¿Hay que notificar un ataque de ransomware según el RGPD?

A menudo sí, si hubo datos personales afectados, aunque no se robara nada. El RGPDRGPD: Reglamento General de Protección de Datos. La ley europea de protección de datos (Reglamento (UE) 2016/679). define en su artículo 4, punto 12, la violación de la seguridad de los datos personales como toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados a ellos. El cifrado por ransomware deja los datos no disponibles, lo que es una violación de la disponibilidad, y los atacantes suelen copiar los datos antes de cifrar. Según el artículo 33, el responsable notifica a la autoridad de control sin dilación indebida y, de ser posible, en las 72 horas siguientes a tener constancia, salvo que sea improbable que la violación suponga un riesgo para las personas, por ejemplo porque una copia reciente lo restauró todo rápido y nada salió de la red. Documente el razonamiento en ambos casos. NetSenX puede mostrar si antes del cifrado salieron subidas inusuales desde equipos vigilados, algo que importa para esa valoración.

Información general, no asesoramiento jurídico. Las leyes nacionales pueden completar los textos de la UE citados aquí, por ejemplo con plazos, formularios o canales de notificación: consulte las normas de su país.

← Las 35 preguntas sobre Plazos de notificaciónTodos los temas