Un error humano, un robo y una falta de medidas preventivas: la tormenta perfecta que ha llevado a la AEPD a imponer una sanción ejemplarizante.
A menudo pensamos que las multas de la Agencia Española de Protección de Datos (AEPD) están reservadas para grandes corporaciones que venden nuestros datos o sufren ciberataques masivos. Sin embargo, la realidad es mucho más cotidiana y afecta a cualquier pyme, autónomo o centro educativo.
Recientemente, según informa Confilegal, un colegio ha sido sancionado con 5.000 euros tras el robo de un ordenador portátil. ¿El motivo? No fue el robo en sí, sino la falta de diligencia previa y posterior al incidente.
No es mala suerte, es falta de prevención
El incidente se desencadenó cuando un ordenador portátil fue sustraído de las instalaciones del centro. Podríamos pensar que el colegio es la víctima, y en términos penales lo es. Pero en términos de Protección de Datos, se convirtió en el responsable de una infracción.
La AEPD ha fundamentado su sanción en dos errores críticos que sirven de lección para cualquier negocio:
- Falta de medidas de seguridad (Cifrado): El disco duro del portátil no estaba cifrado. Esto significa que cualquiera que acceda al ordenador puede leer los datos personales de alumnos, padres o profesores. Si el disco hubiera estado encriptado, el robo del equipo físico no habría supuesto una brecha de confidencialidad de los datos.
- Falta de transparencia (Notificación): El centro no comunicó la brecha de seguridad a los afectados. La ley exige que, cuando existe un alto riesgo para los derechos y libertades de las personas (como es el caso de datos de menores sin cifrar), se debe informar a los interesados para que tomen precauciones.
«La ley no castiga que te roben un equipo, castiga que no hayas puesto el candado digital necesario para proteger lo que había dentro.»
Lo «accidental» también se paga
Este caso pone de manifiesto un principio fundamental del RGPD: la Responsabilidad Proactiva. No basta con tener un documento firmado en un cajón. La normativa exige que las organizaciones se anticipen a los problemas.
Una brecha de seguridad no es solo un hacker encapuchado entrando en tus servidores. Una brecha de seguridad «accidental» incluye:
- Perder un pendrive con facturas de clientes.
- Enviar un correo electrónico con copia visible (CC) a toda tu base de datos.
- Que te roben un portátil que no tiene contraseña robusta ni disco cifrado.
En este caso, la multa de 5.000€ (que podría haber sido mucho mayor) penaliza la falta de previsión. El error humano existe, pero los sistemas deben estar diseñados para minimizar sus consecuencias.
¿Cómo evitar que te pase a ti?
La solución no es técnica, es organizativa. Implementar el cifrado de discos (como BitLocker o FileVault) es gratuito en la mayoría de sistemas operativos actuales. El problema es que muchas empresas no saben que deben hacerlo.
En Dataiberica no vendemos papeles, vendemos tranquilidad
Sabemos que tu especialidad es tu negocio, no la ciberseguridad ni las leyes. Por eso, en Dataiberica no nos limitamos a entregarte la documentación obligatoria.
Todos nuestros clientes reciben asesoramiento gratuito y formación continua para evitar errores como el de este colegio. Te enseñamos a cifrar tus equipos, a gestionar contraseñas y a saber qué hacer si sufres un robo.
No esperes a la multa para actuar. Contacta con nosotros hoy mismo.
