La suspensión de los plazos administrativos reflejada en el Rd de Alarma no afecta a la protección de datos personales y a estas notificaciones
La situación crítica generada por la pandemia del COVID-19 a nivel mundial ha obligado a cambiar nuestros hábitos de forma radical, obligándonos al distanciamiento social y a recurrir a herramientas de teletrabajo para poder seguir desempeñando las labores profesionales.
Esto ha producido un aumento de riesgos y amenazas que aprovechan la necesidad de información relativa al coronavirus para materializar ciberataques de todo tipo.
Desde la Agencia Española de Protección de Datos (AEPD), en consulta realizada por este periodista, se nos insiste en que las obligaciones de notificación de las brechas de seguridad se mantienen.
Una obligación legal que puede dañar la reputación de la empresa y generar multas cuantiosas con la nueva normativa emanada del Reglamento General de Protección de Datos (RGPD) y de la nueva Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD).
Y es que desde el propio regulador se nos insiste en que las organizaciones no deben bajar la guardia ante esta situación, al aumentar la probabilidad de sufrir una brecha de seguridad de los datos personales.
Solo en el 2019 se notificaron 1.700 brechas de seguridad a la AEPD.
En el Real Decreto 463/2020 por el que desde el 16 de marzo de 2020 se establece en España el estado de alarma para combatir la pandemia, en la disposición adicional tercera sobre suspensión de plazos administrativos se establece que “se suspenden términos y se interrumpen los plazos para la tramitación de los procedimientos de las entidades del sector público”
Es evidente que esta norma ha podido generar en algunos responsables a plantear dudas sobre si estaban obligados o no a notificar las quiebras de seguridad.
En primer lugar, hay que destacar que, tal como la Agencia manifestó recientemente cuando analizó la problemática de las apps y webs de autoevaluación del coronavirus esta situación de emergencia no puede suponer una suspensión del derecho fundamental a la protección de datos personales.
Las obligaciones impuestas en el Reglamento UE 2016/679 RGPD y en la LOPDGDD, relativa a la notificación de brechas de seguridad de los datos personales, así como la obligación de comunicar a los interesados en caso de que estas entrañen un alto riesgo para los derechos y libertades de las personas físicas, tienen por objeto de crear una sociedad más resiliente ante los incidentes de seguridad que pueden socavar nuestros derechos fundamentales.
La suspensión mencionada con anterioridad no afecta a la obligación de notificar las quiebras de seguridad que afecten a datos personales, por lo que los responsables están obligados a notificar ante la Agencia.
En estos momentos de especial vulnerabilidad resulta más importante que nunca poder conocer de forma veraz las incidencias que puedan producirse en la protección de datos de carácter personal, aportando información que permita a las Autoridades de Control y los ciudadanos tomar las medidas de protección necesarias y generar confianza en el funcionamiento de nuestro sistema.
EN EL PLAZO DE 72 HORAS
Los responsables y encargados de tratamiento deben seguir cumpliendo con sus obligaciones si sufrieran una brecha de seguridad de los datos personales que constituya un riesgo para los derechos y libertades de las personas físicas.
Deberán notificar las brechas ante la Autoridad de Control en el plazo de 72 horas.
La presentación de esta notificación se realizará de forma telemática a través de la sede electrónica de la AEPD, pudiendo recurrir a la opción de realizar una notificación inicial en el plazo establecido en caso de no disponer de toda información necesaria sobre la brecha.
Posteriormente, cuando se disponga de toda la información necesaria, se podrá ampliar la información mediante una notificación adicional.
Además, cuando sea probable que la brecha de seguridad de los datos personales entrañe un alto riesgo para los derechos y libertades de las personas físicas el responsable lo comunicará también al interesado lo antes posible, siendo especialmente relevante esta comunicación a los interesados en periodos de especial vulnerabilidad como en el que nos encontramos.
Para los responsables de tratamiento que tengan que hacer dichas notificaciones desde la AEPD se nos insiste en que pueden utilizar Como material de referencia se recomienda consultar la Guía de Gestión y Notificaciones de Brechas de Seguridad de los Datos Personales publicada por la AEPD recientemente
