Las organizaciones que tratan datos personales deben implementar medidas de seguridad apropiadas para protegerlos.
Estas medidas deben considerar los riesgos reales asociados a cada tratamiento y no pueden limitarse únicamente a instalar herramientas tecnológicas.
La LOPDP exige que responsables y encargados realicen un análisis de riesgos, amenazas y vulnerabilidades, considerando aspectos como:
- Las características del tratamiento.
- Las partes que intervienen.
- Las categorías de datos personales.
- El volumen de información tratada.
A partir de ese análisis deben determinarse las medidas de seguridad adecuadas, teniendo en cuenta, entre otros elementos, la naturaleza de los datos y los riesgos identificados.
¿Qué es una vulneración de seguridad?
Una vulneración de seguridad de datos personales puede producirse cuando un incidente compromete la confidencialidad, disponibilidad o integridad de los datos personales.
Puede ocurrir, por ejemplo, ante situaciones como:
- acceso no autorizado;
- pérdida o destrucción de información;
- exposición o divulgación indebida;
- alteración no autorizada;
- robo de información;
- incidentes tecnológicos que comprometan datos personales.
No todo incidente tecnológico constituye necesariamente una vulneración de datos personales: debe analizarse si los datos personales han resultado comprometidos.
¿Qué debe hacer una organización?
Ante una vulneración de seguridad deben aplicarse las obligaciones previstas en la LOPDP y su Reglamento, incluyendo la evaluación del incidente, las medidas necesarias para contenerlo y corregirlo y, cuando corresponda, las comunicaciones o notificaciones exigidas por la normativa.
Además, la SPDP tiene competencias institucionales relacionadas con la supervisión del tratamiento seguro de los datos personales y la respuesta frente a vulneraciones de seguridad.
Importante: las medidas de seguridad deben determinarse de acuerdo con los riesgos del tratamiento. No existe una única medida técnica que resulte suficiente para todos los responsables y encargados.
Base legal: artículos 38 al 43 de la Ley Orgánica de Protección de Datos Personales y disposiciones correspondientes del Reglamento General.