Perder un ordenador de empresa puede generar dudas sobre qué hacer si pierdes un ordenador con datos personales. Además de la pérdida del equipo, puede estar en riesgo la información de clientes, personas trabajadoras, proveedores u otros contactos. Por eso, ante esta situación, es importante actuar con rapidez, averiguar qué información puede estar afectada y valorar las medidas necesarias para protegerla. Además, si el incidente constituye una brecha de datos personales, la empresa deberá determinar qué obligaciones tiene conforme a la normativa de protección de datos.
1. Comunicar el incidente cuanto antes
El primer paso es informar de lo ocurrido a la persona responsable dentro de la empresa y activar el procedimiento interno de gestión de incidentes, si existe. No conviene esperar a tener toda la información para comunicar la pérdida, ya que avisar cuanto antes permite iniciar las comprobaciones necesarias, coordinar las actuaciones y reducir el tiempo durante el que la información podría quedar expuesta.
También es importante registrar los datos conocidos sobre el incidente, como cuándo se detectó la pérdida, dónde pudo producirse y qué actuaciones se han llevado a cabo. Estos datos ayudarán a reconstruir lo sucedido y a valorar las medias que deben adopatrse.
2. Identificar qué información puede estar afectada
Una vez comunicado el incidente, hay que averiguar qué información contenía el ordenador y a qué datos se podría acceder desde él.
Para ello, conviene comprobar, entre otras cuestiones:
- Si había archivos con datos personales almacenados en el equipo.
- Si permitía acceder al correo electrónico, aplicaciones empresariales o sistemas con información personal.
- Si se utilizaban contraseñas, cifrado u otras medidas de protección.
- Si existían copias de seguridad o mecanismos de acceso remoto que puedan ayudar a proteger o recuperar la información.
No basta con revisar los archivos guardados localmente. El ordenador también podría permitir el acceso a otros sistemas o servicios en los que se almacena información personal. Por eso, es importante tener en cuenta tanto los datos que contenía el dispositivo como los recursos a los que se podía acceder a través de él.
3. Proteger los accesos y reducir los riesgos
Las actuaciones dependerán de las características del equipo, los sistemas utilizados y las medidas de seguridad existentes. Según las circunstancias, puede ser necesario bloquear el dispositivo de forma remota, cerrar sesiones abiertas, revocar accesos o cambiar las credenciales que puedan estar comprometidas.
También conviene comprobar si el ordenador estaba cifrado y si esa protección impedía realmente que una persona no autorizada pudiera acceder a la información. El cifrado puede reducir significativamente el riesgo, aunque su eficacia depende de cómo se haya aplicado y de las circunstancias concretas del incidente.
4. Valorar si se ha producido una brecha de datos personales
El Reglamento General de Protección de Datos (RGPD) considera brecha de datos personales un incidente de seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o su comunicación o acceso no autorizados.
Por tanto, la pérdida de un ordenador que contiene datos personales puede constituir una brecha, aunque todavía no se haya confirmado que alguien haya accedido a la información. Para valorar el incidente, la empresa debe analizar factores como la naturaleza de los datos, el volumen de información afectada, las personas que podrían verse perjudicadas y las medidas de seguridad que protegían el equipo.
No todos los incidentes presentan el mismo nivel de riesgo. Por ejemplo, un ordenador correctamente cifrado, con una protección eficaz que impida el acceso a los datos, puede presentar un riesgo considerablemente menor que otro cuyo contenido sea accesible sin medidas de protección adecuadas. La evaluación debe basarse en las circunstancias concretas y quedar documentada.
5. ¿Hay que notificar la pérdida a la AEPD?
No todas las pérdidas de dispositivos deben notificarse automáticamente a la Agencia Española de Protección de Datos (AEPD). Cuando se produce una brecha de datos personales, el artículo 33 del RGPD establece que el responsable del tratamiento debe notificarla a la autoridad de control competente, salvo que sea improbable que la brecha constituya un riesgo para los derechos y libertades de las personas físicas.
Si procede la notificación, debe realizarse sin dilación indebida y, de ser posible, dentro de las 72 horas siguientes a que el responsable tenga constancia de la brecha. Si se realiza fuera de ese plazo, deben explicarse los motivos de la demora.
Además, cuando sea probable que la brecha entrañe un alto riesgo para los derechos y libertades de las personas afectadas, el artículo 34 del RGPD exige comunicarles lo ocurrido sin dilación indebida, salvo que concurra alguna de las excepciones previstas en el propio artículo. Esta comunicación es distinta de la notificación a la AEPD y debe valorarse de forma independiente.
6. Documentar el incidente y las medidas adoptadas
La empresa debe documentar las brechas de datos personales, tanto si deben notificarse a la autoridad de control como si no. El registro debe permitir conocer qué ha ocurrido, cuáles han sido sus efectos y qué medidas correctivas se han adoptado, de manera que pueda justificarse la decisión tomada y comprobar si la respuesta fue adecuada.
Registrar el incidente facilita identificar posibles deficiencias en los procedimientos internos y determinar si es necesario reforzar las medidas de seguridad existentes.
7. Prepararse para evitar problemas similares
Aunque no siempre es posible evitar la pérdida de un dispositivo, sí se pueden adoptar medidas para reducir sus consecuencias.
Entre las medidas que pueden resultar adecuadas según las necesidades de cada empresa se encuentran:
- Cifrar los dispositivos que almacenan información sensible o personal.
- Proteger los accesos mediante mecanismos de autenticación adecuados.
- Aplicar el bloqueo y cierre de sesión automático.
- Limitar los permisos de acceso a la información.
- Disponer de copias de seguridad y mecanismos de recuperación cuando sean necesarios.
- Establecer un procedimiento para comunicar y gestionar incidentes de seguridad.
- Informar al equipo de cómo actuar ante la pérdida o el robo de un dispositivo.
Las medidas concretas deben adaptarse a los tratamientos realizados, los riesgos identificados y las características de la empresa.
El cumplimiento también consiste en saber cómo actuar
La pérdida de un ordenador no tiene por qué convertirse en un problema mayor, pero es importante saber cómo responder desde el primer momento. Identificar la información afectada, proteger los accesos, valorar los riesgos y determinar si existe obligación de notificar son actuaciones que requieren un procedimiento claro y medidas adecuadas a la realidad de cada empresa.
En Procoden trabajamos para que el cumplimiento normativo forme parte de la gestión diaria, con medidas adaptadas a cada empresa y un seguimiento que permita mantenerlas actualizadas.
| ¿Tu empresa tiene un procedimiento para actuar ante la pérdida de un dispositivo? |
Revisar cómo se gestionaría un incidente antes de que ocurra puede ayudar a responder de forma más ordenada cuando realmente se necesita.