El Reglamento General de Protección de Datos (RGPD) de la Unión Europea ha establecido un marco legal que obliga a los responsables de los tratamientos de datos personales a evaluar los riesgos y aplicar medidas de seguridad técnicas y organizativas adecuadas. La seguridad enfocada a los tratamientos implica considerar la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los derechos y libertades de las personas naturales.

Un ejemplo ilustrativo de la diferencia entre la seguridad de los sistemas y la seguridad de los tratamientos es el uso de contraseñas. A menudo, las personas utilizan la misma contraseña o contraseñas débiles en varios servicios, lo que permite a terceros acceder a datos personales a través de credenciales comprometidas. En estos casos, algunos responsables de tratamientos de datos pueden argumentar erróneamente que no ha ocurrido una brecha según el RGPD, ya que el sistema de información funcionó correctamente. Sin embargo, esto ignora el hecho de que la seguridad del tratamiento de datos personales ha sido comprometida.

La guía para la notificación de brechas de datos personales de la Agencia Española de Protección de Datos (AEPD) proporciona una herramienta valiosa para los responsables de los tratamientos de datos personales, ayudándoles a cumplir con sus obligaciones de notificación a las autoridades de control y comunicación a las personas afectadas. Esta guía enfatiza la importancia de reconocer una brecha de datos personales y actuar de manera adecuada para minimizar los riesgos y proteger a los individuos afectados.

Un ejemplo es el Esquema Nacional de Seguridad (ENS) representa un marco normativo fundamental en el contexto de la seguridad de la información en España, especialmente relevante tanto para las entidades del sector público como para las empresas privadas que interactúan con ellas. Este esquema establece una serie de requisitos y medidas destinadas a garantizar la seguridad de los sistemas de información que manejan, procesan o almacenan datos pertenecientes al sector público.

Además, el ENS no solo se limita a las entidades públicas, sino que también se extiende a las empresas privadas que proporcionan servicios o soluciones tecnológicas a las administraciones públicas. Esto significa que cualquier compañía privada que trabaje en colaboración con el sector público, debe adherirse a los estándares y prácticas de seguridad dictados por el ENS para asegurar la protección y la integridad de la información.

No obstante, el ENS también reconoce la importancia de la protección de datos personales y, por ello, en su artículo 3, hace una mención específica a la regulación de datos personales. Según este artículo, en los casos en que un sistema de información del sector público o privado que esté bajo el ámbito de aplicación del ENS se utilice para procesar datos personales, dicho sistema deberá cumplir con lo establecido en el Reglamento General de Protección de Datos (RGPD) y la legislación correspondiente en materia de protección de datos.

El RGPD es una normativa de la Unión Europea que busca fortalecer y unificar la protección de datos para todos los individuos dentro de la UE. Es conocido por su enfoque en dar control a los ciudadanos sobre sus datos personales y por las estrictas medidas que impone a las organizaciones que procesan estos datos. Por lo tanto, la referencia del ENS al RGPD subraya la necesidad de una doble capa de seguridad y cumplimiento normativo cuando se trata de sistemas de información que manejan datos personales.

En resumen, el ENS y el RGPD son dos pilares que trabajan conjuntamente para asegurar que los sistemas de información, ya sean del sector público o privado, operen dentro de un marco de seguridad robusto y respetuoso con la privacidad de los datos personales. Esto refleja un compromiso con la seguridad de la información y la protección de la privacidad en la era digital, aspectos críticos para la confianza y el buen funcionamiento de la sociedad y las instituciones.

En conclusión, la seguridad enfocada a los tratamientos de datos personales es un concepto que va más allá de la protección de los sistemas de información. Requiere una comprensión profunda de los procesos de tratamiento y los riesgos asociados, así como un compromiso con la protección de los derechos individuales. Con la implementación efectiva de medidas de seguridad y una respuesta rápida a las brechas de datos, podemos aspirar a un entorno digital más seguro y confiable para todos.

La entrada Brechas de datos personales. La seguridad enfocada a los tratamientos de datos se publicó primero en Adaptación RGPD.

¿Qué tipo de brechas de seguridad de datos personales se tienen que hacer frente? Es muy importante conocer la tipología y a qué dimensiones de la seguridad de los datos personales ha afectado la brecha.

1. A) Brecha de confidencialidad: aquellos casos en que no se tiene autorización para acceder a la información, revelación no autorizada o accidental de los datos personales.
2. B) Brecha de integridad: cuando se modifica la información original y se sustituye por otra causando un perjuicio al afectado.
3. C) Brecha de disponibilidad: se produce una pérdida de acceso accidental o no autorizada a los datos personales o bien se produce su destrucción.

IMPORTANTE
El responsable del tratamiento debe comunicar a la AEPD en el plazo máximo de 72hrs las brechas de seguridad que supongan un riesgo para los derechos y libertades de las personas.

La entrada La seguridad de los datos personales (II) se publicó primero en Adaptación RGPD.

En esta guía se dan las indicaciones necesarias al responsable del tratamiento para notificar, en su caso, a la autoridad de control competente, las brechas de seguridad.

Si el incidente de seguridad, no afecta a datos personales o a tratamientos de datos personales, no se trataría de una brecha de datos. Tampoco se consideran brechas, cuando el tratamiento se lleve a cabo por personas físicas en el ámbito doméstico.

No es obligatorio notificar todas las brechas. El RGPD prevé una excepción cuando el responsable pueda garantizar que es improbable que la brecha de datos personales entrañe un riesgo.

Por otro lado, en la guía se hace referencia a que si lo que se pretende es denunciar por la posible vulneración de la normativa de un empleado, o tercero, el canal utilizado es el de presentación de reclamaciones.

El responsable del tratamiento es quién debe notificar a la autoridad de control. Aunque, este puede autorizar a una persona física, o representante. El encargado de tratamiento que ha sido objeto de la brecha, también podrá notificar a la autoridad de control siempre y cuando así venga establecido en el contrato.

En la sede electrónica encontramos el formulario en línea que permite hacer las notificaciones telemáticas.

IMPORTANTE

En todo tratamiento hay que determinar el riesgo que para los derechos y libertades puede suponer que se materialice una brecha de datos personales.

La entrada Guía para la notificación de brechas de datos personales a la autoridad de control (I) se publicó primero en Adaptación RGPD.