ciberseguro. Después mete la vía real de aviso en el paso «Avisar por el canal de brechas»: un buzón, un formulario, un teléfono, y la regla de que se avisa ante la sospecha en lugar de investigar primero.
Concreta vuestras autoridades y vuestros plazos
Edita «Confirmar las obligaciones de notificación» para nombrar la autoridad o autoridades que os aplican, vuestra autoridad principal si operáis en varios países y los regímenes sectoriales o de fuera de la UE que os alcancen. Esos regímenes corren con relojes distintos, así que escribe cada uno en lugar de suponer que 72 horas lo cubre todo. Añade también los plazos contractuales de aviso a clientes, que suelen ser bastante más cortos que los legales.
Escribe vuestros criterios de riesgo
Engancha vuestros propios criterios a «Evaluar gravedad y riesgo para las personas»: tipo y sensibilidad de los datos, número de personas y de registros, con qué facilidad se las puede identificar, si los datos estaban cifrados o eran inutilizables por otro motivo, si alguna de esas personas es especialmente vulnerable, y la gravedad y la probabilidad del daño. Los criterios escritos de antemano son lo que hace defendibles las dos decisiones después.
Asigna las dos decisiones y la firma
Indica en el diagrama quién es dueño de «¿Notificable a la autoridad de control?» y de «¿Riesgo alto para las personas?», quién está autorizado a aprobar el envío a la autoridad y quién puede aprobar el texto que se manda a los afectados. Añade un suplente para cada uno, porque las brechas no esperan a que se acaben las vacaciones.
Fija plazos internos dentro de las 72 horas
Trabaja hacia atrás desde el vencimiento y pon horas objetivo a los pasos intermedios: cuándo debe tener el delegado la evaluación, cuándo tiene que llegar el borrador a Asesoría jurídica, cuándo se cierra la firma. El plazo legal es el límite exterior, no el plan, y son la redacción y la aprobación las que se llevan de verdad las horas.
Apunta el paso de registro a vuestro registro real y versiona el diagrama
Enlaza «Inscribir la brecha en el registro» con el libro que lleváis de verdad y lista los campos que debe recoger: los hechos de la brecha, sus efectos, las medidas correctivas adoptadas y el razonamiento de cada decisión de notificación, incluidas las negativas. Después haz circular el diagrama entre el delegado, Asesoría jurídica, Seguridad y Comunicación para su aprobación y conserva la versión aprobada, para que el procedimiento que ejercitáis sea el que publicáis.
Preguntas frecuentes
¿Cuándo empieza a contar el plazo de 72 horas?
Bajo el RGPD, el responsable debe notificar a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de haber tenido constancia de que se ha producido una violación de seguridad de datos personales. Tener constancia significa contar con un grado razonable de certeza de que un incidente de seguridad ha comprometido datos personales, así que se admite un breve periodo de verificación inicial, pero no puedes retrasar el reloj alargando la investigación. Las 72 horas son horas naturales, no laborables: los fines de semana y los festivos están dentro de la ventana. Por eso este diagrama pone «Registrar el aviso e iniciar el cómputo» al principio y deja anotado quién avisó de qué, y cuándo.
¿Qué diferencia hay entre notificar a la autoridad y comunicar a los afectados?
Son pruebas distintas con umbrales distintos, y por eso el diagrama las dibuja como dos decisiones y no como una. Hay que notificar a la autoridad de control salvo que sea improbable que la brecha suponga un riesgo para los derechos y libertades de las personas, de modo que notificar es en la práctica la opción por defecto. A los afectados solo hay que comunicárselo cuando sea probable que la brecha entrañe un riesgo alto para ellos, y existen excepciones reconocidas, por ejemplo cuando los datos estaban cifrados y siguen siendo ininteligibles, o cuando se han tomado después medidas que hacen que ese riesgo alto ya no sea probable. Una brecha puede por tanto comunicarse a la autoridad y no comunicarse nunca a las personas implicadas.
¿Hay que registrar también una brecha que decidimos no notificar?
Sí. El RGPD obliga al responsable a documentar cualquier violación de seguridad de datos personales, incluidos los hechos, sus efectos y las medidas correctivas adoptadas, con independencia de que se haya notificado o no. En la práctica el registro de una brecha que decidiste no notificar es el más importante de los dos, porque es la única prueba de que la decisión fue razonada y no cómoda. Por eso la rama No notificable de este diagrama pasa por «Documentar por qué no se notifica» y las dos ramas convergen en el registro.
¿En qué se diferencia de un proceso de respuesta a incidentes de seguridad?
Un proceso de respuesta a incidentes de seguridad va del atacante y del parque de sistemas: detectar, triar, preservar evidencias, contener, erradicar, verificar que todo está limpio, restablecer el servicio. Este proceso va de las personas cuyos datos se vieron afectados y de las obligaciones que se derivan, y lo dispara cualquier brecha de datos personales, incluidas las que no tienen atacante alguno, como un correo mal dirigido o una copia de seguridad irrecuperable. Los dos se solapan en la contención y en la rama de notificación, y ante un ciberincidente los ejecutarías en paralelo, con el equipo de seguridad al mando de la vía técnica y el delegado de protección de datos al mando de esta.
¿Y si somos encargados del tratamiento y no responsables?
Un encargado del tratamiento no notifica a la autoridad de control ni a los afectados. Debe notificar al responsable sin dilación indebida en cuanto tenga constancia de una violación de seguridad de datos personales, y es el responsable quien hace después la evaluación y toma las dos decisiones de notificación. Si esa es vuestra posición, recorta el diagrama en la decisión «¿Notificable a la autoridad de control?», sustitúyela por vuestra notificación al responsable y revisa los contratos, porque los acuerdos de encargo suelen fijar un plazo interno bastante más corto que las 72 horas del responsable.