Diversos mesos després de l’inici del període sancionable del Reglament General de Protecció de Dades (RGPD), s’han fet més rellevants els incidents de seguretat referents a les dades personals.
Fins ara, amb la Llei Orgànica de Protecció de Dades, no era obligatori notificar les violacions de seguretat excepte en el cas dels operadors de serveis de comunicacions electròniques disponibles al públic, amb el nou reglament europeu (RGPD) és obligatori notificar qualsevol violació de seguretat. Per tant no és que hagin augmentat des del 25 de maig, sinó que la nova normativa obliga a notificar tots els incidents de seguretat.
Violacions de seguretat
Un incident de seguretat pot arribar a deixar al descobert milions de dades personals de clients, proveïdors, contactes, etc.
Alguns dels casos més comuns de violacions de seguretat són:
– Pèrdua o robatori d’un dispositiu (telèfon intel·ligent, ordinador portàtil, tablet, USB, etc.).
– Fugida d’informació per un atac a la xarxa corporativa o en la pàgina web.
– L’enviament accidental d’una llista de correus visible.
– Accessos no autoritzats a dades personals.
– Esborrat accidental de fitxers que continguin dades de caràcter personal.
El més important referent a les violacions de seguretat, és tenir definit un procediment d’actuació davant de qualsevol bretxa de seguretat.
Les bretxes o violacions de seguretat s’han de comunicar al responsable en la major brevetat possible. Dins de les 72 hores següents després d’haver tingut constància d’aquesta violació, posteriorment i en alguns casos s’hauran de comunicar a:
- L’autoritat competent (Agència Espanyola de Protecció de Dades o les Agències autonòmiques), llevat que sigui improbable que la violació suposi un risc per als drets i llibertats dels afectats.
- Als mateixos afectats. En els casos en què sigui probable que la violació de seguretat comporti un alt risc per als drets o llibertats dels interessats, la notificació a l’autoritat de supervisió haurà de complementar amb una notificació dirigida a aquests últims.
El passat mes de juny l’Agència Espanyola de Protecció de Dades (AEPD) va publicar una “Guia per a la gestió i notificació de bretxes de seguretat“, aquest document està pensat per oferir consells de prevenció i dispositius d’actuació a qui compta amb dades dins d’una empresa.