Detectar una bretxa de seguretat a la teva pime genera nervis, i és normal. Però el que marca la diferència no és l'ensurt, sinó el que facis en les hores següents. El RGPD fixa un termini clar: 72 hores des que tens constància de l'incident. Aquesta checklist està pensada perquè no se t'oblidi res i puguis anar marcant passos.
1. Confirma què ha passat i quines dades hi ha en joc
Abans de tocar res, entén l'abast.
1. Anota la data i l'hora exactes en què has detectat l'incident. Aquell moment engega el rellotge de les 72 hores.
2. Identifica l'origen: un correu enviat a destinataris equivocats, un dispositiu perdut, un accés no autoritzat, un proveïdor compromès...
3. Determina quines categories de dades s'han vist afectades: noms, correus, telèfons, DNI, dades bancàries, dades de salut...
4. Comprova quantes persones estan afectades, encara que sigui un número aproximat.
5. Pregunta't si existeix risc per als drets d'aquestes persones. No és el mateix filtrar una llista de correu comercial que dades de salut o comptes bancaris.
2. Conté la bretxa com més aviat millor
Tallar el grifó és la prioritat.
1. Canvia les contrasenyes dels comptes compromesos i activa la verificació en dos passos on no la tinguis.
2. Revoca accessos de persones o aplicacions que ja no l'haurien de tenir.
3. Si el problema ve d'un proveïdor, contacta'l per escrit i demana explicacions.
4. Si hi ha un dispositiu perdut, intenta l'esborrat remot.
5. Recupera còpies de seguretat si alguna dada s'ha esborrat o xifrat, i comprova que l'incident no es reprodueixi.
No esborris evidències: els registres, correus o captures poden ser necessaris després.
3. Documenta-ho tot des del primer minut
Aquest pas no es fa al final; es fa en paral·lel a tota la resta.
1. Obre un document amb la cronologia: què va passar, quan, com es va detectar i què has fet.
2. Guarda proves: captures, registres d'accés, correus.
3. Apunta les mesures adoptades i qui les va prendre.
4. Registra la decisió que prenguis sobre notificar o no. Aquesta decisió ha de quedar justificada per escrit.
Encara que al final no notifiquis, tenir l'expedient ordenat demostra diligència si algú pregunta més endavant.
4. Decideix si notifiques a l'AEPD dins de les 72 hores
Aquí hi ha el pas amb més pes legal.
1. Avalua el risc: si la bretxa pot afectar drets i llibertats de les persones (suplantació, frau, discriminació, dany reputacional), el normal és notificar.
2. Si notifiques, fes-ho a través del formulari de l'AEPD dins del termini de 72 hores des que en vas tenir constància.
3. Si no et dona temps a tenir-ho tot, notifica igualment i amplia la informació després.
4. Si decideixes no notificar, deixa per escrit el motiu.
Notificar tard o no fer-ho té conseqüències: les sancions del RGPD poden arribar fins a 20 milions d'euros o el 4% de la facturació global anual, el que sigui més gran, en els casos més greus. En pimes les quanties solen ser molt inferiors a aquest màxim, però el risc existeix. Tens el detall del procés a com notificar una bretxa a l'AEPD.
5. Informa els afectats i treu conclusions
1. Si el risc és alt, comunica la bretxa a les persones afectades: què ha passat, quines dades, quines conseqüències i què poden fer.
2. Redacta l'avís en llenguatge clar, sense tecnicismes.
3. Revisa què va fallar i corregeix-ho: contrasenyes febles, permisos excessius, falta de formació...
4. Valora implantar una eina de monitorització contínua per assabentar-te'n tu primer d'una filtració, en lloc de dependre que t'avisi un client, un periodista o la mateixa AEPD.
Aquesta checklist et serveix per reaccionar bé un cop ja ha passat alguna cosa. A Alerta Brecha vigilem de manera contínua si les dades de la teva empresa (correus, dominis, telèfons) apareixen en filtracions conegudes, perquè puguis avançar-te a aquest procés en comptes d'improvisar-lo. En estar en fase d'accés anticipat, pots apuntar-te a la llista d'espera per conèixer els plans disponibles.
---
Recorda que aquest article té un caràcter merament divulgatiu i no substitueix l'assessorament d'un professional legal qualificat. Per resoldre dubtes concrets sobre la teva situació, consulta amb un professional.