Security Breach Management Policy

POLÍTICA DE GESTIÓN DE BRECHAS DE SEGURIDAD

Procedimiento de detección, notificación, contención y comunicación de violaciones de la seguridad de los datos personales (Art. 33 y 34 RGPD)

1. Objeto

La presente política tiene por objeto establecer el procedimiento interno que la entidad arriba identificada (en adelante, “la Empresa”) seguirá para la detección, valoración, contención, notificación y documentación de las violaciones de la seguridad de los datos personales (en adelante, “brechas de seguridad”), de conformidad con lo establecido en los artículos 33 y 34 del Reglamento (UE) 2016/679 (RGPD) y en el artículo 38 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

2. Ámbito de aplicación

Esta política es de aplicación a todos los tratamientos de datos personales de los que la Empresa sea responsable o encargada, en cualquier soporte (papel, electrónico, audiovisual), y vincula a todo el personal: empleados, becarios, colaboradores externos, proveedores y subcontratistas con acceso a datos personales.

3. Definiciones

• Brecha de seguridad: toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados a dichos datos.
• Confidencialidad: acceso o divulgación no autorizada de datos.
• Integridad: alteración no autorizada de datos.
• Disponibilidad: pérdida del acceso o destrucción de datos.
• Autoridad de control: Agencia Española de Protección de Datos (AEPD) o, en su caso, autoridad autonómica competente.

4. Roles y responsabilidades

4.1. Comité / Responsable de Seguridad

Coordina la respuesta a la brecha, decide sobre la notificación a la autoridad de control y a los interesados, y firma el informe final. Está formado, como mínimo, por el responsable del tratamiento, el responsable de sistemas y, si existe, el Delegado de Protección de Datos (DPD).

4.2. Delegado de Protección de Datos (DPD)

Asesora durante todo el procedimiento, supervisa la valoración del riesgo, revisa el contenido de la notificación a la AEPD y actúa como punto de contacto con la autoridad de control y con los interesados afectados.

4.3. Personal con acceso a datos

Tiene la obligación de comunicar inmediatamente cualquier incidente o sospecha de brecha a través de los canales internos definidos, sin esperar a confirmar el alcance del incidente.

5. Canales de comunicación interna

Cualquier persona que detecte o sospeche de una brecha de seguridad deberá comunicarlo de inmediato a través de:

• Correo electrónico a la dirección habilitada por la Empresa para incidentes.
• Comunicación verbal o escrita al responsable directo, que la trasladará al Comité de Seguridad sin demora.
• Formulario interno de notificación de incidentes, si está disponible.

La omisión deliberada o la demora injustificada en la comunicación de un incidente puede dar lugar a responsabilidades disciplinarias conforme al régimen interno de la Empresa.

6. Procedimiento de gestión de la brecha

6.1. Fase 1 — Detección y registro inicial (T+0)

Desde el momento en que se tiene conocimiento de la brecha, se abre el “Registro de Incidentes de Seguridad” con la siguiente información mínima:

• Fecha y hora de detección.
• Persona que detecta o reporta.
• Descripción inicial del incidente.
• Sistemas, ficheros, soportes o tratamientos potencialmente afectados.

6.2. Fase 2 — Contención (T+0 a T+24h)

El Responsable de Sistemas adoptará medidas inmediatas para contener el incidente:

• Aislamiento de equipos comprometidos.
• Bloqueo de cuentas afectadas y cambio forzoso de credenciales.
• Desconexión de redes o servicios.
• Preservación forense de evidencias (logs, imágenes de disco, copias de correo).

6.3. Fase 3 — Valoración del riesgo (T+0 a T+72h)

El Comité, con el asesoramiento del DPD, valorará el riesgo para los derechos y libertades de los interesados atendiendo a:

• Tipo de brecha (confidencialidad, integridad, disponibilidad).
• Naturaleza, sensibilidad y volumen de los datos afectados (categorías especiales art. 9 RGPD, datos de menores, datos financieros, identificadores únicos, etc.).
• Facilidad de identificación de los interesados.
• Gravedad de las consecuencias (suplantación, fraude, pérdida económica, daño reputacional, discriminación).
• Características especiales del interesado (menores, colectivos vulnerables).
• Número de afectados.

La metodología de referencia será la guía “Gestión y notificación de brechas de seguridad” publicada por la AEPD. El resultado se clasificará como: sin riesgo, riesgo o alto riesgo.

6.4. Fase 4 — Notificación a la AEPD (antes de T+72h)

Si la brecha entraña riesgo para los derechos y libertades de los interesados, el DPD o el responsable del tratamiento notificará a la AEPD a través del formulario electrónico de la sede electrónica (https://sedeagpd.gob.es), en un plazo máximo de 72 horas desde el conocimiento del incidente. Si no fuera posible aportar toda la información en ese plazo, podrá facilitarse de manera escalonada justificando el motivo.

Contenido mínimo de la notificación:

• Naturaleza de la violación, categorías y número aproximado de interesados y registros afectados.
• Datos de contacto del DPD o punto de contacto.
• Posibles consecuencias.
• Medidas adoptadas o propuestas para mitigar los efectos.

6.5. Fase 5 — Comunicación a los interesados (sin dilación indebida)

Cuando la brecha entrañe un alto riesgo, se comunicará a los interesados afectados sin dilación indebida y en lenguaje claro y sencillo, indicando:

• Naturaleza de la violación.
• Datos de contacto del DPD.
• Posibles consecuencias.
• Medidas adoptadas y recomendaciones para que el interesado mitigue posibles efectos negativos (cambio de contraseñas, vigilancia de movimientos bancarios, etc.).

La comunicación podrá no realizarse cuando se hayan aplicado medidas de protección apropiadas que hagan ininteligibles los datos (p. ej., cifrado robusto), cuando se hayan adoptado medidas ulteriores que eviten el alto riesgo, o cuando suponga un esfuerzo desproporcionado, en cuyo caso se recurrirá a comunicación pública.

6.6. Fase 6 — Cierre y lecciones aprendidas

Tras la resolución del incidente se elaborará un informe final que incluirá causa raíz, cronología, medidas correctoras implantadas y propuestas de mejora. El informe se incorporará al Registro de Incidentes y se revisarán el análisis de riesgos y las medidas técnicas y organizativas para evitar la reiteración del incidente.

7. Registro interno de brechas

Conforme al art. 33.5 RGPD, la Empresa mantendrá un registro documentado de todas las brechas (con o sin notificación a la AEPD) con el siguiente contenido mínimo:

• Identificador único del incidente.
• Fecha de la brecha y fecha de detección.
• Origen y causas.
• Categorías y volumen de datos e interesados afectados.
• Tipología (confidencialidad, integridad, disponibilidad).
• Valoración del riesgo y decisión sobre notificación.
• Medidas de contención, mitigación y corrección.
• Resultado de la notificación a la AEPD y a los interesados, en su caso.

El registro estará a disposición de la autoridad de control y se conservará durante al menos 3 años.

8. Brechas en encargados del tratamiento

Los contratos con encargados del tratamiento incluirán la obligación de notificar al responsable cualquier brecha sin dilación indebida, en un plazo nunca superior a 24 horas desde su conocimiento, aportando toda la información necesaria para que la Empresa cumpla con sus obligaciones de notificación.

9. Formación y concienciación

La Empresa impartirá formación periódica (al menos anual) a todo el personal sobre detección de incidentes, phishing, ingeniería social y uso del canal interno de comunicación. Se realizarán simulacros documentados al menos una vez al año.

10. Revisión de la política

Esta política se revisará al menos cada dos años, así como tras cada incidente significativo o cuando cambios normativos, organizativos o tecnológicos lo aconsejen.

Aprobada por la dirección de la Empresa en la fecha indicada en el encabezado.

Firma y sello: ____________________________

INFORME / REGISTRO DE BRECHA DE SEGURIDAD

Plantilla de documentación de violaciones de seguridad de datos personales (art. 33.5 RGPD)

Este documento debe cumplimentarse para cada brecha de seguridad detectada, con independencia de su gravedad y de si finalmente se notifica o no a la Agencia Española de Protección de Datos (AEPD). Su finalidad es dar cumplimiento al deber de documentación del artículo 33.5 RGPD y al principio de responsabilidad proactiva del artículo 5.2 RGPD. El informe debe iniciarse en el momento en que se detecta la incidencia y completarse de forma progresiva hasta su cierre.

Anexos sugeridos: comunicaciones intercambiadas con la AEPD, copias de las notificaciones a los interesados, informe forense, registro de logs preservados, correos electrónicos relevantes, informe del proveedor afectado, certificados de destrucción o restauración de copias.

Este informe se incorporará al Registro de Incidentes y se conservará durante un mínimo de 3 años (art. 5.2 RGPD).