Casi nadie en una pyme sabe qué tiene que hacer la mañana en que descubre que han entrado en su correo, que un portátil con la lista de clientes se ha quedado en un taxi o que el programa de facturación amaneció cifrado. Se llama a quien lleva la informática, se intenta recuperar lo que se pueda y se confía en que no pase nada. Y mientras tanto corre un reloj del que pocos han oído hablar.

El Reglamento General de Protección de Datos da 72 horas desde que la empresa tiene constancia de la brecha para notificarla a la Agencia Española de Protección de Datos, salvo que sea improbable que suponga un riesgo para las personas. Si el riesgo es alto, además hay que comunicárselo a los afectados sin demora. Y tanto si se notifica como si no, hay que dejarlo todo por escrito. Las multas de la AEPD que leemos en prensa rara vez castigan el ataque en sí. Castigan no haberse preparado y haber informado tarde o mal.

Lo básico cabe en cuatro reglas que no piden saber informática.

  1. Una brecha no necesita un hacker. Un correo enviado al destinatario equivocado, un portátil perdido o un ransomware que solo cifra los datos sin robarlos también son brechas. Lo que cuenta es que los datos de personas se hayan perdido, alterado o visto por quien no debía.
  2. El reloj empieza cuando lo sabes. No cuando lo confirma un informe técnico semanas después. Desde ese momento hay 72 horas para avisar a la AEPD, y se puede avisar con lo que se sepa y completar después. Llegar tarde obliga a explicar por qué.
  3. A los afectados, sin demora y en su idioma. Si el riesgo para ellos es alto, hay que decirles qué ha pasado, qué puede pasarles, qué pueden hacer y a quién preguntar. En lenguaje claro, no en el de los abogados.
  4. Todo se apunta, aunque no se avise. El registro interno de brechas es obligatorio. Qué pasó, qué efectos tuvo, qué se hizo y, si no se notificó, por qué. Ese papel es lo primero que pedirá la AEPD.

La pregunta no es técnica. Si mañana por la mañana roban los datos de tus clientes, ¿quién llama a quién, y antes de cuándo?

Tres señales avisan de que esto necesita atención. Nadie sabría decir a quién se llama primero. El contrato con el proveedor que guarda los datos no dice en cuántas horas tiene que avisarte si le pasa a él. Y el último correo enviado a quien no debía se arregló con un «perdón» y no quedó apuntado en ningún sitio.

Para bajarlo a la práctica hemos preparado una guía descargable de dos páginas. La primera resume lo esencial. Qué es una brecha y qué no, las cuatro reglas y los términos que conviene conocer. La segunda es la herramienta, una checklist imprimible de las primeras 72 horas en cuatro tramos, de la hora cero al cierre, que rellena y archivada sirve además como registro interno del incidente.

Que la conversación posterior con el regulador tiene precio ya lo vimos en la multa de la AEPD a Flexicar. La AEPD no sancionó por sufrir el ataque. Sancionó por no estar preparado para él.