"Nos han hackeado" es la frase que se usa para casi todo, desde un ransomware que paraliza la empresa hasta un empleado que envía un correo a la persona equivocada. El problema es que, a efectos del RGPD, no todo es lo mismo, y confundir los términos puede hacer que notifiques algo que no tocaba o, peor, que no notifiques algo que sí era obligatorio. Vamos a aclarar los conceptos con ejemplos concretos.
Qué es un ciberataque
Un ciberataque es una acción intencionada contra tus sistemas: alguien de fuera (o a veces de dentro) intenta acceder, dañar o inutilizar tu infraestructura. Ransomware, phishing dirigido, ataques de fuerza bruta contra contraseñas o la explotación de una vulnerabilidad en tu web son ciberataques. Tienen un atacante detrás con una intención concreta.
Un ciberataque puede o no derivar en una brecha de datos personales. Si alguien cifra tus archivos con ransomware pero esos archivos no contienen datos personales de clientes o empleados, has sufrido un ciberataque grave para tu negocio, pero no necesariamente una brecha que debas notificar a la AEPD. Si además accede o extrae datos de personas, ahí sí hay una brecha.
Qué es una brecha de seguridad (de datos personales)
Una brecha de seguridad, en el sentido que le da el RGPD, es cualquier incidente que compromete la confidencialidad, integridad o disponibilidad de datos personales, sea cual sea su causa. Esto es mucho más amplio que un ciberataque: incluye también errores humanos y fallos técnicos sin que haya ningún atacante de por medio.
Enviar un correo con datos de clientes a un destinatario equivocado es una brecha de seguridad, aunque nadie haya "atacado" nada. Perder un portátil sin cifrar con una base de datos de empleados es una brecha. Un fallo de configuración que deja una carpeta de documentos accesible públicamente en internet es una brecha. Ninguno de estos casos requiere un atacante activo, y aun así activan las mismas obligaciones legales que un ciberataque con filtración de datos.
Por qué esta diferencia importa a la hora de notificar
La AEPD no pregunta si sufriste un "ciberataque": pregunta si ha habido una brecha de seguridad de datos personales. Por eso el criterio para decidir si notificas no es "¿me han atacado?", sino "¿se ha comprometido la confidencialidad, integridad o disponibilidad de datos de personas?". Si la respuesta es sí, el plazo legal para notificarlo es de 72 horas desde que tienes constancia del incidente, venga de donde venga.
Esto tiene una consecuencia práctica importante: no puedes descartar notificar solo porque "no ha sido un hackeo de verdad". Un error humano tonto, como adjuntar el archivo equivocado en un correo masivo, puede obligarte a notificar exactamente igual que un ataque sofisticado. Puedes profundizar en cuándo exactamente se activa esa obligación en nuestra guía sobre la obligación de notificar una brecha de datos según el RGPD.
Ejemplos para no perderte
- Ciberataque sin brecha de datos: un intento de phishing que un empleado detecta y no abre. No ha habido acceso a datos, no hay brecha que notificar.
- Ciberataque con brecha de datos: un atacante accede a tu CRM y descarga la base de clientes. Es ambas cosas a la vez, y sí hay que notificar.
- Brecha sin ciberataque: una funcionaria de tu empresa envía por error una hoja de cálculo con nóminas a toda la plantilla en vez de a un solo destinatario. No hay atacante, pero sí hay brecha.
- Ni una cosa ni la otra: tu web se cae unas horas por un problema de hosting, sin que se vean comprometidos datos de nadie. No es ciberataque con relevancia de datos ni brecha de seguridad personal.
Si tienes dudas sobre si lo que te ha pasado entra en alguna de estas categorías, lo más seguro es tratarlo como si pudiera ser una brecha y evaluarlo con ese criterio, no con el de "si parece un hackeo o no".
Cómo puede ayudarte Alerta Brecha
Distinguir los términos está bien, pero lo que de verdad importa es enterarte a tiempo de que algo ha pasado. En Alerta Brecha vigilamos de forma continua si los datos de tu empresa (correos, dominios, teléfonos) aparecen en filtraciones conocidas, independientemente de si el origen fue un ciberataque o un simple error de terceros. Tenemos un Plan Básico (9€/mes, monitorización semanal) y un Plan Profesional (14,50€/mes el primer año, 29€/mes después, con monitorización diaria, alerta inmediata y un PDF precargado para la AEPD). Al estar en fase de acceso anticipado, puedes apuntarte a la lista de espera.
---
Recuerda que este artículo tiene un carácter meramente divulgativo y no sustituye el asesoramiento de un profesional legal cualificado. Para resolver dudas concretas sobre tu situación, consulta con un profesional.