Un despacho descubre un lunes por la mañana que un portátil con expedientes ha desaparecido de un vehículo. Otro detecta que una secretaria ha enviado por error un anexo con datos de salud a la lista completa de destinatarios de un correo. Un tercero encuentra sus ficheros cifrados por un ransomware. Los tres casos son brechas de seguridad de datos personales, y en los tres empieza a correr el mismo reloj.
El artículo 33 del RGPD obliga al responsable del tratamiento a notificar la violación de la seguridad a la autoridad de control sin dilación indebida y, de ser posible, en un plazo máximo de 72 horas desde que tuvo constancia de ella. El artículo 34 añade un segundo deber: comunicar la brecha a los interesados cuando entrañe un alto riesgo para sus derechos y libertades. Son dos decisiones distintas, con umbrales distintos, y conviene no mezclarlas.
Qué cuenta como brecha y cuándo empieza el plazo
La definición del artículo 4.12 es amplia: toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados a dichos datos. No hace falta que haya un atacante. Un borrado accidental sin copia de seguridad recuperable es una brecha de disponibilidad. Un armario abierto con expedientes en una zona de acceso público también puede serlo.
El plazo no arranca cuando se cierra la investigación, sino cuando el responsable tiene un grado razonable de certeza de que se ha producido un incidente de seguridad que ha comprometido datos personales. Un periodo breve de verificación inicial es admisible, pero conviene que sea corto y quede documentado. Si transcurridas las 72 horas no se dispone de toda la información, el propio artículo 33 permite notificar de forma escalonada y completar los datos después, justificando el retraso.
Protección de datos: dónde suelen fallar los despachos
La mayoría de sanciones no llegan por un ataque informático, sino por no tener el registro de actividades de tratamiento o por guardar expedientes sin control de accesos. Un programa que registre quién consulta cada expediente resuelve buena parte del problema: así funcionan el software médico DriCloud y software dental en el ámbito dental. Si ya ha recibido un requerimiento, conviene hablar con abogados de protección de datos.
Cuándo hay que notificar a la AEPD y cuándo no
La notificación no procede cuando sea improbable que la brecha constituya un riesgo para los derechos y libertades de las personas físicas. Ese juicio de probabilidad hay que hacerlo y, sobre todo, hay que dejarlo por escrito. El ejemplo clásico de brecha sin riesgo relevante es la pérdida de un dispositivo cifrado con clave robusta que no ha sido comprometida y del que existe copia de seguridad íntegra.
En un despacho de abogados, sin embargo, el análisis tiende a inclinarse hacia la notificación. Los datos suelen ser confidenciales por naturaleza, con frecuencia incluyen categorías especiales o información sobre condenas e infracciones penales, y la exposición puede acarrear un perjuicio reputacional o procesal directo para el cliente.
- Naturaleza de los datos afectados y volumen de personas implicadas.
- Facilidad de identificación de los afectados a partir de la información expuesta.
- Gravedad de las consecuencias posibles: daño reputacional, económico, procesal o para la integridad física.
- Existencia de medidas que neutralicen el impacto, como el cifrado o la seudonimización efectiva.
- Carácter especialmente vulnerable de los afectados (menores, víctimas de violencia, personas en situación de desprotección).
La comunicación al interesado: el listón del alto riesgo
El artículo 34 exige comunicar la brecha al afectado, en lenguaje claro y sencillo, cuando el riesgo sea alto. La comunicación debe describir la naturaleza de la violación, los datos de contacto para obtener más información, las consecuencias probables y las medidas adoptadas o propuestas, incluidas las recomendaciones para que la persona mitigue sus propios riesgos.
Hay excepciones tasadas: que el responsable hubiera aplicado medidas de protección que hagan ininteligibles los datos, que se hayan adoptado medidas posteriores que eliminen el alto riesgo, o que la comunicación individual suponga un esfuerzo desproporcionado, en cuyo caso cabe una comunicación pública equivalente. En un despacho, avisar al cliente no es solo una obligación legal: es una cuestión de confianza profesional y, en muchos casos, un deber deontológico de información sobre asuntos que le afectan.
Protocolo de las primeras horas
- Contener: aislar equipos, revocar accesos, cambiar credenciales y detener el flujo de información comprometida.
- Registrar la hora exacta de detección y quién la detectó, porque de ahí se cuentan las 72 horas.
- Evaluar el riesgo con criterios objetivos y dejar el razonamiento documentado, se notifique o no.
- Notificar a la AEPD por su sede electrónica dentro del plazo, aunque sea de forma preliminar.
- Decidir sobre la comunicación a los interesados y preparar un texto comprensible, sin tecnicismos.
- Anotar el incidente en el registro interno de brechas exigido por el artículo 33.5.
El registro interno de brechas: la prueba que casi nadie tiene
El artículo 33.5 obliga a documentar cualquier violación de seguridad, incluidos sus efectos y las medidas correctivas adoptadas, con independencia de que se notifique o no. Ese registro es la herramienta con la que el despacho demuestra que actuó con diligencia. Un incidente no notificado pero bien documentado, con un análisis de riesgo razonado, es una posición defendible. Un incidente no notificado y no documentado es simplemente un vacío.
Si el fallo está en un proveedor
Cuando la brecha se produce en un encargado del tratamiento, por ejemplo el proveedor del software de gestión o del correo, el encargado debe notificarla al responsable sin dilación indebida, y es el despacho, como responsable, quien notifica a la autoridad. Conviene que el contrato del artículo 28 fije un plazo concreto de aviso, en horas, y un canal de contacto operativo fuera del horario de oficina. Sin esa cláusula, el despacho puede enterarse tarde y ver consumido su propio plazo.
Preparar el protocolo antes del incidente es lo único que hace viable responder en 72 horas. Puede consultar más contenidos en privacidad y seguridad o escribirnos desde contacto.
Contratar y despedir sin sustos
Las decisiones de plantilla son el punto donde más despachos acaban en el juzgado por no haber documentado bien el proceso. Antes de formalizar un despido o una modificación sustancial de condiciones, merece la pena una consulta con abogados laboralistas. Galindo & Barrio son abogados en Madrid y la primera consulta es gratuita.