Una violación de datos es cualquier pérdida, divulgación, alteración o acceso no autorizado a datos personales: un portátil robado, un correo enviado al destinatario equivocado, un ransomware, una base de datos expuesta en Internet. El RGPD obliga a registrarlas todas (artículo 33.5), aunque no se notifiquen, y, salvo que el riesgo sea improbable, a notificarlas a la autoridad de control en las 72 horas siguientes a tener constancia de ellas.
El registro está en Protección de datos › Violaciones de datos. Está reservado a los delegados de protección de datos y a los administradores.
Registrar la violación
- Haz clic en Nueva violación.
- Ponle un título e indica tu papel: responsable del tratamiento (los datos son tuyos) o encargado del tratamiento (tratas los datos de un cliente).
- Indica cuándo tuviste constancia de la violación: el momento en que tuviste una certeza razonable de que se había producido. Es el inicio de las 72 horas.
- Describe lo que sabes: naturaleza (confidencialidad, integridad, disponibilidad), qué ha pasado, personas y datos afectados con su número aproximado, consecuencias probables, medidas adoptadas. Podrás completarlo después.
- Si procede, vincula el incidente mayor, los tickets, los activos afectados y las actividades del registro de tratamientos.
Desde un incidente: en la ficha de un ticket, el botón Abrir una violación de datos abre una ficha ya vinculada al ticket, con su número y su título. En la ficha de un incidente mayor, el recuadro Violación de datos hace lo mismo y lista las violaciones ya abiertas desde ese incidente. El botón y el recuadro solo se muestran a los delegados y a los administradores.
En cuanto se registra, la ficha muestra el plazo de 72 horas y el tiempo restante. Los delegados reciben un aviso y luego una alerta cuando quedan menos de 24 horas, menos de 6 horas y cuando el plazo vence.
Evaluar el riesgo
En Evaluación del riesgo, elige riesgo improbable, riesgo o riesgo alto, y escribe tu razonamiento: naturaleza y volumen de los datos, facilidad para identificar a las personas, personas vulnerables, datos cifrados o no. El razonamiento se conserva: la autoridad puede pedirlo, incluso para una violación no notificada.
- Riesgo improbable: sin notificación. La violación permanece en el registro.
- Riesgo: notificación a la autoridad.
- Riesgo alto: notificación a la autoridad y comunicación a los interesados.
Notificar a la autoridad
- Descarga la ficha PDF: recoge todo lo que pide el artículo 33.3 (naturaleza, categorías y números, contacto del delegado, consecuencias, medidas).
- Presenta la notificación ante la autoridad de tu país.
- Vuelve a la ficha y registra la notificación a la autoridad: fecha, autoridad, referencia de la presentación y justificante adjunto.
Pasadas 72 horas, indica primero en los hechos los motivos del retraso: sin ellos, la notificación no se registra.
Si no tenías toda la información al presentarla, añade una notificación complementaria con cada novedad.
¿Eres encargado del tratamiento? No notificas a la autoridad: avisa a cada cliente afectado sin dilación indebida y registra un aviso por cliente. El cliente evalúa el riesgo y notifica.
Informar a los interesados
Si el riesgo es alto, registra tu decisión en Comunicación a los interesados:
- Individual: pega las direcciones de las personas (una por línea) y haz clic en Enviar. Cada persona recibe su propio correo (plantilla «Protección de datos - Comunicación de una violación», que puedes adaptar). Solo se conserva el número de envíos. Una comunicación por correo postal se registra con su prueba.
- Pública: cuando avisar a cada uno supondría un esfuerzo desproporcionado, registra la comunicación pública realizada (comunicado, página web) con su prueba.
- Excepción: los datos eran ininteligibles (cifrado sólido, clave no comprometida) o las medidas adoptadas después hacen improbable el riesgo alto. Justifícala.
Cerrar la ficha
Solo puedes cerrar la ficha cuando todo está hecho: riesgo evaluado, autoridad notificada (salvo riesgo improbable), motivos del retraso si los hay, clientes avisados (encargado), comunicación realizada o excepción justificada (riesgo alto). La ficha indica lo que falta.
Una ficha cerrada permanece en el registro, en la pestaña Todas. Puede reabrirse con un motivo si aparecen hechos nuevos.