4.4Violación de datos : ¿qué hacer?
Lo esencial en 30 segundos
- Violación ≠ pirateo : el correo al destinatario equivocado también lo es.
- Tu papel = avisar rápido : DPD/informática de inmediato, con los hechos (qué, quién, cuándo, qué datos).
- Nunca ocultar : el error avisado se gestiona, oculto se vuelve una falta.
Mini-caso hilado — Karim se equivoca de destinatario
Viernes 16h12 : Karim envía un fichero de 200 clientes al contacto externo equivocado. Su corazón falla un latido — luego hablan sus reflejos : intenta recuperar el mensaje, pide por escrito la supresión del fichero, y a las 16h25 avisa al referente de datos con los hechos (qué, quién, cuándo, qué datos), sin minimizar ni dramatizar. Su aviso rápido deja a la organización tiempo para analizar y notificar según las reglas. Último episodio del hilo : Karim ha pasado del inventario al reflejo.
Último episodio del caso 4.1-4.3 — Karim cierra el ciclo : ver, transmitir, prevenir, avisar.
1. Qué es una violación
Una violación de datos (fuga, robo, divulgación accidental, ransomware) afecta a datos personales — incluido el correo al destinatario equivocado, la llave USB perdida o el fichero compartido demasiado ampliamente.
No es pues forzosamente un pirateo : el error ordinario de Karim también lo es. Reconocerlo como tal es ya tratarlo.
2. La cuenta atrás
En el marco europeo, la organización debe notificar a la autoridad en 72 horas si la violación presenta un riesgo para las personas, y a veces informar a las personas afectadas (riesgo elevado : datos sensibles, identificadores…).
Cada hora de silencio interno cuenta : el aviso inmediato de Karim da a la organización tiempo para analizar, documentar y notificar según las reglas.
3. Avisar, nunca ocultar
Tu papel : avisar de inmediato de toda duda (correo al destinatario equivocado, soporte perdido, intrusión) a informática/DPD. Mejor una falsa alerta que un incidente oculto.
El análisis y la notificación son su trabajo ; la rapidez es el tuyo. Avisar de tu propio error no es acusarte : es proteger a las personas y a la organización — la ocultación, en cambio, es una falta.
🔎 Ejemplo concreto — 🔎 Ejemplo concreto — El correo enviado al destinatario equivocado
La reacción ideal de Karim, minuto a minuto :
Min 0-5 : recuperación del mensaje + supresión pedida confirmada por escrito
Min 5-15 : avisar al DPD (qué : fichero 200 clientes, quién : contacto externo,
cuándo : 16h12, qué datos : nombres, teléfonos)
Regla : avisar rápido = dejar tiempo para analizar y notificar
→ un error avisado a tiempo se gestiona ; oculto, se vuelve un escándaloLectura : actuar y luego avisar, con hechos precisos, sin demora.
Lección : un error avisado se gestiona ; oculto, lo agrava todo.
Vocabulario de la sección
- Violación de datos
- Todo incidente que afecta a datos personales : fuga, acceso no autorizado, pérdida, destrucción — incluido el correo al destinatario equivocado.
Ejemplo sencillo: El fichero de 200 clientes enviado por Karim al contacto equivocado es una violación, no una torpeza.
Lo que no es: únicamente un pirateo espectacular por hackers.
Reflejo: ante la duda (destinatario equivocado, soporte perdido) : tratar como violación.
- Notificación a la autoridad
- En el marco europeo, la organización debe notificar a la autoridad en 72 horas si la violación presenta un riesgo para las personas.
Ejemplo sencillo: El aviso de Karim a las 16h25 da a la organización tiempo para analizar y notificar.
Lo que no es: un correo de disculpa enviado solo al destinatario, sin decir nada internamente.
Reflejo: avisar en minutos, no en días : cada hora cuenta.
- Información a las personas
- Si el riesgo es elevado (datos sensibles, identificadores…), las personas afectadas también deben ser avisadas.
Ejemplo sencillo: Si el fichero de Karim contenía datos sensibles, los 200 clientes deberían ser informados.
Lo que no es: avisar a todo el mundo por todo incidente, incluso sin riesgo.
Reflejo: dejar que el referente califique el riesgo antes de informar.
- Registro de violaciones
- Toda violación, incluso menor, se documenta internamente : es una obligación y una memoria útil.
Ejemplo sencillo: El error de Karim se consigna con hechos y medidas, incluso una vez reparado.
Lo que no es: archivar el asunto sin rastro porque « se arregló ».
Reflejo: escribir los hechos el mismo día, cuando están frescos.
- Aviso interno inmediato
- TU papel : alertar al DPD/informática desde el descubrimiento — el análisis y la notificación son su trabajo, la rapidez es la tuya.
Ejemplo sencillo: Karim avisa a las 16h25 con qué, quién, cuándo y qué datos.
Lo que no es: esperar al lunes o investigar solo antes de hablar.
Reflejo: tener el contacto DPD/informática tan accesible como el de urgencias.
En la práctica — En la práctica — Simulación : el correo enviado al destinatario equivocado
- Escenario : acabas de enviar un fichero de 200 clientes al contacto externo equivocado. Cronometra mentalmente tu reacción ideal.
- Minuto 0-5 : intenta la recuperación del mensaje (la mensajería a veces lo permite), pide al destinatario la supresión confirmada por escrito.
- Minuto 5-15 : avisa al DPD/referente con los hechos : qué, quién, cuándo, qué datos — sin minimizar ni dramatizar.
- Anota la regla de la cuenta atrás : tu aviso inmediato da a la organización tiempo para analizar y notificar según las reglas. Tardar = agravar.
Script listo para decir — alertar al DPD tras un error (30 s)
« Soy Karim : a las 16h12 he enviado por error un fichero de 200 clientes (nombres, teléfonos) a un contacto externo. He intentado la recuperación y pedido la supresión por escrito. Les transmito el mensaje original y los datos del destinatario para análisis. »
Para decir o escribir en los minutos siguientes ; hechos precisos, sin minimizar ni dramatizar.
Modelo copiar-pegar — ficha reflejo violación
CONSTATADO EL (fecha + hora) : _______________
QUÉ (fichero, incidente) : _______________
QUIÉN (destinatario / personas afectadas) : _______________
QUÉ DATOS (¿personales? ¿sensibles?) : _______________
ACCIONES YA HECHAS (recuperación, supresión pedida) : _______________
AVISADO AL DPD / INFORMÁTICA EL (hora) : _______________Llave USB perdida
Mismo reflejo sin destinatario : avisar con el contenido supuesto — cifrada, es un objeto perdido ; en claro, es una fuga.
Falsa alerta probable
Avisar igualmente : una falsa alerta no cuesta nada, un incidente oculto lo cuesta todo — la selección es trabajo de expertos.
Incidente el viernes por la noche
No esperar al lunes : llamar al contacto de guardia — la cuenta atrás no conoce el fin de semana.
Compañero culpable silencioso
Animarlo a avisar él mismo enseguida, si no alertar : cubrir una ocultación compromete también tu responsabilidad.
✓ Buenas prácticas
- Avisar de inmediato, incluso en caso de duda.
- Hechos precisos : qué, quién, cuándo, qué datos.
- Nunca ocultar un error de envío.
✗ Errores frecuentes
- Ocultar el incidente (agravamiento garantizado).
- « Solo una torpeza », sin aviso.
- Esperar : la cuenta atrás corre.
Puntos clave
- Una violación no es forzosamente un pirateo : el error de envío también lo es.
- El aviso interno inmediato es vital : da a la organización tiempo para analizar y notificar.
- Avisar de un error no es acusarse : es proteger a las personas y a la organización — la ocultación, en cambio, es una falta.
- Tu papel termina en el aviso rápido y factual : el análisis y la notificación pertenecen al DPD.
Reto 48h — aplica mañana
Rellena la ficha reflejo con tus verdaderos contactos DPD/informática, guárdala a mano, y repasa mentalmente la simulación del correo extraviado.
- Puedo definir una violación con un ejemplo no pirata.
- Sé explicar por qué el aviso debe ser inmediato.
- Tengo mi ficha reflejo con los verdaderos contactos.
Preguntas frecuentes
¿Arriesgo una sanción si aviso de mi propio error?
Las organizaciones sanas valoran el aviso rápido (es lo que limita los daños) y sancionan la ocultación. Un error avisado a tiempo se gestiona ; descubierto semanas después, se vuelve un escándalo.
¿Todas las violaciones se notifican a la autoridad?
No : la organización evalúa el riesgo para las personas. Sin riesgo, simple documentación interna ; con riesgo, notificación en plazo ; riesgo elevado, información a las personas además. Es asunto del DPD — nutrido por tu aviso.
Karim ha enviado el fichero de clientes al destinatario equivocado. ¿Primer reflejo?