RGPD (GDPR)
En protección de datos de la UE, el RGPD es el reglamento que rige el tratamiento de datos personales, con requisitos estrictos de manejo y deberes ante las brechas. El plazo de setenta y dos horas que todo el mundo cita es la notificación a la autoridad de control del artículo 33; comunicárselo a las personas afectadas es un deber distinto, sin dilación indebida, y solo cuando el riesgo sea alto.
Cómo funciona
El RGPD rige cómo pueden tratar las organizaciones los datos personales de las personas que están en la UE, y fija principios (licitud, limitación de la finalidad, minimización y otros), derechos de las personas y obligaciones para quienes tratan los datos. El artículo 32 exige una seguridad adecuada al riesgo y, lo que importa aquí, exige poder demostrar que esas medidas son eficaces, no solo que existen. Los deberes ante una brecha se cuentan mal con frecuencia. El artículo 33 exige notificar a la autoridad de control (en España la AEPD) sin dilación indebida y, de ser posible, dentro de las setenta y dos horas desde que se tiene constancia de la brecha. El artículo 34 es la obligación distinta de comunicar la brecha a las personas afectadas, sin dilación indebida, y solo cuando sea probable que entrañe un riesgo alto para sus derechos. Los dos plazos son deberes distintos ante destinatarios distintos.
Qué sale mal
Mezclar las dos obligaciones ante una brecha es el error que duele durante un incidente real. Un equipo que cree que tiene setenta y dos horas para avisar a las personas afectadas gestiona mal la respuesta, cuando en realidad ese reloj es para la autoridad y el deber ante las personas se dispara por riesgo alto y está redactado de otra manera. Del lado de la seguridad, el hueco con más consecuencias es el requisito del artículo 32 de demostrar que las medidas son eficaces: una organización documenta sus controles y no los verifica nunca, así que puede acreditar que un control existe pero no que funciona, y esa es justo la distancia que explota un atacante. Eficacia supuesta no es lo mismo que eficacia demostrada, y el reglamento pide la segunda.
Dónde aparece esto en una auditoría
El requisito de eficacia demostrable del artículo 32 es donde las pruebas técnicas se encuentran con el reglamento: un pentesting produce evidencia de que las medidas de seguridad que protegen los datos personales resisten de verdad un ataque, en vez de una afirmación sobre el papel de que están puestas. Los hallazgos se enmarcan tanto contra la vulnerabilidad técnica como contra el tratamiento que esa vulnerabilidad pone en peligro, y cuando hay tratamientos de alto riesgo de por medio alimentan una evaluación de impacto relativa a la protección de datos. El programa suele tener como dueño a un delegado de protección de datos y se apoya en la LOPDGDD nacional. Esto son las pruebas técnicas que evidencian el artículo 32.