La FUNDAE (Fundación Estatal para la Formación en el Empleo, antigua Fundación Tripartita) lleva desde 2010 vigilando de cerca a las empresas que se dedican a ofrecer la implantación de Protección de Datos a “coste cero” mediante subvenciones para la formación en el trabajo, a través de las cuales financian estos servicios con cargo a los créditos asignados para la formación bonificada.

El procedimiento que utilizan estas empresas fraudulentas consiste en llamar a las empresas pidiendo por el responsable para alertarlo sobre las posibles multas que comporta el incumplimiento del RGPD. A continuación, le ofrecen cursos a cargo de estos fondos y le obsequian con una presunta consultoría en Protección de Datos, que suele ser incompleta o inexistente. Sin embargo, la empresa víctima del fraude no sabe que en realidad están solicitando crédito a la FUNDAE para destinarlo a una formación que no aprovechará.

Ejemplo de conversación telefónica:

1. Buenos días, nos ha notificado la oficina de la Seguridad Social de que su empresa no está registrada en la Protección de Datos.
2. ¿Perdón, quién le ha notificado qué?
3. Su empresa no tiene hecha la Protección de Datos, según la Seguridad Social.
4. Ahh, pues, no entiendo lo que tiene que ver la Seguridad Social con esto, ni que exista registro.
5. Si, su CIF nos ha salido como pendiente de registro.
6. Oiga, Señorita, la Seguridad Social no tiene nada que ver con la Protección de Datos, ni existe registro para ello. Por lo tanto, ruego que eliminen nuestros datos de contacto y se abstengan a difundir mentiras. Me quedo con su número y el nombre de su empresa, porque en caso contrario nos veremos obligados a denunciar estos hechos.

Fraude sobre implantación de LOPD a través de la FUNDAE

¿Te ha pasado algo parecido? No existe relación entre la Protección de Datos de una organización y la Seguridad Social, ni existe ningún registro para ello. Es una de las muchas tácticas malintencionadas que usan algunas empresas para vender sus cursos de Protección de Datos a través de la FUNDAE.

Notificación de la FUNDAE por peligro de fraude sobre LOPD

Según puedes ver en este enlace:

https://www.fundae.es/actualidad/noticias/detallenoticia/2019/10/03/utilizaci%C3%B3n-de-bonificaciones-para-lopd—nota-informativa

no se pueden usar los créditos de formación para un servicio de la empresa. Los asesores laborales pueden confirmar que han tenido que lidiar con las devoluciones del crédito y multas debido al mal uso de la bonificación. Es una práctica todavía muy común pero no lícita.

Además, un curso de protección de datos no sustituye el principio de la responsabilidad proactiva para proteger los datos de forma permanente. En otras palabras, implica que si se quiere evitar sanciones económicas hay que cumplir con este principio, ya que no bastará con limitarse a cumplir la normativa. Es necesario demostrar que se están adoptando acciones para prevenir cualquier riesgo. La propia página de la Agencia esgrime una serie de pasos que podrían servir como ejemplos de que se está procediendo de forma diligente.

Consecuencias

Las empresas que contraten servicios de adecuación a la ley de protección de datos o al reglamento general de protección de datos o cualquier otro servicio similar con cargo a las bonificaciones de formación para empleados, estarán realizando un fraude a contra la Seguridad Social y contra la Agencia Tributaria.

• Multa de más de 180.000 euros por fraude a la Seguridad Social
• Multa de la Agencia Tributaria por fraude en el pago de IVA
• Devolución de las bonificaciones “ahorradas”
• Riesgo de un trabajo estándar que no cubra necesidades concretas

No contrates servicios de adecuación gratuitos, a ‘coste cero’ o ‘bonificados’ por subvenciones por fondos a la formación.

Hay que evitar dejarse seducir por falsos profesionales que ofrecen estos servicios y que están perjudicando a profesionales como los de Data Protect Plus que realizamos un trabajo honesto para que nuestros clientes reciban un asesoramiento de calidad. La reputación de su negocio está en juego.

¿Qué es una auditoría RGPD?

La auditoría RGPD evalúa el tratamiento de datos de carácter personal que gestiona la organización, quiénes son los responsables de su tratamiento y para qué finalidad se recogen los datos.

La realización de la auditoría facilita la adaptación de la organización al RGPD, ya que gracias a ella se conoce en profundidad el carácter de los datos que se gestionan y su adecuado tratamiento y las medidas de seguridad que se deben de implementar.

Las empresas y organizaciones son ahora las que deben diseñar y evaluar las medidas necesarias para garantizar el cumplimiento teniendo en cuenta la actual normativa, según el principio de “accountability” (o de responsabilidad proactiva) lo que se traduce en la asunción directa de responsabilidad por parte de las organizaciones en el cumplimiento de las disposiciones normativas en materia de protección de datos y en su capacidad para demostrar dicho cumplimiento.

¿Para qué se realiza una auditoría RGPD?

Con la auditoría se puede comprobar el nivel de seguridad de la organización para adecuar el nivel de seguridad para los datos personales que gestiona.

Toda la información recogida en la auditoría se entrega en un informe, que es el documento que indica las medidas de seguridad a adoptar para cumplir con la normativa.  También recoge los puntos débiles de la organización y las mejoras que se deben implementar.

El informe también recoge cómo preparar a los trabajadores en materia de protección de datos o la necesidad de designar un delegado de protección de datos.

En resumen, los objetivos de la auditoría de Protección de Datos son: 

1. Verificar las medidas de seguridad.
2. Constatar posibles deficiencias en el tratamiento de datos personales y establecer acciones correctoras.
3. Indicar recomendaciones de mejora sobre las propias medidas de seguridad, en un proceso de mejora continua y actitud proactiva.
4. Estudiar en detalle flujos de datos personaleso procedimientos internos en los que la RGPD tiene un especial impacto, para ajustarlos a la normativa.
5. Concienciar y preparar al personal sobre el correcto tratamiento de datos personales, asegurando de esta forma la protección y los derechos de los afectados.

El RGPD, aunque no regula expresamente las auditorías en Protección de Datos, se refiere a ellas en varios de sus artículos, entre otros, en el art. 24.1 en el que se establece la obligación del responsable de revisar las medidas técnicas y organizativas implantadas a fin de poder demostrar que el tratamiento es conforme con el RGPD o en el art. 32.1 d) en el que se establece la necesidad de realizar un proceso de verificación y evaluación regular de la eficacia de las medidas técnicas y organizativas implantadas con la finalidad de garantizar la seguridad del tratamiento.

¿Es obligatorio realizar una auditoría RGPD?

La realización de una auditoría RGPD en sí no es obligatoria. No obstante, para analizar qué nivel de seguridad presenta nuestra organización y si el mismo es o no suficiente, es necesario realizar una auditoría exhaustiva.

Teniendo en cuenta todo lo mencionado, resulta esencial disponer de evidencias que acrediten el cumplimiento que, generalmente, requerirán documentar de forma adecuada todas las medidas implementadas con la finalidad de poder demostrarlo, lo que conlleva la realización de controles periódicos y auditorías.

En España, actualmente, existe la obligación de que las empresas con un nivel medio de seguridad realicen una auditoría, al menos cada dos años.

Sanciones

Las sanciones podrán producirse cuando se detecte alguna fuga de datos de carácter personal, entre otros motivos, y la falta de medidas de seguridad, directamente vinculado al incumplimiento de la normativa RGPD.

Puedes asesorarte con nosotros sobre la correcta protección de tus datos

Contacta con Data Protect Plus, para toda información sobre protección de datos, en el teléfono 965 038 463 o en nuestra web

1. Usa contraseñas largas y cámbialas cada 3 meses

Se aconseja utilizar passwords de una longitud de al menos 10 caracteres y que combine letras mayúsculas y minúsculas, números y caracteres especiales y, además, cambiarlas al menos cada 3 meses.

2. Evita guardar contraseñas en el navegador

Hay navegadores que ofrecen la posibilidad de recordar la contraseña para acceder a determinados servicios y esto hay que evitarlo porque pueden ser objeto de ataques para sustraer todas tus cuentas, llevándose las cookies de navegación y obteniendo así las contraseñas.

3. Utiliza un gestor de contraseñas

Un error muy frecuente es utilizar la misma contraseña para acceder a diferentes servicios y aplicaciones por ello se recomienda utilizar un gestor de contraseñas, de este modo se pueden guardar diferentes passwords teniendo una contraseña maestra.

4. Implementa un doble factor de autenticación

Además de una contraseña larga y compleja, lo ideal sería implementar un doble factor de autenticación en tus redes sociales, servicios bancarios y servicios como WhatsApp.

Se trata de un sistema que verificación en dos pasos que ofrecen muchos servicios digitales hoy en día, como medida de seguridad extra.

5. Cuida tu privacidad

Hay que cuidar en redes sociales qué cosas deben ser públicas o privadas, evitar publicar datos personales como teléfono o dirección e incluso datos como la edad o la fecha de cumpleaños.

6. Mantente escéptico, en la red no todos son quienes dicen

Siempre hay que estar alerta como usuario, desconfiando del destinatario o emisor de la información pues los ciberdelincuentes engañan a sus víctimas con identidades falsas.

Además, hay que evitar visitar links desde correos que pueden llevar a webs falsas e inseguras que pueden hacer que entre software malicioso en tus dispositivos.

7. Evita conectarte a redes wifi abiertas

Estas redes que se ofrecen en lugares públicos como centros comerciales, bibliotecas o aeropuertos hay que evitarlas porque no sabemos si los ciberdelincuentes están detrás de ellas; en el momento que te conectas, un tercero ya puede acceder a tu dispositivo. Mucho cuidado.

8. Usa tus datos o una VPN para navegar seguro

Si no puedes conectarte a una red segura, es mejor que utilices los datos de tu dispositivo para evitar exponerte a posibles problemas de seguridad compartiendo dichos datos con tu ordenador u otro dispositivo que lo necesite.

Otra opción es a través de una conexión VPN (Virtual Private Network), un servicio que ofrece la posibilidad de una navegación segura, de este modo, evitarás que cualquier pueda acceder a tu navegación.

9. Actualiza tu software y no uses antivirus gratuitos

Es muy importante que tus equipos estén actualizados con las últimas actualizaciones de seguridad y evitar los antivirus gratuitos que pueden enviarte malware encubierto.

10. Guarda tu información personal en la nube

Ante el riesgo de robo de información por ciberdelincuentes para extorsionar, secuestrar o suplantar tu identidad digital, es importante guardar la información en un almacenamiento seguro en la nube. Tanto Google como One Drive son opciones seguras para tu información.

Puedes asesorarte con nosotros sobre la correcta protección de tus datos

Contacta con Data Protect Plus, para toda información sobre protección de datos, en el teléfono 965 038 463 o en nuestra web

Fuente: Tec.mx

La AEPD impuso una multa de 10.000 euros a los Hipermercados E. Leclerc por instalar cámaras de videovigilancia en una zona “reservada” en la que se cambiaban de ropa algunos trabajadores y donde almorzaban, sin haber sido consultados sobre el motivo de la presencia de las mismas.

La reclamada niega los hechos objeto de imputación, pero reconoce la presencia de cámaras con una doble finalidad: seguridad y control laboral, asumiendo ésta las funciones de responsable del tratamiento según pretende acreditar mediante contrato con el reclamante (sin aportar firmar por parte de este último).

Qué dice la ley sobre instalar cámaras de seguridad

La instalación de tales medios de videovigilancia en áreas de mayor expectativa de privacidad, como lugares de descanso o esparcimiento, vestuarios, aseos, comedores y análogos resulta lesiva en todo caso del derecho a la intimidad de los trabajadores (art. 89.2 LOPDGDD – LO 3/2018, 5 diciembre). “Artículo 89. Derecho a la intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo” , el cuál transcribirmos aquí:

1. Los empleadores podrán tratar las imágenes obtenidas a través de sistemas de cámaras o videocámaras para el ejercicio de las funciones de control de los trabajadores o los empleados públicos previstas, respectivamente, en el artículo 20.3 del Estatuto de los Trabajadores y en la legislación de función pública, siempre que estas funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo. Los empleadores habrán de informar con carácter previo, y de forma expresa, clara y concisa, a los trabajadores o los empleados públicos y, en su caso, a sus representantes, acerca de esta medida.

En el supuesto de que se haya captado la comisión flagrante de un acto ilícito por los trabajadores o los empleados públicos se entenderá cumplido el deber de informar cuando existiese al menos el dispositivo al que se refiere el artículo 22.4 de esta ley orgánica.

2. En ningún caso se admitirá la instalación de sistemas de grabación de sonidos ni de videovigilancia en lugares destinados al descanso o esparcimiento de los trabajadores o los empleados públicos, tales como vestuarios, aseos, comedores y análogos.

3. La utilización de sistemas similares a los referidos en los apartados anteriores para la grabación de sonidos en el lugar de trabajo se admitirá únicamente cuando resulten relevantes los riesgos para la seguridad de las instalaciones, bienes y personas derivados de la actividad que se desarrolle en el centro de trabajo y siempre respetando el principio de proporcionalidad, el de intervención mínima y las garantías previstas en los apartados anteriores. La supresión de los sonidos conservados por estos sistemas de grabación se realizará atendiendo a lo dispuesto en el apartado 3 del artículo 22 de esta ley.

Puedes ver aquí la resolución sobre la instalación de las cámaras de video vigilancia

La AEPD resuelve que concurre una vulneración del art. 5.1 c) del RGPD, que dispone que los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (minimización de datos)”, no siendo proporcionada, por tanto, la instalación de cámaras en los indicados espacios.

Puedes encontrar la sanción y descargarla en el siguiente enlace:

https://www.aepd.es/es/documento/ps-00337-2021.pdf

Puedes asesorarte con nosotros sobre la correcta instalación de cámaras de seguridad

Contacta con Data Protect Plus, para toda información sobre protección de datos, en el teléfono 965 038 463 o en nuestra web 

La AEPD ha multado con 30.000 euros a un hotel por utilizar la foto del pasaporte de un cliente para elaborar una ficha digital con sus datos personales sin su permiso. Según la resolución, el objetivo de este documento era verificar la identidad del huésped si perdía la tarjeta de acceso a la habitación o si quería utilizar algún servicio del hotel.

La Agencia Española de Protección de Datos (AEPD) ha impuesto una sanción de más de 2 millones de euros a CaixaBank, como sucesora de Bankia, por una actuación llevada a cabo por la entidad ahora absorbida que vinculó la exención del cobro de comisiones de determinados productos a que los clientes diesen su consentimiento para recibir publicidad por cualquier canal habilitado y que sus datos personales pudiesen ser cedidos a otras empresas del grupo.

Según recoge la AEPD en su resolución de expediente sancionador esto supone una vulneración de la normativa de protección de datos respecto de la recopilación del consentimiento de los clientes de Bankia. La investigación se inició a raíz de una primera reclamación que tuvo entrada en la Agencia en febrero de 2019. Un cliente de la cuenta ‘ON’ de Bankia comunicó a la AEPD que la entidad le exigía que aceptase todos los consentimientos de tratamientos de datos personales que aparecían ya premarcados o aceptados y que, si elegía que no se cediesen sus datos a terceras empresas, el banco le cobraba una tasa de 5 euros al mes para mantener su cuenta.

La Subdirección General de Inspección de Datos reclamó información a Bankia sobre la política de privacidad y publicidad de las cuentas y tarjetas ‘ON’, ‘ON Nómina’ y ‘Un & Dos’, de la que se desprendía que Bankia eximía del pago de comisiones de administración y mantenimiento de la cuenta y tarjetas asociadas si los clientes mantenían un “perfil digital”.

Para ostentar este “perfil digital”, los clientes debían, entre otras condiciones, haber facilitado a Bankia su número de teléfono móvil y correo electrónico y haber autorizado al banco al tratamiento de sus datos personales para el envío de comunicaciones comerciales por cualquier canal habilitado y a la cesión de sus datos personales a empresas de su grupo para el análisis de su perfil a efectos comerciales.

Esto motivó que los clientes de Bankia que no habían aceptado el envío de comunicaciones comerciales por cualquier canal o hubiesen rechazado ceder sus datos personales a empresas del grupo tuviesen que pagar comisiones por ello, al considerar la entidad que no cumplían con el “perfil digital” precisamente por esta negativa. Además del primer reclamante, hasta seis usuarios más se dirigieron a la Agencia Española de Protección de Datos para denunciar este cobro de comisiones.

Bankia argumentó ante la AEPD que los clientes no estaban obligados a aceptar ningún consentimiento sobre el tratamiento de datos personales en el proceso de contratación de la cuenta ‘ON’, pero en el caso de que lo hicieran y cumpliesen con el resto de condiciones del “perfil digital” se les podía eximir del pago de comisiones de ciertos productos. “El proceso de gestión de consentimientos por parte de los clientes, que permite no solo prestarlos libremente y a través de cualquiera de los canales de la entidad, sino también modificarlos en cualquier momento y tantas veces como el cliente quiera de manera ágil y sencilla, garantiza que dicho consentimiento se preste libremente”, defendió Bankia.

El banco eliminó las condiciones de aceptar la recepción de publicidad y la cesión de sus datos a terceros el 15 de diciembre de 2019 y añadió una relativa a tener aceptado y activado el servicio de mensajería ‘push’ a través de la app Bankia. Las nuevas condiciones se empezaron a aplicar a los clientes preexistentes dos meses después.

No puede considerarse que el consentimiento se otorga libremente

La Agencia de Protección de datos recuerda que el artículo 4.11 del Reglamento General de Protección de Datos (RGPD) define el consentimiento del interesado para el tratamiento de sus datos personales como “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen“.

A su juicio, al vincular la exención de comisiones bancarias a la prestación del consentimiento para el envío de comunicaciones comerciales y la cesión de datos personales a las entidades del grupo Bankia, “no puede considerarse que el consentimiento se otorga libremente, en tanto que, si no se aceptan tales tratamientos o se revoca posteriormente el consentimiento así obtenido, se producen consecuencias negativas para el interesado que está sujeto, en tal caso, al abono de las comisiones fijadas por la entidad bancaria“.

CaixaBank, sucesora de Bankia, alegó que las comisiones no constituyen un gravamen, sino la contraprestación de los servicios prestados por el banco, configurándose como un elemento que debe incorporarse al contrato de cuenta corriente cuya finalidad es la remuneración de los servicios prestados, un razonamiento que la AEPD no comparte.

“Esta Agencia considera que, efectivamente, las comisiones pueden formar parte del contrato de cuenta corriente remunerando los servicios que se presten por la entidad bancaria, pero entiende que la vinculación de la exención de su cobro a la prestación del consentimiento para otros tratamientos de datos personales diferentes a los propios del contrato determina que el consentimiento no se preste en condiciones de libertad“, ha dictaminado.

Por todo ello, la directora de la Agencia Española de Protección de Datos, Mar España Martí, ha resuelto imponer a CaixaBank una multa de 2 millones de euros por una infracción del RGPD, en relación con la obtención del consentimiento para fines distintos a los propios del contrato condicionando su obtención a la exención de comisiones bancarias y una sanción de 100.000 euros en relación con la obtención del consentimiento a través de casillas premarcadas.

Contra la resolución, CaixaBank puede interponer recurso de reposición ante la directora de la Agencia Española de Protección de Datos en el plazo de un mes o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional.

Fuente: ElDiario.es

Los datos que las empresas tienen de todos nosotros son un material sensible que la Ley de Protección de Datos intenta proteger. Ahora, la Sala III del Tribunal Supremo ha concluido que la obligación de las empresas de garantizar la seguridad de los ficheros que contengan datos personales de sus clientes es de medios y no de resultado, aunque “es exigible la adopción e implantación de medidas técnicas y organizativas, que conforme al estado de la tecnología y en relación con la naturaleza del tratamiento realizado y los datos personales en cuestión, permitan razonablemente evitar su alteración, pérdida, tratamiento o acceso no autorizado”.

En sentencia de la que ha sido ponente el magistrado Diego Córdoba, la Sala confirma una sanción de 40.000 euros impuesta por la Agencia de Protección de Datos a una empresa distribuidora de productos de telefonía, como responsable de una infracción grave al permitir el acceso no autorizado por parte de terceros a, al menos, 14 solicitudes de financiación en la que figuraban datos personales de los clientes (nombre y apellidos, datos económicos, de domiciliación bancaria y firma).

La Audiencia Nacional confirmó la sanción, y el Supremo admitió el recurso de casación de la empresa para responder a la cuestión de si las infracciones de la Ley de Protección de Datos por fallos de las medidas de seguridad que puedan cometer los empleados de una persona jurídica deben examinarse en atención al resultado y, por lo tanto, imputarse a la persona jurídica de la que dependa el empleado, con independencia de los medios y medidas de prevención que hubiera podido adoptar.

La Sala contesta que la obligación de adoptar las medidas necesarias para garantizar la seguridad de los datos personales no puede considerarse una obligación de resultado, que implique que producida una filtración de datos personales a un tercero exista responsabilidad con independencia de las medidas adoptadas y de la actividad desplegada por el responsable del fichero o del tratamiento.

Añade que “ no basta con diseñar los medios técnicos y organizativos necesarios, también es necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá (la empresa) por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso”.

En el supuesto examinado, el tribunal confirma la sanción a la empresa porque “el programa utilizado para la recogida de los datos de los clientes no contenía ninguna medida de seguridad que permitiese comprobar si la dirección de correo electrónico introducida era real o ficticia y si realmente pertenecía a la persona cuyos datos estaban siendo tratados y prestaba el consentimiento para ello. El estado de la técnica en el momento en el que se produjeron estos hechos permitía establecer medidas destinadas a comprobar la veracidad de la dirección de email, condicionando la continuación del proceso a que el usuario recibiese el contrato en la dirección proporcionada y solo desde ella prestase el consentimiento necesario para su recogida y tratamiento. Medidas que no se adoptaron en este caso”.

Es decir, que en el momento en que se produjeron estos hechos, existían medidas técnicas referidas al proceso de registro, que hubiesen evitado la filtración de datos personales producida. Ello implica que las medidas técnicas adoptadas incumplían las condiciones de seguridad en los términos exigidos.

Por último, la Sala señala que el hecho de que fuese la actuación negligente de una empleada la que provocó la brecha de seguridad no le exime de responsabilidad a la empresa en cuanto encargada de la correcta utilización de las medidas de seguridad que deberían haber garantizado la adecuada utilización del sistema de registro de datos diseñado.

Fuente: Diario de Sevilla

La Agencia Española de Protección de Datos (AEPD) ha publicado hoy una actualización de su ‘Guía para la notificación de brechas de datos personales’, un documento que tiene como objetivo guiar a los responsables de los tratamientos de datos personales en su obligación de notificarlas a las autoridades de protección de datos y comunicárselo a las personas cuyos datos se hayan visto afectados. Esta guía actualiza la versión publicada en 2018, cuando comenzó a aplicarse el Reglamento General de Protección de Datos (RGPD), e incluye la experiencia recogida en este tiempo, tanto a nivel nacional como en relación con los criterios establecidos por el Comité Europeo de Protección de Datos.

El principal propósito de esta actualización es facilitar el cumplimiento de forma eficaz y eficiente de los objetivos últimos de la notificación de brechas de datos personales: la protección efectiva de los derechos y libertades de las personas, la creación de un entorno más resiliente basado en el conocimiento de las vulnerabilidades de la organización y la garantía de una seguridad jurídica al disponer los responsables de un medio para demostrar diligencia en el cumplimiento de sus obligaciones.

Cualquier organización se encuentra expuesta a sufrir una brecha de datos personales que pueda repercutir en los derechos y libertades de las personas, y está obligada a gestionarla de forma adecuada. Este incidente puede tener un origen accidental o intencionado y, generalmente, ocasiona la destrucción, pérdida, alteración, comunicación o el acceso no autorizado a datos personales. La Guía comienza analizando qué es una brecha de datos personales y qué no lo es en el contexto del marco normativo europeo, nacional y sectorial. A continuación analiza cuándo hay que notificar dicha brecha a la autoridad de control, en qué plazo, o quién y qué contenido debe incluir esa notificación. En lo relativo a la comunicación a las personas afectadas, el documento recoge en qué casos hay que realizarla, el contenido y sus plazos.

Las notificaciones y comunicaciones relativas a brechas que afectan a datos personales forman parte de la responsabilidad proactiva establecida en el RGPD, y el hecho de notificarla o comunicarla no implica necesariamente la imposición de una sanción. De hecho, hacerlo en tiempo y forma es una evidencia de la diligencia de la organización, mientras que no cumplir con esa obligación sí está tipificado como infracción.

La Guía ofrece directrices para facilitar y simplificar el cumplimiento de estas obligaciones y, entre otros puntos, orienta sobre algunos plazos que el RGPD deja abiertos, como la notificación de una brecha de datos personales a la autoridad de control de forma gradual, los plazos para comunicarla a las personas cuyos datos se han visto afectados o los relativos a que los encargados de tratamiento informen a los responsables cuando se produce una brecha.

La Agencia ha gestionado más de 700 brechas de datos notificadas en los primeros cinco meses de 2021. La mayoría de ellas se han producido por un ataque externo e intencionado siendo el ransomware la amenaza más frecuente, comprometiendo no solo la disponibilidad sino también la confidencialidad de los datos personales.

Comunicación a los afectados

Como complemento a la presente Guía, la Agencia dispone de una herramienta llamada ‘Comunica-Brecha RGPD’, que ofrece ayuda a las organizaciones para decidir si deben comunicar o no una brecha de datos a las personas afectadas, una obligación independiente a la de notificar dicha brecha a la autoridad de control.

Este recurso se basa en un breve formulario en el que se recaban detalles que permiten aplicar unos criterios básicos indicativos del riesgo asociado a la brecha. Al completar el formulario, y en función de la información que haya sido facilitada, la herramienta aconsejará tres posibles escenarios: que se debe notificar la brecha de seguridad a las personas afectadas al apreciarse un riesgo alto; que no es necesaria dicha comunicación, o que no se puede determinar el nivel de riesgo. La decisión final debe tomarla el responsable en función de los aspectos específicos del tratamiento y de la brecha concreta. En ningún caso la Agencia almacena los datos consignados durante el proceso.

Resolvemos tus dudas sobre protección de datos www.dataprotectplus.com