Brechas de seguridad: destrucción, pérdida, alteración, comunicación o acceso no autorizado a datos personales

Uno de los conceptos más importantes regulados en la normativa europea que debe estar presente en el día a día de los responsables de tratamiento, sea empresa o autónomo, son las brechas de seguridad, reguladas en los artículos 33 y 34 del reglamento europeo.

Se conoce como brecha de seguridad a todo incidente de seguridad accidental o intencionado que afecte a datos personales, que supongan la destrucción, pérdida, alteración o comunicación de datos personales así como el acceso no autorizado a los mismos. Siguiendo lo precisado en la normativa, el responsable de tratamiento debe poner en marcha las medidas que considere oportunas para hacer frente a los diversos peligros existentes.

En el caso de notificación a los interesados esta no será necesaria si el responsable ha adoptado las medidas técnicas y organizativas necesarias, haya tomado medidas ulteriores que garanticen que ya no exista la probabilidad de que se concretice el alto riesgo para los derechos y libertades del interesado, o en tercer lugar, esta notificación suponga un esfuerzo desproporcionado.

La AEPD en una comunicación realizada el pasado mes de abril detallaba cinco medidas para tener en cuenta en materia de violaciones de seguridad, estas cinco medidas son las siguientes:

• Uso de contraseñas seguras y segundo factor de autenticación.
• Realizar copias de seguridad.
• Actualización de sistemas operativos y programas que se utilizan en el desarrollo de la actividad.
• Control de servicios de accesos remotos y exposición de servicios en internet.
• Cifrado de dispositivos.

Se debe entender que la pérdida de un dispositivo móvil puede suponer una brecha de seguridad, o el robo de este, de ahí la importancia de disponer de una regulación interna de actuación y la imposición de medidas para controlar estos hechos, a parte de un asesoramiento externo por parte de especialistas en la materia.