La filtración de datos anunciada por correo: el desarrollo escrito

Mito · Si fuera grave no mandarían un simple correo. Lo borro.

El mito: «sin carta certificada no hay problema de verdad» La página oficial de la Unión dice exactamente lo contrario: cuando la violación expone sus datos o su privacidad a graves riesgos, el responsable debe informarle directamente. Un correo discreto no es una señal débil, es el canal previsto. Borrarlo es tirar la pieza n.º 1 de un expediente que acaba de abrirse solo.

«el responsable del tratamiento (la persona u organismo que gestiona tus datos personales) debe comunicarlo a la autoridad nacional de protección de datos. El responsable del tratamiento también debe informarte directamente si, a consecuencia de la violación de datos, tus datos personales o tu privacidad están expuestos a graves riesgos.»

En palabras llanas: ese mensaje es una obligación legal dirigida a usted. Una obligación legal se archiva, no se tira a la papelera.

Mito · Hablan de un «incidente interno», no de un ataque: no es una filtración de verdad.

El mito: «una filtración es por fuerza cosa de piratas» El reglamento define la violación de seguridad mucho más ampliamente que un ataque de película: la destrucción, la pérdida o la alteración accidental o ilícita, y también la comunicación o el acceso no autorizados. Un portátil olvidado en un tren entra en la definición. La palabra «incidente» no saca a nadie del texto.

««violación de la seguridad de los datos personales»: toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos;»

En palabras llanas: no hacen falta piratas encapuchados. Un error interno, una pérdida, un acceso de más: la definición cubre todo eso, y con ello las obligaciones que la acompañan.

Mito · Tenían que avisarme A MÍ en 72 horas: plazo superado, indemnización automática.

El mito: «72 horas para avisarme, y si no, premio gordo» Las 72 horas del artículo 33 cronometran la notificación a la autoridad de control, no el correo que se le dirige a usted. Y el texto no prevé ninguna indemnización automática: una dilación hacia la autoridad exige motivos, no un cheque. Construir la reclamación sobre el plazo equivocado es regalarle a la empresa la respuesta más fácil del mundo: «ese plazo no le concierne», y tendrá razón.

«Si la notificación a la autoridad de control no tiene lugar en el plazo de 72 horas, deberá ir acompañada de indicación de los motivos de la dilación.»

En palabras llanas: incluso con retraso hacia la autoridad, la consecuencia escrita es una justificación que aportar, no una suma que cae. Su carta de verdad está en otro sitio: el contenido del aviso, y la reclamación en su país.

Mito · La investigación está en curso: no pueden decirme más, hay secreto de por medio.

El mito: «no pueden decir nada, es confidencial» El reglamento ya arbitró entre la discreción y su información: la comunicación que se le dirige describe en un lenguaje claro y sencillo la naturaleza de la violación y contiene como mínimo el punto de contacto, las posibles consecuencias y las medidas adoptadas. Esa lista es el mínimo legal, no un favor de poscrisis. Una empresa que invoca el secreto para vaciarla recita su política interna, no el texto.

«2. La comunicación al interesado contemplada en el apartado 1 del presente artículo describirá en un lenguaje claro y sencillo la naturaleza de la violación de la seguridad de los datos personales y contendrá como mínimo la información y las medidas a que se refiere el artículo 33, apartado 3, letras b), c) y d).»

En palabras llanas: el contenido mínimo del aviso lo fija el propio reglamento. Lo que falte se reclama, y la empresa no puede oponerle su propia investigación.

Mito · Es un asunto técnico, la jerga es inevitable: me toca a mí espabilarme.

El mito: «una filtración se explica por fuerza en jerga» «En un lenguaje claro y sencillo»: seis palabras del reglamento, colocadas exactamente ahí, en el artículo que describe el correo de aviso. La claridad no es un esfuerzo de estilo dejado a la buena voluntad de la empresa, es una exigencia legal sobre la forma del mensaje. Un texto incomprensible no es un texto conforme, y usted puede pedir una versión legible.

«La comunicación al interesado contemplada en el apartado 1 del presente artículo describirá en un lenguaje claro y sencillo la naturaleza de la violación de la seguridad de los datos personales»

En palabras llanas: les toca a ellos ser comprensibles, no a usted ser ingeniero. La ley impone la claridad del mensaje igual que impone su contenido.

Mito · Sin correo personal hay infracción, y punto. Ella exige reparación inmediata.

El mito: «no me llegó correo, luego hay infracción segura» El texto prevé negro sobre blanco los casos en que la comunicación individual no es necesaria: medidas de protección como el cifrado aplicadas a los datos afectados, o una comunicación pública igual de efectiva cuando escribir a cada persona supondría un esfuerzo desproporcionado. Indignarse contra una excepción escrita es perder el argumento siguiente. La buena pregunta no es «¿por qué yo no?», es «¿se sostiene la excepción?», y esa pregunta tiene juez.

«3. La comunicación al interesado a que se refiere el apartado 1 no será necesaria si se cumple alguna de las condiciones siguientes: a) el responsable del tratamiento ha adoptado medidas de protección técnicas y organizativas apropiadas y estas medidas se han aplicado a los datos personales afectados por la violación de la seguridad de los datos personales, en particular aquellas que hagan ininteligibles los datos personales para cualquier persona que no esté autorizada a acceder a ellos, como el cifrado;»

En palabras llanas: unos datos bien cifrados pueden eximir del correo individual. La excepción existe, es precisa y se comprueba: más vale saberlo antes de escribir la carta.

Mito · Si escriben que estaba cifrado, asunto resuelto: nadie puede ir a comprobarlo.

El mito: «su comunicado vale como prueba» Un comunicado es una declaración, no una comprobación. Y la autoridad nacional de protección de datos ya ha sido avisada: la notificación se le debe desde la violación. Conoce el expediente, puede confrontar el comunicado con los hechos y puede exigir la comunicación individual si el riesgo era alto. Renunciar porque la empresa se ha declarado irreprochable es confundir al acusado con el secretario judicial.

«el responsable del tratamiento (la persona u organismo que gestiona tus datos personales) debe comunicarlo a la autoridad nacional de protección de datos.»

En palabras llanas: la autoridad de su país ya está al corriente, por obligación. Lo que la empresa afirma en público tiene que poder demostrárselo a alguien con poder para comprobarlo.

Mito · Sin un daño en cifras y probado, ninguna reclamación se admite. Espero a haber perdido dinero.

El mito: «para reclamar hace falta antes una factura» La condición de entrada no es un daño, es una opinión motivada: usted cree que no se han respetado sus derechos, y puede presentar una reclamación directamente ante su autoridad nacional, que investigará y responderá en un plazo de tres meses. Esperar a que le roben para avisar de la puerta abierta es equivocarse de orden: la reclamación sirve precisamente para que examinen el expediente antes de lo demás.

«Si crees que no se han respetado tus derechos en materia de protección de datos, puedes presentar una reclamación directamente ante la autoridad nacional de protección de datos, que investigará la reclamación y te dará una respuesta en un plazo de tres meses.»

En palabras llanas: basta con «si crees». Ninguna pérdida que demostrar para cruzar la puerta de la autoridad.

Mito · Este tipo de expedientes nunca prospera sin abogado ni demanda colectiva. Paso.

El mito: «solo un ejército de abogados puede con una filtración» La reclamación ante la autoridad no es un juicio: es un procedimiento administrativo que usted pone en marcha solo, y el texto obliga a la autoridad a informarle sobre el curso y el resultado, incluida la posibilidad de acceder después a la tutela judicial. La acción judicial sigue siendo una opción, nunca un requisito previo. El expediente que usted tiene, correo vago incluido, basta para empezar.

«2. La autoridad de control ante la que se haya presentado la reclamación informará al reclamante sobre el curso y el resultado de la reclamación, inclusive sobre la posibilidad de acceder a la tutela judicial en virtud del artículo 78.»

En palabras llanas: una vez presentada la reclamación, la autoridad trabaja y le rinde cuentas. Usted no ha asumido ni gastos, ni abogado, ni juicio.