Para no verte en este tipo de situaciones, implementa por defecto cifrado de datos y medios portátiles, así como procedimientos de inventario y custodia de los dispositivos de tu empresa. Es muy sencillo establecer controles de acceso, y en poco tiempo puedes adaptar protocolos de respuesta en tu empresa.
En materia de protección de datos, documentar todo es importantísimo, más que la notificación a la autoridad e control. Es el salvavidas de la empresa ante inspecciones y procedimientos de este tipo. No sólo hay que ser "bueno", sino también parecerlo.
El responsable del tratamiento (quien determina fines y medios) tiene la responsabilidad principal. El encargado debe comunicar inmediatamente cualquier brecha al responsable. En RTVE, el debate fue precisamente sobre quién custodiaba los pendrives. Debe tenerse en cuenta que las sanciones ascienden a hasta 20 millones de euros o 4% de la facturación en infracciones graves, considerando la AEPD factores para la moderación la gravedad, negligencia, categoría de datos, número de afectaods y la colaboración de la empresa con la autoridad.
- El cifrado no es opcional para dispositivos con datos sensibles
- Las 72 horas corren desde que tienes constancia, no desde que investigas
- Documenta siempre, incluso si crees que la brecha es menor
- La diligencia salva: RTVE evitó la multa demostrando cifrado al enviar, protocolos internos y denuncia policial
- La responsabilidad puede compartirse, pero alguien siempre responde
Un pendrive sin cifrar puede parecer un detalle menor, hasta que desaparece con los datos de 11.000 personas.
