¿Es una brecha de datos que un compañero lea tus archivos?

MacWindowsActualizado

El Reglamento General de Protección de Datos (RGPD) define la brecha, o «violación de la seguridad de los datos personales», como toda violación de la seguridad que ocasione, entre otras cosas, el acceso no autorizado a esos datos. La Agencia Española de Protección de Datos (AEPD) cuenta entre los sucesos que pueden causar una brecha el abuso de privilegios de acceso por parte de un empleado. Aparte, el artículo 197.2 del Código Penal castiga a quien, sin estar autorizado, accede a datos personales reservados de otra persona.

Esta página es información general, no asesoramiento jurídico. Para un caso real, habla con un abogado.

Respuesta rápida

El artículo 4.12 del RGPD define la violación de la seguridad de los datos personales como «toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos». Si la empresa tiene que notificarla a la AEPD depende del riesgo para las personas. Tú puedes reclamar ante la AEPD, y el Código Penal puede entrar en juego por separado.

¿Qué cuenta como brecha de datos personales?

La definición está en el artículo 4.12 del RGPD, que es el mismo reglamento en toda la Unión Europea. Para esta página interesa el final: «o la comunicación o acceso no autorizados a dichos datos». El texto parte de «toda violación de la seguridad que ocasione» alguno de esos resultados, y no menciona que los datos tengan que salir de la organización ni perderse.

La «Guía para la notificación de brechas de datos personales» de la AEPD, en su versión de junio de 2021, clasifica las brechas según qué dimensión de la seguridad afectan. Una brecha de confidencialidad es la que produce una «revelación no autorizada o accidental de los datos personales, o su acceso».

¿Cuenta si quien accede es alguien de dentro?

La guía de la AEPD distingue el origen del incidente, que puede ser «interno», por personal o sistemas bajo el control del responsable o del encargado del tratamiento, o «externo». Y en la tabla de sucesos que, según la guía, se consideran en el formulario de notificación de brechas incluye este:

  • «Abuso de privilegios de acceso por parte de miembro (Ejemplo: empleado) para extraer, reenviar o copiar datos personales».

La guía marca ese suceso como uno que puede afectar a la confidencialidad. También aclara que la tabla no significa que cada suceso afecte automáticamente a esa dimensión: es el responsable del tratamiento quien tiene que determinar si ha sido así.

Por otro lado, el artículo 5 de la LOPDGDD dice que los responsables, los encargados y «todas las personas que intervengan en cualquier fase» del tratamiento están sujetas al deber de confidencialidad.

¿Quién tiene que notificarla, y cuándo?

La obligación es de la organización, no tuya. El artículo 33.1 del RGPD dice que el responsable notificará la brecha a la autoridad de control «sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas».

La guía de la AEPD añade que esas 72 horas se cuentan incluyendo fines de semana y festivos, y que no es obligatorio notificar todas las brechas.

Dos obligaciones más:

  1. Documentarla siempre. La AEPD recuerda que el artículo 33.5 del RGPD obliga al responsable a «documentar cualquier brecha, incluidos los hechos relacionados con la brecha, sus efectos y las medidas correctivas adoptadas», se notifique o no.
  2. Avisar a los afectados si el riesgo es alto. Según el artículo 34.1 del RGPD, cuando sea probable que la brecha entrañe un alto riesgo para los derechos y libertades de las personas, el responsable «la comunicará al interesado sin dilación indebida».

¿Y si soy yo el afectado?

La guía de la AEPD separa la notificación de la empresa de lo que puedes hacer tú: si quieres denunciar o reclamar por una posible vulneración de la normativa de protección de datos «por parte de un tercero, empleado, exempleado u otros», o comunicar una brecha de la que hayas sido conocedor o afectado, el canal es el formulario de reclamaciones de la sede electrónica de la AEPD.

Antes, dentro de tu empresa, pregunta quién se ocupa de la protección de datos. Si hay un delegado de protección de datos, el artículo 37 de la LOPDGDD te permite dirigirte a él antes de reclamar ante la AEPD, y el delegado tiene dos meses como máximo para comunicarte su decisión. Los pasos están en cómo denunciar a un compañero que ha mirado tu ordenador o tu móvil.

¿Cuándo pasa a ser un delito?

Las reglas sobre brechas son obligaciones de la organización. El Código Penal se ocupa de la persona. El artículo 197.2 castiga a quien, sin estar autorizado, se apodere, utilice o modifique, en perjuicio de tercero, datos reservados de carácter personal o familiar de otro registrados en soportes informáticos, y añade: «Iguales penas se impondrán a quien, sin estar autorizado, acceda por cualquier medio a los mismos». La pena es de prisión de uno a cuatro años y multa de doce a veinticuatro meses.

Si los hechos los cometen «las personas encargadas o responsables de los ficheros, soportes informáticos, electrónicos o telemáticos, archivos o registros», el artículo 197.4 sube la prisión a entre tres y cinco años. Y si afectan a datos que revelen, entre otros, la salud o la vida sexual, el 197.5 impone las penas en su mitad superior.

Para proceder por este delito, el artículo 201 exige la denuncia de la persona agraviada o de su representante legal, salvo en los casos de su apartado 2. Lo explicamos en ¿es delito entrar en el ordenador de otra persona en España?.

Más preguntas

¿Es una brecha de datos que un compañero mire mi expediente?

La definición del RGPD incluye toda violación de la seguridad que ocasione «la comunicación o acceso no autorizados» a datos personales, y la AEPD cuenta el abuso de privilegios de acceso por parte de un empleado entre los sucesos que pueden causarla. Según la guía de la AEPD, es el responsable del tratamiento quien debe determinar si un suceso ha afectado de verdad a la confidencialidad, la integridad o la disponibilidad de los datos. Para un caso real, habla con un abogado.

¿Hay que notificar todas las brechas a la AEPD?

No. El artículo 33.1 del RGPD exceptúa los casos en que sea improbable que la brecha constituya un riesgo para los derechos y libertades de las personas. Aun así, el responsable tiene que documentar todas las brechas.

¿Tengo que notificarla yo?

No. La notificación del artículo 33 es una obligación del responsable del tratamiento. Si eres el afectado, la guía de la AEPD indica como canal el formulario de reclamaciones de su sede electrónica.

¿Es lo mismo la brecha de datos que el delito del artículo 197?

No. La brecha es un concepto del RGPD que obliga a la organización a evaluarla, documentarla y, en su caso, notificarla. El artículo 197 del Código Penal castiga conductas de una persona, como acceder sin autorización a datos reservados de otro.

¿Puedo conseguir una indemnización?

La AEPD dice que quien haya sufrido daños y perjuicios por una infracción de la normativa de protección de datos tiene derecho a una indemnización del responsable o del encargado, y que las acciones judiciales para reclamarla «se presentarán ante los tribunales».

Fuentes