Brecha de datos: no es solo “un incidente”, es una decisión con impacto en personas
Una brecha de datos personales no es únicamente un problema técnico. En RGPD es un evento que puede afectar la confidencialidad, integridad o disponibilidad de datos personales y, por tanto, puede implicar decisiones relevantes: contener, evaluar riesgos, documentar, notificar (o no), y comunicar a las personas afectadas si procede. El error típico en pymes no es “tener una brecha”, sino no tener un método para gestionarla, lo que multiplica el daño y deja la organización sin evidencias para justificar sus decisiones.
El RGPD exige dos cosas a la vez: medidas de seguridad apropiadas (art. 32) y responsabilidad proactiva (poder demostrar lo hecho). Cuando hay una brecha, esto se materializa en un procedimiento claro: qué se considera brecha, quién decide, qué se documenta, cuándo se notifica y cómo se comunica. El objetivo no es “cubrirse”, sino proteger a las personas y reducir el impacto real.
Beneficios de una gestión madura de brechas
- Menos impacto: se contiene antes, se reduce propagación y se evitan reinfecciones.
- Decisiones defendibles: se documenta el análisis de riesgo y la razón de notificar o no.
- Mejor comunicación: mensajes claros reducen confusión y pánico, y ayudan a las personas a protegerse.
- Mejora continua: cada incidente alimenta mejoras (accesos, copias, procesos, formación).
Riesgos típicos (privacidad y vulnerabilidad)
- Detectar tarde: no hay alertas mínimas, o nadie revisa señales.
- No saber qué datos se afectaron: sin mapa de sistemas, la evaluación se vuelve lenta.
- Decidir sin documentar: “no notificamos” sin análisis queda indefendible.
- Comunicar mal: informar de más (exposición innecesaria) o de menos (no permite autoprotección).
- No contener: restaurar sin cerrar la puerta permite reinfección o fuga continuada.
- Exceso de acceso a evidencias: logs e información sensible circulan sin control interno.
RGPD aplicado: qué exigen los arts. 33 y 34 (en la práctica)
- Art. 33 RGPD (notificación a la autoridad de control): si la brecha puede suponer un riesgo para derechos y libertades, se debe notificar “sin dilación indebida”. En la práctica, esto obliga a:
- identificar el tipo de incidente y su alcance,
- valorar el riesgo para las personas,
- documentar medidas adoptadas y previstas.
- Art. 34 RGPD (comunicación a las personas): si es probable que la brecha entrañe alto riesgo para derechos y libertades, se debe comunicar a los afectados. En la práctica, implica:
- un mensaje claro, comprensible, útil (qué pasó, qué datos, qué consecuencias y qué hacer),
- canal adecuado y medidas de apoyo razonables.
No todas las brechas requieren notificación o comunicación. Lo determinante es el riesgo. Por eso, el núcleo del procedimiento es el análisis de riesgo para personas, no el pánico ni la vergüenza.
El dilema seguridad–privacidad en una brecha
Durante un incidente, seguridad quiere máxima visibilidad: logs, indicadores, trazas, análisis forense. Privacidad exige proporcionalidad y control: limitar accesos, no exponer datos innecesarios y conservar evidencias con criterio. La solución es un modelo de gobierno:
- definir quién puede acceder a evidencias y bajo qué necesidad,
- separar evidencias técnicas de listados con datos personales cuando sea posible,
- establecer plazos de conservación de evidencias y un control de copias.
¿Obligación de EIPD por tener brechas?
Una brecha no “activa” una EIPD por sí misma. La EIPD (art. 35) se exige cuando el tratamiento puede entrañar alto riesgo antes de realizarlo. Pero una brecha grave puede revelar que el tratamiento o sus medidas eran insuficientes y obligar a revisar el análisis de riesgos, actualizar medidas y, si el tratamiento es de alto riesgo, replantear o actualizar la EIPD (si existe) o valorar si debió existir.
Medidas de proporcionalidad: un procedimiento realista para pymes
Un procedimiento eficaz suele incluir:
1) Detección y contención
- Canal interno único para reportar incidentes (incluye errores humanos).
- Primeras acciones: aislar sistemas, revocar credenciales comprometidas, bloquear accesos anómalos.
- Preservación razonable de evidencias (sin paralizar la contención).
2) Clasificación
- ¿Afecta a datos personales? (confidencialidad, integridad o disponibilidad).
- ¿Qué sistemas? ¿Qué categorías de datos? ¿Cuántas personas?
3) Evaluación de riesgo para personas
- ¿Hay datos financieros, identificativos, credenciales, salud, menores?
- ¿Hay posibilidad real de fraude, suplantación o daño reputacional?
- ¿Estaban cifrados/seudonimizados? ¿Exfiltración confirmada o plausible?
4) Decisión y documentación
- Registro interno del incidente: cronología, decisiones, medidas.
- Si se notifica: contenido coherente (naturaleza, categorías, medidas, contacto).
- Si no se notifica: justificación documentada.
5) Comunicación a personas (si aplica)
- Lenguaje claro: qué hacer (cambios de contraseña, vigilancia de cargos, etc.).
- Medidas de apoyo: canal de contacto, recomendaciones verificables.
6) Post-incidente
- Lecciones aprendidas: accesos, copias, formación, proveedores.
- Ajuste de medidas (art. 32) y procesos.
Recuerda
Gestionar brechas con rigor no significa dramatizar: significa tener un método para proteger a las personas, reducir el impacto y demostrar diligencia. En una pyme, un procedimiento proporcional y ensayado vale más que un documento perfecto nunca usado.
