Brecha de seguridad: las 72 horas que deciden si hay que avisar a la AEPD

Imagine que es viernes por la tarde y llama el presidente: el administrativo del despacho ha enviado por error el listado de morosos a toda la urbanización. Hay que decidir qué hacer antes del lunes. ¿Hay que avisar a la Agencia Española de Protección de Datos? ¿Quién lo hace? ¿Y en cuánto tiempo?

La respuesta corta: una brecha obliga a valorar siempre, a documentar siempre y a notificar a la AEPD en un máximo de 72 horas salvo que sea improbable que suponga un riesgo para los derechos y libertades de las personas afectadas. Si el riesgo es alto, además hay que informar a los afectados. Lo difícil no es la regla, sino aplicarla bajo presión.

Qué es una brecha

El RGPD la llama «violación de la seguridad de los datos personales» (art. 4.12): cualquier incidente que provoque la destrucción, pérdida o alteración accidental o ilícita de datos, o la comunicación o el acceso no autorizados a ellos. Se suelen distinguir tres tipos:

• De confidencialidad: alguien accede a datos que no debía, o se envían a quien no corresponde.
• De integridad: los datos se alteran sin autorización.
• De disponibilidad: los datos se pierden o dejan de ser accesibles, por ejemplo por un ransomware.

No hace falta que haya mala intención. Un correo mal dirigido es tan brecha como un robo.

Quién tiene que hacer qué

En una comunidad, lo habitual es que la comunidad de propietarios sea la responsable del tratamiento y el administrador de fincas actúe como encargado. Cada uno tiene su papel:

• El encargado debe notificar la brecha al responsable sin dilación indebida desde que tiene conocimiento de ella (art. 33.2).
• El responsable (la comunidad, a través de su presidente y con el apoyo del administrador) decide si hay que notificar a la AEPD y, en su caso, lo hace.

Por eso es esencial que el contrato con el administrador diga cómo y en cuánto tiempo debe avisar. Lo explicamos en administrador de fincas y encargado del tratamiento.

El reloj de las 72 horas

El plazo corre desde que el responsable tiene constancia de la brecha (art. 33.1). Son horas, no días hábiles: un viernes a las seis de la tarde se convierte en el lunes a la misma hora, con el fin de semana contando. Conviene interpretarlo así y no depender de «el lunes ya veremos».

Si no es posible aportar toda la información en ese plazo, la notificación puede hacerse por fases (art. 33.4), pero si se retrasa debe poder justificarse.

Los cinco pasos

1. Contener. Detenga lo que sigue pasando: retire el acceso, pida que se borre el correo, cambie las claves.
2. Averiguar. Qué datos, de cuántas personas, de qué comunidad, cómo ocurrió y desde cuándo.
3. Valorar el riesgo. ¿Puede causar daño a los afectados? Piense en suplantación de identidad, daño económico, discriminación o daño a la reputación. Cuenta qué datos eran (un nombre y un piso no es lo mismo que un IBAN o datos de salud) y si estaban protegidos, por ejemplo cifrados.
4. Decidir y notificar. Si el riesgo es improbable, no se notifica a la AEPD, pero se deja constancia de por qué. Si no lo es, se notifica a través de la sede electrónica de la AEPD (se abre en una ventana nueva).
5. Comunicar a los afectados cuando el riesgo sea alto (art. 34), con un lenguaje claro: qué ocurrió, qué consecuencias puede tener y qué pueden hacer.

La notificación a la AEPD incluye, entre otras cosas, la naturaleza de la brecha, las categorías y el número aproximado de afectados, un punto de contacto, las posibles consecuencias y las medidas adoptadas o propuestas (art. 33.3).

Tres ejemplos para entender la frontera

• Un portátil robado con el disco cifrado y una contraseña robusta. Si los datos son ininteligibles para quien los tenga, normalmente no hay obligación de informar a los afectados (art. 34.3.a) y lo más probable es que tampoco haya que notificar a la AEPD, aunque debe valorarse (por ejemplo, si no había otra copia de esos datos).
• Un correo con el listado de morosos a toda la urbanización. Es un dato cuya difusión puede afectar a la reputación de las personas, por lo que la valoración debe hacerse con cuidado. Hay un caso parecido en caso práctico: correo con todos en copia.
• Un ransomware que cifra y roba datos de varias comunidades. Aquí sí es difícil sostener que el riesgo es improbable.

Estos ejemplos no son normas: cada caso depende de sus circunstancias y debe valorarse.

Documentar aunque no se notifique

El RGPD exige documentar todas las brechas: los hechos, sus efectos y las medidas correctivas (art. 33.5). Un sencillo registro de incidentes, con fecha, descripción, valoración y decisión, es suficiente y es lo primero que se pide si la AEPD pregunta. Es una pieza más de la documentación, junto con el registro de actividades.

Y si no se notifica a tiempo

El incumplimiento de las obligaciones de los arts. 25 a 39, entre ellos el de notificar, está dentro del escalón de sanciones del art. 83.4 del RGPD, de hasta 10 millones de euros o el 2 % del volumen de negocio. Eso es el techo legal que fija el Reglamento para infracciones de ese tipo, no una predicción para una comunidad. Lo que sí importa es la regla: ante la duda, valorar, decidir y dejarlo escrito. Texto completo en el RGPD (se abre en una ventana nueva).

En resumen

• Una brecha es cualquier pérdida, alteración o acceso no autorizado a datos personales, con o sin mala intención.
• El administrador avisa a la comunidad sin dilación; la comunidad decide y notifica a la AEPD.
• Se notifica en un máximo de 72 horas desde que se tiene constancia, salvo que sea improbable un riesgo.
• Si el riesgo es alto, hay que informar también a los afectados.
• Se documenta toda brecha, también las que no se notifican.

Disponer de un protocolo escrito antes de que ocurra la primera brecha es lo que permite cumplir esos plazos, y se puede preparar para cada una de las comunidades que administra.