Et arriba un avís: les dades de la teva empresa han aparegut en una filtració. És divendres a la tarda, hi ha feina acumulada i la temptació de deixar-ho per a la setmana que ve és real. Què passa exactament si decideixes ignorar-ho, encara que sigui "només uns dies"? Anem a veure-ho sense dramatitzar, però sense suavitzar-ho tampoc.
El rellotge de les 72 hores no espera que tu reaccionis
El termini legal per notificar una bretxa a l'AEPD és de 72 hores des que en tens constància, no des que decideixes ocupar-te'n. Si reps una alerta i la deixes sense llegir una setmana, aquest termini ja ha passat quan finalment l'obres. No reaccionar a temps no atura el rellotge: simplement fa que, si la bretxa era de les que calia notificar, ja arribis tard abans de començar.
Això no vol dir que tota alerta impliqui una obligació de notificar. El primer pas sempre és avaluar què ha passat i si hi ha risc real per als drets de les persones afectades. Però aquesta avaluació cal fer-la ràpid, no quan hi hagi un forat a l'agenda.
Les conseqüències no esperen que et trobi l'AEPD
Ignorar una alerta no és només un risc "legal i llunyà". Mentre tu no fas res, les dades que s'han filtrat continuen circulant: poden fer-se servir per suplantar la teva identitat o la dels teus clients, per llançar campanyes de phishing molt creïbles usant el teu nom, o per accedir a altres comptes si algú reutilitza contrasenyes. Com més temps passa sense que actuïs, més oportunitat tenen d'explotar-se aquestes dades.
Si la filtració inclou dades de clients, també hi ha un cost de confiança que no surt en cap sanció oficial: un client que descobreix pel seu compte que les seves dades circulaven des de fa setmanes, i que la teva empresa ho sabia i no va dir res, no torna a confiar igual.
Què passa si l'AEPD se n'assabenta abans que tu actuïs
Aquí hi ha la part que més sol sorprendre: no notificar a temps es pot sancionar de manera independent de la sanció per la bretxa en si. És a dir, pots acabar amb dos problemes en lloc d'un: el derivat de l'incident i el derivat de no haver-lo gestionat dins de termini. Les sancions del RGPD poden arribar, en els casos més greus, fins a 20 milions d'euros o el 4% de la facturació global anual, encara que a la pràctica les quanties per a pimes solen quedar molt per sota d'aquest màxim. Tens el detall complet, amb exemples i factors que agreugen la sanció, al nostre article sobre la multa per no notificar una bretxa de dades.
I no cal que sigui l'AEPD qui detecti el silenci: de vegades és un client afectat qui presenta una reclamació en veure que ningú no li va avisar, i aquest és precisament el tipus de cas que sol acabar pitjor.
Què fer en comptes d'això, sense agobiar-te
El contrari d'ignorar una alerta no és resoldre-ho tot en una tarda: és tenir un procediment mínim per no deixar-ho passar. Anota la data en què reps l'avís, avalua el risc amb calma però sense allargar-ho dies, i decideix amb aquesta informació si toca notificar. Tenim una checklist amb els passos concrets per a aquestes primeres hores a què fer en les primeres 72 hores després de detectar una bretxa de seguretat.
Si el que et falta és precisament assabentar-te a temps, a Alerta Brecha vigilem de manera contínua si les dades de la teva empresa apareixen en filtracions conegudes, amb un Pla Bàsic (9€/mes, monitorització setmanal) i un Pla Professional (14,50€/mes el primer any, 29€/mes després, amb alerta immediata i PDF precarregat per a l'AEPD). Estem en fase d'accés anticipat, amb llista d'espera oberta.
---
Recorda que aquest article té un caràcter merament divulgatiu i no substitueix l'assessorament d'un professional legal qualificat. Per resoldre dubtes concrets sobre la teva situació, consulta amb un professional.