Com i quan cal notificar una violació de dades personals a l’APDA?
L’APDA recorda algunes situacions comunes que poden constituir una violació de dades
L’Agència Andorrana de Protecció de Dades (APDA) ha publicat una comunicació informativa per recordar què s’entén per violació de seguretat de dades personals i quines actuacions han de dur a terme els responsables del tractament quan es produeix un incident que pugui comprometre la seguretat de la informació.
Què és una violació de seguretat de dades personals
Segons l’APDA, una violació de seguretat de dades personals és qualsevol incident, accidental o il·lícit, que provoqui destrucció, pèrdua, alteració, divulgació no autoritzada o accés indegut a dades personals, comprometen la confidencialitat, la disponibilitat o la integritat de la informació.
Aquest tipus d’incidents no es limita als atacs informàtics, sinó que també pot derivar d’errors humans, pèrdua de documentació o qualsevol altra situació que afecti la seguretat de les dades personals.
Exemples habituals de violacions de seguretat
L’APDA assenyala algunes situacions comunes que poden constituir una violació de dades:
Enviar un correu electrònic amb dades al destinatari equivocat.
Enviar un missatge a diversos destinataris sense utilitzar la còpia oculta.
Pèrdua o robatori d’ordinadors, mòbils, dispositius USB o documents en paper.
Accés no autoritzat a bases de dades o carpetes compartides.
Publicació indeguda d’informació personal.
Alteració o eliminació accidental de dades.
Atacs de programari maliciós, ransomware o intrusions als sistemes.
Indisponibilitat temporal o definitiva de dades essencials.
Quan s’ha de notificar a l’APDA
D’acord amb l’article 36 de la Llei qualificada de protecció de dades personals (LQPD), el responsable del tractament ha de notificar la violació a l’APDA sense dilació indeguda i, si és possible, dins de les 72 hores des que se n’ha tingut constància.
Aquesta notificació no és necessària si és improbable que la violació comporti un risc per als drets i llibertats de les persones. En cas de superar el termini de 72 hores, s’han de justificar els motius de la dilació.
Obligacions de l’encarregat del tractament
L’encarregat del tractament ha de comunicar immediatament qualsevol incidència al responsable del tractament. En general, no notifica directament a l’APDA, sinó que ha de permetre que el responsable valori la situació i compleixi les obligacions legals.
