Recientemente, el Supervisor Europeo de Protección de Datos (SEPD) ha publicado un listado de preguntas frecuentes (FAQs) sobre la gestión y notificación de brechas de seguridad que afecten a datos personales.
Antes de analizar su contenido, conviene aclarar que estas indicaciones no están dirigidas a empresas privadas ni a organizaciones sujetas al Reglamento General de Protección de Datos (RGPD). Se han publicado en el marco del Reglamento (UE) 2018/1725, aplicable a las instituciones, órganos y organismos de la Unión Europea. No obstante, su contenido ofrece una oportunidad para revisar cómo debe abordarse la gestión de una brecha de seguridad también en el contexto del RGPD.
Uno de los aspectos más interesantes de las FAQs es que recuerdan que la evaluación del riesgo no debe posponerse hasta que finalice la investigación del incidente.
Según el SEPD, tan pronto como la organización disponga de un grado razonable de certeza sobre la existencia de una brecha, debe comenzar a analizar los riesgos utilizando la información disponible en ese momento, aunque todavía existan aspectos pendientes de confirmar. Esto implica que la investigación técnica, las medidas de contención y la evaluación de riesgos deben desarrollarse en paralelo, sin esperar a disponer de una imagen completa del incidente.
Las FAQs también insisten en una cuestión que suele pasarse por alto: evaluar una brecha no consiste únicamente en analizar qué tipo de datos se han visto afectados. Es necesario tener en cuenta conjuntamente distintos factores, entre ellos: (i) el volumen de información afectada; (ii) número de personas implicadas; (iii) las características de la brecha; y (iv) el contexto organizativo en el que se ha producido.
Esta perspectiva permite realizar una evaluación más completa del riesgo y evita que el análisis se limite a considerar únicamente la naturaleza de los datos comprometidos.
Otro aspecto reseñable es la necesidad de documentar las brechas de seguridad incluso cuando no exista obligación de notificarlas a la autoridad de control. Es decir, las organizaciones deben poder acreditar, a través de evidencias probadas, las conclusiones alcanzadas durante la evaluación de riesgos, así como los motivos que justificaron la decisión de notificar o no el incidente.
Por último, el SEPD distingue entre dos tipos de medidas a la hora gestionar una brecha de seguridad: (i) las medidas inmediatas dirigidas a contener las consecuencias del incidente; y (ii) aquellas medidas destinadas a evitar que pueda volver a producirse la misma situación en el futuro. Esta diferenciación recuerda que la gestión y valoración de una brecha no termina cuando se identifica y elimina la vulnerabilidad que ha provocado el incidente.
La capacidad de contención es importante, pero también lo es la adopción de medidas correctoras que permitan reforzar el nivel de seguridad existente.
En definitiva, aunque estas FAQs se dirigen formalmente a las instituciones europeas, su principal aportación reside en recordar algunas buenas prácticas fundamentales:comenzar la evaluación del riesgo desde el primer momento; analizar el incidente desde una perspectiva amplia y contextual; documentar adecuadamente todas las decisiones adoptadas; y entender la gestión de brechas como un proceso continuo que combina contención inmediata y mejora permanente de la seguridad.