Resumen
Qué hacer si envías datos personales por error: contención, valoración del riesgo, documentación y plazos de notificación.
Una nómina enviada a otra persona, un listado de clientes adjuntado por error o un correo masivo con las direcciones visibles pueden provocar una brecha de datos personales. La prioridad es actuar con rapidez, limitar sus efectos y dejar constancia de lo ocurrido.
Primeros pasos: contener y avisar
Si detectas el error, comunícalo inmediatamente a la persona responsable dentro de tu organización o al delegado de protección de datos, cuando exista. Conserva el mensaje, identifica los destinatarios y comprueba qué información se ha expuesto. Si el documento se compartió mediante un enlace, valora revocar el acceso.
Pide al receptor no autorizado que no utilice ni difunda la información y que la elimine, solicitando confirmación. Esa confirmación ayuda a valorar el incidente, pero no permite darlo automáticamente por resuelto. Recuperar un mensaje tampoco garantiza que nadie lo haya leído o descargado.
¿Hay que notificar a la AEPD?
No todas las brechas deben notificarse. El responsable debe valorar las consecuencias para las personas: qué datos se han revelado, a quién, cuántas personas están afectadas y qué medidas reducen el riesgo.
Si es improbable que exista riesgo para sus derechos y libertades, puede no ser necesaria la notificación a la autoridad. En caso contrario, debe realizarse sin dilación indebida y, de ser posible, dentro de las 72 horas desde que el responsable tenga constancia. No se trata de 72 horas laborables. Si falta información, puede aportarse por fases; no debe esperarse a terminar toda la investigación.
Cuando sea probable un alto riesgo, también procede comunicar la brecha a las personas afectadas sin dilación indebida, salvo las excepciones legales aplicables. Es una obligación diferente de notificar a la autoridad.
Documentar y prevenir
Incluso cuando no se notifique, registra los hechos, los efectos, la valoración del riesgo y las medidas adoptadas. Después revisa el autocompletado de direcciones, los permisos de acceso y las comprobaciones antes del envío.
En Mentora te ayudamos a valorar el incidente y decidir las actuaciones necesarias. Avísanos desde el primer momento y evita reenviar innecesariamente los datos expuestos.
Fuentes: artículos 33 y 34 del RGPD. Guía de gestión de brechas de la AEPD; Notificación de brechas a la autoridad de control.