Ha perdido el portátil del despacho: guía de urgencia

Imagine que un miércoles por la noche, al llegar a casa, descubre que el maletero del coche tiene la ventanilla rota. El portátil del despacho ya no está. Dentro, el correo abierto, la carpeta de las actas, los contratos de varias comunidades y un listado de propietarios. Y el móvil de empresa estaba en la misma bolsa.

Lo primero: respire. Lo segundo: actúe en este orden, y rápido. El tiempo que tarde en cerrar accesos es tiempo que alguien tiene para usarlos. Y apunte la hora a la que se dio cuenta, porque el plazo de 72 horas para valorar una posible notificación a la AEPD empieza a correr desde que el responsable tiene constancia.

La lista de urgencia

1. Cierre los accesos remotos. Desde otro dispositivo, cambie la contraseña del correo y de los programas de gestión, y cierre todas las sesiones abiertas. Los móviles y portátiles suelen tener sesiones iniciadas que no piden contraseña.
2. Bloquee o borre a distancia el dispositivo, si estaba preparado para ello (servicios de localización y borrado remoto del sistema, o la herramienta de gestión de dispositivos del despacho).
3. Bloquee la línea SIM llamando a su operadora, si perdió el móvil. Así evita llamadas y la recepción de códigos por SMS.
4. Revoque accesos especiales: claves de acceso remoto a la oficina, certificados digitales instalados en el equipo y accesos a la banca online.
5. Denuncie ante la Policía Nacional o la Guardia Civil. Deja constancia de la fecha y la hora, y será útil para el seguro.
6. Avise internamente a quien lleve la protección de datos del despacho y, si procede, al seguro.
7. Anote todo: qué equipo, qué había dentro, a qué hora, qué se hizo.

La pregunta que lo decide todo: ¿estaba cifrado?

Un disco cifrado con una contraseña robusta convierte el contenido en algo ininteligible para quien lo robe. Es la diferencia entre un susto y una brecha seria. En Windows, la herramienta se llama BitLocker; en Mac, FileVault; los móviles modernos cifran su almacenamiento si tienen un código de desbloqueo activo.

Si el equipo estaba cifrado y con contraseña fuerte, y no había sesiones abiertas que se pudieran usar, lo normal es que resulte improbable un riesgo para las personas afectadas. El RGPD incluso exime de comunicar la brecha a los afectados cuando los datos eran ininteligibles para quien accedió a ellos (art. 34.3.a). Aun así, hay que valorarlo y documentarlo.

Si no estaba cifrado, lo prudente es presumir que quien lo tenga puede leerlo todo, y la valoración será mucho más seria.

Qué hacer con las comunidades afectadas

Haga un inventario de lo que había en el equipo: qué comunidades, qué tipos de datos (nombres, direcciones, IBAN, datos de morosidad, datos de salud) y de cuántas personas. Con eso:

• El despacho, como encargado del tratamiento, debe avisar a cada comunidad afectada sin dilación indebida (art. 33.2).
• La comunidad, como responsable, decide si notifica a la AEPD en un máximo de 72 horas desde que tiene constancia (art. 33.1), y si debe informar a los vecinos (art. 34).
• Se documenta la brecha tanto si se notifica como si no (art. 33.5).

El procedimiento completo está en Brecha de seguridad: las 72 horas.

Qué no hacer

Tres errores se repiten en estos casos, y los tres salen caros:

• No espere a ver si aparece. Si lo recupera después, la brecha ya existía.
• No lo oculte a la comunidad por vergüenza: el aviso retrasado es peor que el aviso a tiempo.
• No dé por hecho que «tenía contraseña, así que está bien». La contraseña de inicio de sesión no siempre cifra el disco.

Para que no vuelva a ocurrir

La prevención es más barata que la urgencia:

• Cifre todos los portátiles y active el bloqueo con PIN o biometría en los móviles.
• Active el borrado remoto y la localización.
• Active el doble factor de autenticación, de modo que una contraseña conocida o una sesión robada valgan menos.
• Guarde los datos en el servidor o la nube del despacho, no solo en el portátil, y mantenga copias de seguridad para no perder el trabajo.
• Establezca reglas claras para el teletrabajo y los dispositivos personales. Lo desarrollamos en teletrabajo en el despacho.
• No deje nunca el equipo visible en el coche.

El móvil: más de lo que parece

Un móvil de trabajo no es solo un teléfono: tiene el correo configurado, la aplicación del banco, WhatsApp con los grupos de las comunidades, fotografías de documentos y, a veces, el segundo factor de otras cuentas. Si se pierde, trate el incidente como el de un portátil: cierre sesiones desde otro dispositivo, bloquee la SIM, active el modo perdido y valore qué información había. Si usaba el móvil para recibir códigos de verificación, cambie cuanto antes el método de segundo factor de las cuentas importantes.

En resumen

• Cierre accesos desde otro dispositivo, bloquee o borre a distancia y denuncie.
• Que el equipo estuviera cifrado es el factor que más pesa en la valoración del riesgo.
• El despacho avisa a cada comunidad sin dilación; la comunidad decide si notifica a la AEPD en 72 horas.
• Documente la brecha, también si decide no notificar.
• Cifrado, borrado remoto, doble factor y datos en el servidor evitan que un robo se convierta en una crisis.

Revisar hoy qué dispositivos llevan datos de las comunidades y cuáles están cifrados es un primer paso sencillo que le ahorrará decisiones difíciles cuando ocurra.