Protocolo de notificación de brechas de datos
Consideraciones
- Dena Textile Productions B.V. concede importancia a una buena seguridad de sus sistemas (electrónicos) en los que se almacenan y tratan datos personales.
- Nunca es posible evitar por completo que se produzca una brecha de datos.
- Dena Textile Productions B.V. está obligada, en virtud del Reglamento General de Protección de Datos (RGPD), a notificar las brechas de datos (graves) a la Autoridad Neerlandesa de Protección de Datos y a los interesados.
- Dena Textile Productions B.V. desea cumplir con sus obligaciones legales.
- Por ello, Dena Textile Productions B.V. ha formulado una política para actuar de la forma más adecuada posible en caso de que, por desgracia, se produzca una brecha de datos.
1. Definición de brecha de datos
Existe una brecha de datos cuando se produce una vulneración de la seguridad que provoca, de forma accidental o ilícita, la destrucción, pérdida, alteración, la comunicación no autorizada de datos o el acceso no autorizado a datos transmitidos, conservados o tratados de otro modo.
2. Responsable interno de la notificación de brechas de datos
Dena Textile Productions B.V. ha designado a un responsable interno del tratamiento de brechas de datos, encargado de la notificación de una brecha de datos. Este responsable es el departamento de Marketing, con como primer punto de contacto: Rolf van Eden, teléfono +31 (0)318 588 596, correo electrónico sales@cheffix.eu, en adelante denominado el responsable interno.
3. Notificación interna al descubrir una brecha de datos
Quien descubra una brecha de datos en Dena Textile Productions B.V. la comunicará de inmediato al responsable interno. Si es posible, quien haya descubierto la brecha se asegurará simultáneamente de que los datos filtrados se borren o se hagan inaccesibles a distancia de inmediato.
4. Investigación por parte del responsable interno
El responsable interno investiga, entre otros aspectos:
- si se han perdido datos personales o si pueden utilizarse de forma ilícita;
- qué personas o departamentos de la organización están implicados en la brecha de datos;
- si hay un encargado del tratamiento implicado en el incidente.
5. Contención de la brecha de datos
El responsable interno detiene la brecha de datos si aún es posible y adopta, además, las medidas necesarias para contenerla de la mejor manera posible.
6. Determinación de las consecuencias de una brecha de datos
El responsable interno examina las posibles consecuencias de la brecha de datos a partir de la naturaleza y el alcance de los datos filtrados y determina cuáles pueden ser los efectos adversos para los interesados.
7. Colaboración en la aportación de información sobre la brecha de datos
Quien descubra o notifique la brecha de datos colaborará plenamente con el responsable interno respondiendo, de la forma más rápida y completa posible (por escrito), a las siguientes preguntas:
- ¿Qué ha ocurrido? (descripción del incidente)
- ¿Fue accidental o fue provocada por mala intención (por ejemplo, datos hackeados)?
- ¿Cuándo ocurrió? (fecha y hora)
- ¿Cuándo se descubrió?
- ¿Qué tipo de datos (registros) se han filtrado?
- ¿Están los datos cifrados y, en su caso, de qué manera?
- ¿Se pudieron borrar o hacer inaccesibles a distancia los datos y, en su caso, se hizo?
- ¿Cuáles son las posibles consecuencias para los interesados?
- ¿Qué grupo(s) de personas se ha(n) visto afectado(s)?
- ¿Cuántas personas se han visto afectadas (aproximadamente)?
- ¿También se han visto afectados datos de personas de otros países de la UE por la brecha?
- ¿Ya se han podido adoptar medidas técnicas y/u organizativas a raíz del incidente?
8. Disponibilidad del personal tras el descubrimiento de una brecha de datos
El responsable del departamento desde el que se ha producido la brecha de datos, así como quien la haya descubierto y cualquier persona que, por su función o conocimientos, pueda adoptar medidas organizativas y/o técnicas para limitar las consecuencias de la brecha, se mantendrán disponibles durante las primeras 24 horas tras el descubrimiento de la brecha para consultar con el responsable interno o, en su caso, con los expertos que este designe, y para llevar a cabo, si fuera necesario, las tareas asignadas como consecuencia de la brecha.
9. Decisión sobre la notificación de brechas de datos
El responsable interno decidirá, lo antes posible y en todo caso en un plazo máximo de 60 horas desde el descubrimiento de la brecha de datos, si, de acuerdo o no con el responsable del departamento desde el que se ha descubierto la brecha y/o con los expertos designados por él, la brecha debe notificarse a la Autoridad Neerlandesa de Protección de Datos y/o a los interesados. En principio, una brecha de datos siempre se notificará a la Autoridad Neerlandesa de Protección de Datos, salvo que sea improbable que la brecha suponga un riesgo para los derechos y libertades de los interesados. La notificación de la brecha irá acompañada de la respuesta a las preguntas descritas en el apartado 7. Una brecha notificada a la Autoridad Neerlandesa de Protección de Datos también se comunicará a los interesados si supone un alto riesgo para los derechos y libertades de las personas físicas, salvo que ya se hayan adoptado medidas adecuadas que hayan eliminado dicho alto riesgo.
10. Notificación de brechas de datos a la Autoridad Neerlandesa de Protección de Datos y/o a los interesados
El responsable interno velará, en caso necesario, por la notificación a la Autoridad Neerlandesa de Protección de Datos y/o a los interesados. La notificación se realizará lo antes posible tras el descubrimiento y, a más tardar, en un plazo de 60 horas desde el descubrimiento de la brecha de datos. Ningún otro empleado distinto del responsable interno podrá notificar por sí mismo la (posible) brecha de datos a la Autoridad Neerlandesa de Protección de Datos y/o a los interesados. Si un empleado no está de acuerdo con la decisión del responsable interno sobre si notificar o no la brecha a la Autoridad Neerlandesa de Protección de Datos y/o a los interesados, podrá trasladar sus objeciones a la dirección. Si se le solicita, el empleado prestará toda su colaboración al responsable para poder informar a las personas afectadas, de conformidad con el artículo 34 del RGPD, sobre la brecha de datos.
11. Consecuencias de la notificación de brechas de datos
Si la brecha de datos tiene consecuencias negativas para los interesados, el responsable interno hará todo lo posible por limitarlas al máximo. En función de la naturaleza y el alcance de la brecha para los interesados, el responsable interno determinará:
- la forma en que se informará a los interesados (incluyendo, en todo caso, la comunicación de qué tipos de datos personales se han visto afectados, cuáles son las posibles consecuencias, qué medidas adopta Dena Textile Productions B.V. y cómo pueden los propios interesados evitar o limitar los daños);
- qué atención posterior recibirán los interesados;
- qué acciones son necesarias en interés de la organización.
Si se ha producido una brecha de datos, con independencia de que se haya notificado o no, se adoptarán lo antes posible las medidas técnicas y/u organizativas adecuadas para evitar brechas similares en el futuro.
12. Registro de brechas de datos
El responsable interno mantendrá un registro de todas las brechas de datos, en el que se documentarán todos los datos relativos a cada brecha, tales como:
- Una descripción del incidente.
- Fecha y hora de la brecha de datos.
- Fecha y hora del descubrimiento de la brecha de datos.
- Descripción del tipo de datos personales filtrados.
- Descripción de la(s) categoría(s) de interesados afectados.
- Descripción del número de interesados afectados (aproximado).
- Si se han filtrado datos de personas de otros países de la UE.
- Si el incidente se ha notificado a la Autoridad Neerlandesa de Protección de Datos y, en tal caso, fecha y hora de la notificación.
- Si el incidente se ha notificado a los interesados y, en tal caso, fecha y hora de la notificación.
- De qué manera se ha informado a los interesados.
- Las consecuencias de la brecha de datos, indicando, cuando sea posible, la fecha y hora.
- Qué medidas técnicas y/u organizativas se han adoptado tras la brecha, indicando la fecha y hora.
Este protocolo de notificación de brechas de datos se elaboró el 1 de mayo de 2020.