Detectar unha brecha de seguridade na túa peme xera nervios, e é normal. Pero o que marca a diferenza non é o susto, senón o que fagas nas horas seguintes. O RGPD fixa un prazo claro: 72 horas desde que tes constancia do incidente. Esta checklist está pensada para que non se che esqueza nada e poidas ir marcando pasos.
1. Confirma que pasou e que datos están en xogo
Antes de tocar nada, entende o alcance.
1. Anota a data e a hora exactas en que detectaches o incidente. Ese momento arranca o reloxo das 72 horas.
2. Identifica a orixe: un correo enviado a destinatarios equivocados, un dispositivo perdido, un acceso non autorizado, un provedor comprometido...
3. Determina que categorías de datos se viron afectadas: nomes, correos, teléfonos, DNI, datos bancarios, datos de saúde...
4. Comproba cantas persoas están afectadas, aínda que sexa un número aproximado.
5. Pregúntate se existe risco para os dereitos desas persoas. Non é o mesmo filtrar unha lista de correo comercial que datos de saúde ou contas bancarias.
2. Contén a brecha canto antes
Cortar a billa é a prioridade.
1. Cambia os contrasinais das contas comprometidas e activa a verificación en dous pasos onde non a teñas.
2. Revoga accesos de persoas ou aplicacións que xa non deberían telos.
3. Se o problema vén dun provedor, contacta con el por escrito e pide explicacións.
4. Se hai un dispositivo perdido, intenta o borrado remoto.
5. Recupera copias de seguridade se algún dato se borrou ou cifrou, e comproba que o incidente non se reproduce.
Non borres evidencias: os rexistros, correos ou capturas poden ser necesarios despois.
3. Documenta todo desde o minuto un
Este paso non se fai ao final; faise en paralelo a todo o demais.
1. Abre un documento coa cronoloxía: que pasou, cando, como se detectou e que fixeches.
2. Garda probas: capturas, rexistros de acceso, correos.
3. Apunta as medidas adoptadas e quen as tomou.
4. Rexistra a decisión que tomes sobre notificar ou non. Esa decisión debe quedar xustificada por escrito.
Aínda que ao final non notifiques, ter o expediente ordenado demostra dilixencia se alguén pregunta máis adiante.
4. Decide se notificas á AEPD dentro das 72 horas
Aquí está o paso con máis peso legal.
1. Avalía o risco: se a brecha pode afectar dereitos e liberdades das persoas (suplantación, fraude, discriminación, dano reputacional), o normal é notificar.
2. Se notificas, faino a través do formulario da AEPD dentro do prazo de 72 horas desde que tiveches constancia.
3. Se non che dá tempo a telo todo, notifica igualmente e amplía a información despois.
4. Se decides non notificar, deixa por escrito o motivo.
Notificar tarde ou non facelo ten consecuencias: as sancións do RGPD poden chegar ata 20 millóns de euros ou o 4% da facturación global anual, o que sexa maior, nos casos máis graves. En pemes as contías adoitan ser moi inferiores a ese máximo, pero o risco existe. Tes o detalle do proceso en como notificar unha brecha á AEPD.
5. Informa os afectados e saca conclusións
1. Se o risco é alto, comunica a brecha ás persoas afectadas: que pasou, que datos, que consecuencias e que poden facer.
2. Redacta o aviso en linguaxe clara, sen tecnicismos.
3. Revisa que fallou e corríxeo: contrasinais débiles, permisos excesivos, falta de formación...
4. Valora implantar unha ferramenta de monitorización continua para decatarte ti primeiro dunha filtración, en vez de depender de que te avise un cliente, un xornalista ou a propia AEPD.
Esta checklist sérveche para reaccionar ben unha vez que xa pasou algo. En Alerta Brecha vixiamos de forma continua se os datos da túa empresa (correos, dominios, teléfonos) aparecen en filtracións coñecidas, para que poidas adiantarte a este proceso en vez de improvisalo. Ao estar en fase de acceso anticipado, podes apuntarte á lista de espera para coñecer os plans dispoñibles.
---
Lembra que este artigo ten un carácter meramente divulgativo e non substitúe o asesoramento dun profesional legal cualificado. Para resolver dúbidas concretas sobre a túa situación, consulta cun profesional.