Resumen: una brecha de seguridad es cualquier incidente que destruye, pierde, altera o expone datos personales sin autorización. Lo importante es detectarla pronto, contenerla y documentarla. El RGPD fija plazos para avisar a la autoridad.
Ejemplos típicos en una pyme
- Un correo con datos de clientes enviado a la persona equivocada.
- Un ordenador o un móvil robado sin cifrar.
- Una cuenta de correo o de la web hackeada.
- Un archivo con nóminas o contratos accesible en una carpeta compartida abierta.
Primeras horas
- Contén: cambia contraseñas afectadas, cierra el acceso y aísla el equipo si hace falta.
- Documenta: qué ha pasado, cuándo, qué datos y cuántas personas podrían verse afectadas.
- Evalúa el riesgo: si puede causar daño a las personas, hay que avisar a la AEPD.
Plazos y avisos
El RGPD exige notificar a la autoridad de control en un máximo de 72 horas desde que se tiene constancia, salvo que sea improbable que haya riesgo. Si el riesgo es alto, también hay que avisar a las personas afectadas. Comprueba los detalles en la web de la AEPD, que tiene formularios y guías.
Para prevenir
Las copias de seguridad, las contraseñas únicas, la autenticación en dos pasos y la formación del equipo evitan la mayoría de los incidentes. Lo cubrimos en ciberseguridad básica para pymes.
Si el incidente afecta a un proveedor, revisa también el contrato de encargado: contratos con proveedores que tratan datos.