Debido a las reiteradas situaciones de acceso no autorizado a bases de datos recordamos las obligaciones a las que se debe dar cumplimiento ante la existencia de una vulneración de seguridad.

Como punto de partida corresponde tener en cuenta que la vulneración de seguridad de los datos consiste en un incidente de seguridad que ocasione, entre otras, la divulgación, destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados a dichos datos. 

En caso de ocurrencia de una vulneración de seguridad tanto los Responsables como los Encargados de la base de datos vulnerada tendrá las siguientes obligaciones:

1.     Iniciar procedimientos para minimizar el impacto de los incidentes dentro de las 24 horas de constatados.

Deberá adoptar medidas necesarias y eficaces que le permitan mitigar los posibles efectos perjudiciales que pudieran ocurrir como consecuencia de dicha vulneración dentro de las primeras 24 horas de constatada la misma.

2.     Informar a la Unidad Reguladora y de Control de Datos Personales

Dar comunicación del incidente a la Unidad Reguladora y de Control de Datos Personales en un plazo máximo de 72 horas de conocida la vulneración. La comunicación deberá incluir información relevante, tal como la fecha cierta o estimada de la ocurrencia de la vulneración, su naturaleza, los datos personales afectados, y los posibles impactos generados. En caso de que la vulneración haya sido constatada por el Encargado de tratamiento, éste deberá comunicarlo de inmediato al Responsable.

3.     Informar a los titulares afectados

El Responsable deberá dar aviso del incidente en lenguaje claro y sencillo a a los titulares de datos que hayan sufrido una afectación significativa en sus derechos.

4.     Elaboración de informe detallado de la situación

Una vez solucionada la vulneración corresponde al Responsable elaborar un informe detallando la vulneración de seguridad y las medidas adoptadas. Este informe también tendrá que ser comunicado a la URCDP.