Brechas: evaluación de riesgo para los titulares

El artículo 33 obliga a notificar la brecha a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de haber tenido constancia de ella, salvo que sea improbable que suponga un riesgo para los derechos y libertades de las personas. Si no se llega al plazo, la notificación debe explicar los motivos del retraso. El artículo 34 añade otro paso con otro umbral: comunicar la brecha a los titulares cuando entrañe un alto riesgo para ellos.

Son dos preguntas de gravedad distinta. La primera se responde casi siempre que haya riesgo; la segunda solo cuando el riesgo es alto. Y toda brecha se documenta, también la que no se notifica (artículo 33.5).

La bitácora tiene hechos que se confunden: cuándo empezó la exposición, cuándo la detectó el encargado, cuándo avisó al responsable y cuándo lo confirmó el comité. El artículo 33.2 obliga al encargado a notificar al responsable sin dilación indebida, y en el procedimiento de Páramo el reloj interno corre desde el momento en que el encargado avisa a Páramo, no desde la confirmación del comité. Esperar a confirmar para empezar a contar es un error frecuente que acorta el plazo en el papel.

Abre la bitácora y localiza ese momento.

El procedimiento de Páramo cuenta las 72 horas de corrido, incluidos fines de semana. Para saber si se cumplió el plazo hay que restar el momento del aviso al de la notificación a la autoridad, en horas. El resultado dice si hubo retraso y de cuánto; y si lo hubo, la notificación debe haber explicado el motivo, algo que la bitácora también dice si ocurrió.

Calcula las horas completas entre ambos momentos.

Evaluar el riesgo para los titulares es mirar qué se expuso y qué pueden hacer con ello: qué datos, a cuántas personas, si se identifica a cada una, si están cifrados. Páramo usa un método interno de puntuación con umbral de riesgo alto; no es texto del reglamento, es la regla de la empresa para decidir de forma coherente.

Aplica el método a los dos conjuntos de datos afectados y ve cuál supera el umbral.

Con la brecha ya notificada, quedan dos cosas por resolver: la comunicación a los titulares del conjunto de riesgo alto, que el reglamento pide sin dilación indebida, y el motivo del retraso, que la notificación debía explicar si superó el plazo. Los dos asuntos y el resto de hechos se anotan en el registro de brechas. Esperar a que la autoridad decida si hay que avisar a los titulares no es lo que el artículo 34 pide: la decisión es del responsable.