Se considerarán como “incidencias de seguridad”, entre otras, cualquier incumplimiento de la normativa de protección de datos personales, así como cualquier anomalía o evento que afecte o pueda afectar a la seguridad de los datos personales en sus tres vertientes de confidencialidad, integridad y disponibilidad.
Se deberán tener en cuenta, entre otras, las siguientes incidencias:
• Pérdida de información personal.
• Modificación de datos personales por personal no autorizado o desconocido.
• Existencia de sistemas de información sin las debidas medidas de seguridad.
• Los intentos de acceso no autorizados a ficheros de carácter personal.
• El conocimiento por terceros de la clave de acceso al sistema.
• El intento no autorizado de salida de un soporte.
• La existencia de soportes sin control que contengan datos personales.
• La destrucción total o parcial de un soporte que contenga datos de carácter personal.
• La caída del sistema de seguridad informática, que posibilite el acceso a datos personales por personas no autorizadas.
• Cualquier incidencia que pueda afectar a la confidencialidad, integridad y/o disponibilidad de los datos personales.
CÓMO ACTUAR ANTE UNA INCIDENCIA
Cuando una persona tenga conocimiento de una incidencia que afecte, o pueda afectar, a la confidencialidad o integridad de los datos contenidos en los ficheros de la organización, deberá comunicarla inmediatamente al responsable del registro de incidencias a través del formulario GESTIÓN DE INCIDENCIAS.
Deberá especificar el tipo de incidencia producida y su descripción detallada, indicando las intervenciones de las personas que hayan podido tener relación con la producción de la incidencia, así como la fecha y hora en que se ha producido o detectado, la persona que realiza la notificación, a quién se comunica y los efectos que se pueden haber derivado de la incidencia.
Una vez rellena la plantilla, se obtendrán 2 copias y se entregarán inmediatamente al responsable del tratamiento, Delegado de Protección de Datos, o a la persona en quien haya delegado la gestión de las incidencias, solicitándole el acuse de recibo en una de las copias. Esta copia se guardará como resguardo de la notificación.
Por ejemplo, pongamos el caso de una empresa de venta de colchones en Madrid, que tiene sede física y página web online. En este caso, no solo tiene que tener gestión de incidencias en su establecimiento físico, sino también de forma digital, ya que en las páginas webs también se puede almacenar información sensible que debe ser controlada y vigilada ante posibles ataques, manipulación de trabajadores (diseñadores, programadores, servidores etc.).
El responsable del tratamiento, Delegado de Protección de Datos, o a la persona en quien haya delegado la gestión de las incidencias, quedará a cargo de la gestión, coordinación y resolución de la misma, así como al registro de la incidencia en el registro habilitado para ello.
El conocimiento y no notificación de una incidencia por parte de un usuario, será considerado como una falta de seguridad por parte de ese usuario.
Más información sobre cómo actuar ante las brechas de seguridad
https://www.altabir.es/brecha-seguridad-ley-proteccion-datos/
La AEPD pone a nuestra disposición una guía para la gestión de la notificación de las brechas de seguridad
https://www.aepd.es/media/guias/guia-brechas-seguridad.pdf
CONTRATA AHORA TU PROTECCIÓN DE DATOS Y TE EVITAREMOS SANCIONES INNECESARIAS PORQUE PARA ALTABIR LA TRANQUILIDAD DE NUESTROS CLIENTES ES LO PRIMERO
Quizás te puede interesar:
Artículo publicado por Elisa Campoy Soler
Consultora Experta y Delegada de Protección de Datos en Grupo Altabir