¿Tu empresa está preparada para el nuevo modelo de notificación de violaciones de datos? La EDPB abre consulta pública

¿Otra vez con el GDPR? Sí, pero esta vez hay novedades prácticas

Si eres responsable de protección de datos, probablemente ya hayas tenido que notificar alguna violación de datos personales. Y si no, tarde o temprano te tocará. Porque, seamos sinceros, en el mundo digital las brechas de seguridad son tan comunes como los correos de phishing. Pero ahora el Comité Europeo de Protección de Datos (EDPB) ha abierto una consulta pública sobre un nuevo modelo de notificación que promete simplificar (o al menos estandarizar) el proceso. ¿El objetivo? Que las empresas no tengan que reinventar la rueda cada vez que sufren un incidente.

¿Qué es exactamente este nuevo modelo?

La EDPB ha propuesto un formulario tipo para notificar violaciones de datos personales a las autoridades de control. Hasta ahora, cada país tenía su propio formato, lo que generaba dolores de cabeza a las empresas que operan en varios estados miembros. Con este modelo único, se busca armonizar la información requerida y facilitar el cumplimiento del Reglamento General de Protección de Datos (GDPR). La consulta pública estará abierta hasta el 27 de noviembre de 2023, y cualquier interesado puede aportar su granito de arena.

¿Por qué debería importarte esto?

Imagina que tienes que notificar una violación de datos y te enfrentas a un formulario de 20 páginas con preguntas crípticas. Ahora imagina que ese formulario es el mismo en todos los países de la UE. Suena a sueño, ¿verdad? Pues la EDPB quiere hacerlo realidad. Pero ojo, que no todo es color de rosa: el nuevo modelo también exige más detalles sobre el incidente, como el tipo de datos afectados, las medidas de mitigación y el análisis de riesgos. Así que, aunque el formato sea común, la carga de trabajo no disminuye necesariamente.

¿Qué incluye el nuevo modelo?

• Identificación del responsable del tratamiento y del DPO (si aplica).
• Descripción detallada de la violación: fecha, hora, duración, etc.
• Categorías de datos personales afectados (identificativos, financieros, de salud, etc.).
• Número aproximado de personas afectadas y registros implicados.
• Medidas adoptadas o propuestas para mitigar los riesgos.
• Evaluación de las consecuencias para los derechos y libertades de los interesados.

Consejos para sobrevivir a la notificación (sin perder la cabeza)

Si alguna vez has tenido que rellenar un formulario de notificación de violación de datos, sabes que es tan divertido como leer los términos y condiciones de una app de fotos. Pero con un poco de preparación, puedes convertir ese momento de pánico en un trámite casi rutinario. Aquí van algunos tips:

1. Ten un plan de respuesta a incidentes

No esperes a que ocurra una brecha para pensar en qué hacer. Diseña un protocolo que incluya quién notifica, cómo se documenta el incidente y qué herramientas usarás para evaluar los riesgos. Así, cuando llegue el momento, solo tendrás que seguir los pasos.

2. Documenta todo, pero todo

Desde el momento en que detectas la violación, anota cada detalle: hora, cómo se descubrió, qué sistemas estaban implicados, qué datos se vieron comprometidos. Esta información será oro puro cuando tengas que rellenar el formulario.

3. Practica con simulacros

Haz simulacros de violación de datos con tu equipo. Así identificarás lagunas en tu proceso y te asegurarás de que todos saben qué hacer. Además, es una excelente excusa para pedir pizza y trabajar en equipo.

¿Y ahora qué? Participa en la consulta pública

La EDPB quiere escuchar a las empresas, a los profesionales y a cualquier persona interesada. Si tienes experiencia en notificaciones de violaciones de datos, este es tu momento para influir en el modelo final. Puedes enviar tus comentarios a través del sitio web de la EDPB. No dejes pasar esta oportunidad de dar tu opinión y ayudar a construir un proceso más claro y eficiente para todos.

Recuerda: el nuevo modelo no es obligatorio hasta que se adopte formalmente, pero es muy probable que se convierta en el estándar. Así que ve familiarizándote con él. Y si todo esto te parece un lío, siempre puedes contratar a un DPO externo. Pero no se lo digas a nadie, que te he cobrado la consulta.