RGPD
Hemos sufrido una brecha de datos. ¿Qué hacemos ahora?
Cadena de actuación jurídica ante una brecha de seguridad: qué hacer ahora, qué preservar, cómo valorar el riesgo y cuándo notificar a la autoridad y a los afectados.
Qué recibes
- 01
Plan de respuesta a brechas: clasificación, responsables, escalado y plantillas de notificación.
- 02
Asistencia jurídica durante el incidente: de la contención a la decisión de notificar.
- 03
Documento de registro de la brecha conforme al art. 33.5 RGPD.
- 04
Redacción y presentación de la notificación a la autoridad y de las comunicaciones a interesados cuando procedan.
- 05
Informe post-incidente con medidas correctoras y actualización del plan.
No incluye: No incluye la respuesta técnica al incidente (forense, contención de sistemas, restauración): Normolex dirige la dimensión jurídica y coordina con los equipos técnicos.; No incluye la gestión de comunicación externa o reputacional más allá de las comunicaciones legalmente exigibles.; No incluye la defensa en un eventual procedimiento sancionador posterior, que se plantearía como servicio independiente..
Cadena de actuación
- 01
Ahora
Contención coordinada con sistemas y activación del plan: quién dirige, quién decide y quién documenta desde el primer momento.
- 02
Preservar
Conservación de evidencias —logs, comunicaciones, cronología— antes de que la operativa de contención las destruya.
- 03
Clasificar
Qué datos se han visto afectados, cuántas personas, qué categorías: la base de la valoración de riesgo.
- 04
Quién interviene
Responsable, encargados afectados, DPO si lo hay, proveedores de seguridad y dirección jurídica: cada uno con su papel.
- 05
Investigar y documentar
Reconstrucción de los hechos y registro documental de la brecha conforme al art. 33.5 RGPD.
- 06
Decidir
Valoración de riesgo y decisión razonada sobre notificación a la autoridad en 72 horas (art. 33) y comunicación a interesados (art. 34).
Qué conviene evitar
Afecta a cualquier responsable o encargado de tratamiento que sufra una violación de la seguridad que ocasione destrucción, pérdida, alteración, divulgación o acceso no autorizados a datos personales. Ransomware, envíos erróneos, accesos indebidos, sustracción de dispositivos o exposición de repositorios son supuestos habituales. La notificación a la autoridad procede salvo que sea improbable el riesgo (art. 33.1 RGPD); la comunicación a interesados, cuando el riesgo sea alto (art. 34.1). La valoración de riesgo es una decisión jurídica documentada, no automática.
- NO improvisar comunicaciones a clientes o a plantilla antes de valorar el riesgo y la estrategia jurídica.
- NO dejar que la contención técnica destruya evidencias necesarias para documentar la brecha.
- NO asumir que 'todo hay que notificarlo' ni que 'esto no se notifica' sin una valoración documentada: ambas decisiones automáticas son incorrectas.
- NO olvidar el plazo: las 72 horas del art. 33 RGPD corren desde que se tiene constancia de la brecha.
- NO documentar solo si se notifica: el art. 33.5 exige documentar toda brecha, se notifique o no.
Preguntas frecuentes
Lo que suele preguntarse
- Desde que el responsable tiene constancia de que se ha producido una brecha de datos personales. El art. 33.1 RGPD exige notificar a la autoridad de control sin dilación indebida y, de ser posible, dentro de las 72 horas siguientes; si la notificación llega más tarde, debe ir acompañada de motivos que justifiquen el retraso. Por eso la cronología documentada desde el primer momento es esencial.
Fuentes: Reglamento (UE) 2016/679 · BOE-A-2018-16673
Actuemos cuanto antes.
Confirmamos el alcance y el precio antes de formalizar el encargo.