“Asesora Brecha” y “Comunica Brecha” amplían sus funciones

La Agencia Española de Protección de Datos (AEPD) ha decidido actualizar y mejorar ante el incremento considerable de las notificaciones de brechas de datos los dos instrumentos de que dispone para gestionar las mismas, “Asesora Brecha” y “Comunica Brecha”.

Las dos herramientas son utilizadas ante quiebras de seguridad que afectan a datos personales. Si el primero ayuda a los responsables a decidir si deben notificar una brecha de datos personales a la autoridad de control, el segundo asiste en la obligación de comunicar una brecha de datos personales a los afectados.

Recordemos, en este punto, que el RGPD establece la obligación que tienen los responsables que tratan datos personales de notificar a la autoridad de control competente la existencia de una brecha de datos, sin dilación indebida y en un plazo máximo de 72 horas desde que hayan tenido constancia de la misma, salvo que sea improbable que dicha brecha constituya un riesgo para los derechos y libertades de las personas.

La principal novedad de las dos herramientas es que los responsables y delegados de protección de datos tienen la posibilidad de descargar un informe completo con las respuestas consignadas en las herramientas y el resultado obtenido, pudiendo completar en el informe la información básica sobre el tratamiento afectado por la brecha, así como conservar el informe como parte de la documentación interna sobre la misma.

Esta nueva función se ha añadido tras las aportaciones realizadas por los delegados de protección de datos del sector público en diversos encuentros de la Agencia con los delegados de protección de datos de la AGE, Administraciones Autonómicas y Entidades Locales.

El informe incluirá ahora para “Comunica Brecha” una plantilla para una posible comunicación a los afectados. Los responsables pueden rellenar y utilizar la plantilla para garantizar que su comunicación a los afectados cumple con la información mínima exigida en el art. 34 del Reglamento General de Protección de Datos (RGPD).

La herramienta se basa en un breve formulario en el que se recaban detalles que permiten aplicar unos criterios básicos que pueden ser orientativos del riesgo asociado a una brecha de datos personales. En base de la información facilitada, la herramienta ofrece como respuesta tres posibles escenarios:

-que se debe notificar la brecha de datos personales a los afectados al apreciarse un riesgo alto;

-que no es necesaria dicha comunicación, o

-que no se puede determinar el nivel de riesgo.

El fin último, por tanto, será el de promover la transparencia y responsabilidad proactiva entre los responsables, en un ejercicio que permita a los afectados por una brecha conocer cuándo dichos derechos y libertades pueden estar en riesgo y así poder tomar las medidas para salvaguardarlos. Por otro lado, respecto a “Asesora Brecha”, como su nombre indica “asesora” sobre:

-cuál es el organismo competente (la AEPD, las autoridades autonómicas de protección de datos
u otras autoridades de Estados Miembros de la UE)

-quién tiene que notificar

-qué situaciones se corresponden con una brecha de datos personales y cuáles no

-si esa brecha de datos personales debe ser notificada o no en función del riesgo mediante
el formulario de notificación de brechas.