Enviar un correo con datos personales al destinatario equivocado o remitir una nómina a quien no corresponde puede convertirse en una brecha de datos personales con consecuencias legales para los autónomos y pequeños negocios. El deber de informar forma parte de la responsabilidad de las empresas para proteger la información de clientes, empleados o proveedores, y su incumplimiento puede derivar en sanciones.
En este contexto, la Agencia Española de Protección de Datos (AEPD) recordó recientemente que los negocios están obligados a notificar estas brechas a la autoridad de control en un plazo máximo de 72 horas desde que tienen constancia de que un incidente de seguridad ha afectado a datos personales.
Según explicó Ana Vidaor Maristany, abogada del área TMT de AGM Abogados, no es necesario que exista un ciberataque sofisticado para que surjan estas obligaciones. “Situaciones tan habituales como enviar un correo electrónico con información personal al destinatario equivocado, remitir documentos sensibles a quien no corresponde o perder un dispositivo con datos pueden constituir una brecha de datos personales”, señaló.
Además, incluso cuando el negocio concluye que el incidente no supone un riesgo para los afectados y decide no comunicarlo a la AEPD, la normativa obliga a documentar internamente la brecha y el análisis realizado. Esta documentación permitirá demostrar, en caso de inspección, que el responsable del tratamiento evaluó correctamente lo ocurrido y actuó con la diligencia exigida por el RGPD.
Muchos errores cotidianos también pueden constituir una brecha de datos
Uno de los aspectos que más desconocen los autónomos y pequeños negocios es que no hace falta sufrir un ciberataque sofisticado para que se produzca una brecha de datos personales. En la práctica, muchos incidentes que se producen en el día a día de una empresa pueden activar las obligaciones previstas en el Reglamento General de Protección de Datos (RGPD).
Tal y como explicó Ana Vidaor Maristany, abogada del área TMT de AGM Abogados, una brecha de datos personales es “cualquier incidente de seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales tratados por un responsable, o bien la comunicación o acceso no autorizados a los mismos”.
Esto significa que situaciones aparentemente menores pueden tener consecuencias legales la pérdida de control sobre información protegida o el riesgo de que terceros accedan a ella sin autorización. La abogada subrayó que lo determinante no es la sofisticación del incidente, sino su impacto potencial. Entre los ejemplos más habituales que señaló la experta se encuentran:
- enviar un correo electrónico con datos personales al destinatario equivocado
- remitir una nómina u otros documentos sensibles a una persona que no corresponde
- permitir accesos indebidos a información por parte de personal interno
- perder dispositivos como un USB, un teléfono móvil, un ordenador portátil o documetación que contengan datos personales.
Para valorar la gravedad de una brecha deben analizarse factores como la naturaleza de los datos afectados, su nivel de sensibilidad, el volumen de información comprometida o las posibles consecuencias para los derechos y libertades de las personas.
Las empresas deben notificar la brecha si existe riesgo para los afectados
Cuando se produce un incidente de seguridad que afecta a datos personales, el responsable del tratamiento debe evaluar el nivel de riesgo que puede generar para los afectados para determinar si existe obligación de notificar la brecha a la Agencia Española de Protección de Datos.
Tal y como recoge el artículo 33 del RGPD los negocios están obligados a comunicar el incidente cuando exista una probabilidad de que afecte a los derechos y libertades de las personas. En ese caso, la empresa deberá notificar la brecha a la AEPD en un plazo máximo de 72 horas desde que el responsable del tratamiento tenga constancia de lo ocurrido. Según apuntó la experta, este plazo incluye fines de semana y festivos.
La detección de estos incidentes puede producirse de forma inmediata en algunos casos, como ocurre cuando un documento se envía a un destinatario equivocado. Sin embargo, en otros supuestos -por ejemplo, en determinados ataques informáticos o fraudes de suplantación de identidad- el incidente puede tardar más tiempo en ser identificado.
Por este motivo, la experta destacó la importancia de que los negocios implanten buenas prácticas de seguridad y promuevan la formación del personal para detectar este tipo de situaciones lo antes posible.
No actuar a tiempo puede agravar la responsabilidad
Para Vidaor maristany, uno de los errores más graves que cometen algunos negocios cuando detectan una brecha de datos es no reaccionar con rapidez. En ocasiones, explicó, algunos responsables tienden a restar importancia al incidente o a pensar que, por tratarse de una empresa pequeña, las consecuencias serán limitadas.
Sin embargo, esta falta de actuación puede agravar la responsabilidad del negocio. Una brecha de datos puede afectar a los derechos y libertades de las personas, por lo que el responsable del tratamiento está obligado a evaluar el incidente y adoptar las medidas necesarias para gestionarlo correctamente.
Otro fallo frecuente es no buscar asesoramiento especializado desde el primer momento. Tomar decisiones precipitadas o sin conocimiento técnico puede provocar que se pierdan evidencias, que se valore incorrectamente el riesgo o que se incumpla el plazo para notificar.
Incluso si no se notifica la brecha, debe documentarse internamente
La obligación de actuar no desaparece cuando la empresa concluye que el incidente no supone un riesgo para los afectados. En estos casos, el responsable del tratamiento puede decidir no notificar la brecha a la AEPD ni comunicarla a las personas implicadas, pero la normativa exige igualmente que el incidente quede documentado.
Según explicó la abogada de AGM Abogados, todas las brechas de seguridad deben registrarse internamente, incluso aquellas que finalmente no se notifican a la autoridad de control. Esta documentación forma parte del principio de responsabilidad proactiva recogido en el RGPD.
Para justificar la decisión de no notificar, la organización debe conservar, al menos, un informe interno de análisis del incidente, en el que se describa qué ocurrió, qué investigación se llevó a cabo, qué medidas se adoptaron y por qué se concluyó que la brecha no implicaba un riesgo para los derechos de los afectados.
Además, el incidente debe inscribirse en el registro de brechas de seguridad de la empresa, indicando qué datos pudieron verse comprometidos, cuántas personas podrían haberse visto afectadas y cuál fue el resultado de la evaluación del riesgo.
Cuándo puede acabar una brecha de datos en sanción
Cuando se produce una brecha de datos personales, la Agencia Española de Protección de Datos analiza cada caso de forma individual para determinar si procede archivar el expediente, emitir un apercibimiento o imponer una sanción.
Según explicó Vidaor Maristany, cualquier organización -ya sea una gran empresa, una pyme o un autónomo- puede ser sancionada si incumple las obligaciones que establece el RGPD. No obstante, la cuantía de la multa dependerá de diversos factores, como el volumen de negocio, la gravedad del incidente o las circunstancias agravantes o atenuantes que concurran en cada caso.
Entre las causas más frecuentes que pueden dar lugar a sanciones se encuentran la ausencia o insuficiencia de medidas de seguridad, la falta de una evaluación adecuada del riesgo o la omisión de la notificación cuando ésta era obligatoria.
También pueden iniciarse investigaciones cuando un afectado presenta una reclamación ante la AEPD. En muchos casos, son los propios usuarios quienes alertan a la autoridad de posibles irregularidades, por ejemplo cuando reciben comunicaciones comerciales sin haber dado su consentimiento o cuando sus datos se utilizan para finalidades distintas de aquellas para las que fueron recogidos.
Asimismo, la Agencia puede sancionar cuando el responsable del tratamiento no ejerce un control adecuado sobre los proveedores que gestionan datos personales en su nombre. Si el incidente se produce en un encargado del tratamiento y el responsable no ha aplicado medidas suficientes para supervisar su actuación, también podría ser considerado responsable.
Otros factores que pueden agravar la situación son no haber documentado la brecha internamente, carecer de políticas y protocolos de protección de datos, no formar adecuadamente al personal o no aplicar medidas técnicas básicas como controles de acceso o contraseñas robustas.
Las sanciones pueden llegar a 10 millones de euros o al 4% de la facturación
No comunicar una brecha de seguridad dentro del plazo legal puede salir muy caro a los autónomos y pequeños negocios. Según se explicó dos artículos ya publicados en este medio, la normativa de protección de datos considera esta omisión una infracción grave, que puede acarrear multas de hasta 10 millones de euros o el 2% del volumen de negocio anual global en función de cuál sea la cifra más elevada.
Además, en los supuestos más graves, la sanción puede aumentar. Estas multas pueden llegar a 20 millones de euros y, en los casos más graves, la sanción puede alcanzar el 4% de la facturación.
Según explicó en declaraciones anteriores Vanesa Alarcón Caparrós, abogada de AGM Abogados, “toda sanción va en función de la infracción cometida y su gravedad. Normalmente, la no notificación constituiría una infracción grave de la normativa, pero habría que ver los detalles de cada caso”.
Autónomos, pymes y grandes empresas están sujetos al mismo régimen sancionador, aunque la cuantía final dependerá de las circunstancias concretas.
Estas sanciones administrativas de la AEPD son independientes de otras posibles responsabilidades. En concreto, pueden concurrir con la responsabilidad civil subsidiaria si el incidente causa daños a terceros. Como señaló Alarcón Caparrós, una multa puede imponerse por la vía administrativa y, al mismo tiempo, la persona afectada puede reclamar sus derechos ante los tribunales.
Si bien es cierto que estas infracciones prescriben a los dos años. Pasado ese plazo, aunque se descubra que el autónomo o la pyme no comunicaron el ataque informático, ya no se les puede sancionar administrativamente por este motivo.
