Què és una bretxa de seguretat i què fer pas a pas

Una bretxa de seguretat —o bretxa de dades— no sempre és un ciberatac sofisticat. Moltes vegades és un portàtil oblidat en un tren, un correu enviat a la persona equivocada o una carpeta compartida per error. El que marca la diferència no és evitar al 100% que passi, sinó tenir clar què fer quan passa. Aquesta guia explica què és una bretxa de dades segons el RGPD, quins tipus existeixen i el protocol ordenat que ha de seguir qualsevol organització: detectar, contenir, avaluar, documentar i, quan escaigui, notificar.

Què és una bretxa de seguretat?

El RGPD l'anomena violació de la seguretat de les dades personals i la defineix en el seu art. 4.12 com «tota violació de la seguretat que ocasioni la destrucció, pèrdua o alteració accidental o il·lícita de dades personals transmeses, conservades o tractades d'una altra manera, o la comunicació o l'accés no autoritzats a aquestes dades».

Convé llegir aquesta definició a poc a poc, perquè desmunta l'equívoc més comú. Una bretxa no és només un atac informàtic. La norma parla de causes accidentals tant com il·lícites, i d'incidents tan quotidians com perdre un dispositiu o donar accés a qui no havia de tenir-lo. Aquests són exemples habituals que encaixen en l'art. 4.12:

• Pèrdua o robatori d'un portàtil, un mòbil, un pen drive o una carpeta amb documentació en paper.
• Enviament erroni d'un correu o d'un document a un destinatari equivocat, o amb la llista de destinataris visible en còpia oberta.
• Accés no autoritzat a un sistema, ja sigui extern (intrusió) o intern (una persona que consulta dades a les quals no havia d'arribar).
• Xifratge maliciós de la informació per un ransomware, que la deixa inaccessible.
• Esborrat o alteració accidental d'una base de dades sense còpia de seguretat disponible.

La clau és entendre que la bretxa es refereix sempre a dades personals: informació sobre persones físiques identificades o identificables. Un incident que només afecta dades tècniques anònimes no constitueix una bretxa en el sentit del RGPD, encara que sí que pugui ser un problema de seguretat informàtica que convingui resoldre.

Tipus de bretxa: confidencialitat, integritat i disponibilitat

Encara que l'art. 4.12 no les etiqueta amb nom propi, de la seva redacció es desprenen tres tipus de bretxa segons quina dimensió de la seguretat es vegi afectada. Classificar l'incident en un d'ells és el primer pas per avaluar bé el que ha passat.

Bretxa de confidencialitat

Hi ha accés o divulgació no autoritzats a les dades. És el cas del correu enviat a qui no havia de rebre'l, de l'accés indegut a un sistema o de la publicació accidental d'un llistat. Les dades continuen existint i íntegres, però han estat vistes per qui no corresponia.

Bretxa d'integritat

Les dades s'alteren de manera no autoritzada i deixen de ser fiables. Per exemple, una modificació indeguda de registres o una manipulació que fa que la informació ja no reflecteixi la realitat. El risc aquí és prendre decisions sobre dades que han deixat de ser correctes.

Bretxa de disponibilitat

Es produeix una pèrdua d'accés a les dades o la seva destrucció. El cas típic és el ransomware que xifra la informació, un esborrat accidental sense còpia o l'avaria irrecuperable d'un suport. Les dades poden continuar existint, però l'organització no pot fer-ne ús quan les necessita.

Un mateix incident pot combinar diversos tipus alhora. Un atac que roba una base de dades i a més la xifra afecta simultàniament la confidencialitat i la disponibilitat. Per això l'anàlisi s'ha de fer incident per incident, sense donar res per suposat.

Què fer pas a pas davant d'una bretxa

Quan es detecta un incident, la resposta professional és ordenada, no precipitada. Actuar amb mètode permet decidir amb criteri quines obligacions s'activen i quines no. Aquest és el recorregut lògic.

1. Detectar i confirmar

El primer pas és confirmar que ha passat alguna cosa i de què es tracta. Moltes alertes resulten ser falsos positius; d'altres, incidents reals. Anota quan s'ha tingut constància del fet, perquè aquest moment és el que marca l'inici dels terminis posteriors. Tenir constància significa una certesa raonable que hi ha hagut un compromís de dades, no una simple sospita inicial.

2. Contenir

Abans d'analitzar res en profunditat, cal frenar el dany. Segons el cas: aïllar l'equip afectat, revocar accessos o credencials compromeses, retirar del sistema el document publicat per error o sol·licitar la retirada del correu enviat a qui no havia de rebre'l. Contenir no resol la bretxa, però evita que creixi mentre s'avalua.

3. Avaluar el risc

Aquest és el pas que determina tota la resta. Cal valorar el risc per als drets i les llibertats de les persones afectades, tenint en compte el tipus de dades implicades, el seu volum, quantes persones es veuen afectades, la facilitat d'identificar-les i les possibles conseqüències per a elles (per exemple, suplantació d'identitat, pèrdues econòmiques o afectació a la seva intimitat). El resultat d'aquesta avaluació decideix si la bretxa es queda en el registre intern, si a més es notifica a l'autoritat o si també cal comunicar-la a les persones afectades.

4. Documentar SEMPRE (art. 33.5 RGPD)

Aquí no hi ha marge d'interpretació: totes les bretxes es documenten, es notifiquin o no. L'art. 33.5 RGPD obliga el responsable a documentar qualsevol violació de seguretat, inclosos els fets relacionats amb ella, els seus efectes i les mesures correctores adoptades. Aquest registre intern de bretxes és el que permet demostrar que l'organització va valorar cada incident amb criteri, fins i tot els que es va decidir no notificar per no comportar risc. Documentar bé és, a la pràctica, la millor prova que s'ha actuat amb diligència.

5. Notificar a l'autoritat de control quan hi hagi risc (art. 33 RGPD)

Si l'avaluació conclou que la bretxa pot comportar un risc per als drets i les llibertats de les persones, l'art. 33 RGPD obliga a notificar-la a l'autoritat de control (a Espanya, l'AEPD). S'ha de fer sense dilació indeguda i, si és possible, dins de les 72 hores següents a tenir constància de la bretxa. Si no s'arriba a aquest termini, la notificació s'ha d'acompanyar d'una explicació dels motius de la demora. La notificació descriu la naturalesa de la bretxa, les categories i el nombre aproximat de persones afectades, les conseqüències probables i les mesures adoptades o proposades.

6. Comunicar a les persones afectades si el risc és alt (art. 34 RGPD)

Quan la bretxa pugui comportar un alt risc per als drets i les llibertats de les persones, l'art. 34 RGPD exigeix a més comunicar-los-ho directament a les persones afectades, sense dilació indeguda i en un llenguatge clar i senzill. L'objectiu és que puguin protegir-se: canviar una contrasenya, vigilar moviments bancaris o estar alerta davant de possibles intents de suplantació. El mateix art. 34 contempla excepcions a aquesta comunicació, per exemple quan s'havien aplicat mesures —com el xifratge— que fan les dades inintel·ligibles per a tercers, o quan avisar individualment suposaria un esforç desproporcionat i s'opta per una comunicació pública equivalent.

Taula de terminis i accions

Aquesta és la relació entre cada obligació, el seu fonament en el RGPD i quan s'activa. Ajuda a distingir el que sempre cal fer del que depèn del risc avaluat.

Fixem-nos en la lògica escalonada: la documentació és universal, la notificació depèn que hi hagi risc i la comunicació a les persones afectades només s'activa amb risc alt. No tota bretxa arriba a l'últim esglaó, però tota bretxa passa pel primer.

El protocol de bretxes: preparar-se abans

La millor manera de respondre bé a una bretxa és haver decidit per endavant com s'hi respondrà. Un protocol de bretxes de seguretat és el document intern que fixa, abans que passi res, qui fa què i en quin ordre. No és burocràcia: és el que permet complir un termini de 72 hores sense improvisar.

Un protocol útil, aterrat al dia a dia, sol contemplar:

• Un canal clar d'avís intern. Que qualsevol persona de l'equip sàpiga a qui avisar tan bon punt detecta alguna cosa estranya, sense por de fer-ho. Moltes bretxes triguen a gestionar-se perquè qui les detecta no sap a qui acudir.
• Un responsable de coordinar la resposta. Una figura que centralitzi les decisions i eviti que cadascú actuï pel seu compte.
• Una plantilla de registre intern preparada per documentar l'incident conforme a l'art. 33.5: què va passar, quan es va saber, quines dades i persones afecta, què es va fer i amb quin resultat.
• Un criteri d'avaluació del risc definit amb antelació, per no haver d'improvisar la valoració sota pressió.
• Les dades de contacte del personal tècnic, de l'assessor en protecció de dades i de la via de notificació a l'autoritat, a mà i actualitzades.

El protocol de bretxes encaixa dins d'un marc més ampli de política de seguretat de la informació, que defineix les mesures tècniques i organitzatives de l'art. 32 RGPD. Les dues coses se sostenen: bones mesures de seguretat redueixen la probabilitat de bretxes, i un bon protocol assegura una resposta ordenada quan alguna es produeix igualment.

Checklist de resposta

Una llista ràpida per tenir a mà el dia que passi. No substitueix el protocol complet, però ordena els primers moviments.

• ☐ Confirmar l'incident i anotar la data i hora en què s'ha tingut constància.
• ☐ Contenir: aïllar sistemes, revocar accessos, retirar el que s'ha publicat o enviat per error.
• ☐ Identificar quines dades i a quantes persones afecta l'incident.
• ☐ Classificar la bretxa: confidencialitat, integritat, disponibilitat o una combinació?
• ☐ Avaluar el risc per als drets i les llibertats de les persones afectades.
• ☐ Documentar tot en el registre intern de bretxes (sempre, art. 33.5).
• ☐ Decidir si escau notificar a l'autoritat (art. 33) i, si és el cas, fer-ho dins del termini.
• ☐ Decidir si escau comunicar a les persones afectades per alt risc (art. 34).
• ☐ Registrar les mesures correctores adoptades perquè no es repeteixi.

Preguntes freqüents

Què és una bretxa de seguretat segons el RGPD?

L'art. 4.12 RGPD defineix la violació de la seguretat de les dades personals com tota violació de la seguretat que ocasioni la destrucció, pèrdua o alteració accidental o il·lícita de dades personals, o la comunicació o l'accés no autoritzats a aquestes dades. No és només un ciberatac: també ho és perdre un portàtil, enviar un correu amb dades al destinatari equivocat o extraviar documentació en paper.

Totes les bretxes de seguretat es notifiquen a l'AEPD?

No. Només es notifiquen a l'autoritat de control les bretxes que puguin comportar un risc per als drets i les llibertats de les persones afectades (art. 33 RGPD). Ara bé, totes les bretxes, es notifiquin o no, han de quedar documentades en un registre intern (art. 33.5 RGPD). La decisió de notificar depèn d'una avaluació prèvia del risc, no de la gravetat aparent.

En quant de temps cal notificar una bretxa a l'autoritat de control?

L'art. 33 RGPD estableix que, quan la bretxa s'hagi de notificar, es faci sense dilació indeguda i, si és possible, en un termini màxim de 72 hores des que el responsable en té constància. Si es notifica més tard, s'ha d'acompanyar dels motius de la demora. El termini comença a comptar des que l'organització té constància raonable que ha ocorregut, no des del primer indici.

Quan cal avisar les persones afectades per una bretxa?

Quan la bretxa pugui comportar un alt risc per als drets i les llibertats de les persones afectades (art. 34 RGPD). En aquest cas cal comunicar-los-ho sense dilació indeguda, en un llenguatge clar, explicant què ha passat, les possibles conseqüències i les mesures adoptades. Si el risc és alt però s'han aplicat mesures que el neutralitzen, el mateix art. 34 preveu excepcions a aquesta comunicació.

En resum

Una bretxa de seguretat és qualsevol destrucció, pèrdua, alteració, comunicació o accés no autoritzats a dades personals (art. 4.12 RGPD), i pot anar des d'un ciberatac fins a un correu mal enviat. La resposta correcta és sempre metòdica: detectar, contenir, avaluar el risc, documentar en el registre intern —això últim, sempre, per exigència de l'art. 33.5— i, segons el risc, notificar a l'autoritat de control en el termini de l'art. 33 i comunicar a les persones afectades conforme a l'art. 34. Tenir un protocol preparat converteix un moment delicat en un procediment ordenat.

Com t'acompanya Certix

A Certix ajudem les organitzacions a preparar el seu protocol de bretxes abans de necessitar-lo i a gestionar-lo amb criteri quan arriba el moment. Definim el circuit intern d'avís, la plantilla de registre conforme a l'art. 33.5, el criteri d'avaluació del risc i la coordinació de la notificació quan escau. L'objectiu no és la por, sinó l'ordre: que sàpigues exactament què fer i en quin termini.

Pots començar per entendre el marc complet a la nostra guia del RGPD o revisar com s'integra el protocol dins de la teva política de seguretat de la informació.

---

Aquest contingut és merament orientatiu i divulgatiu; no constitueix en cap cas assessorament jurídic especialitzat. L'aplicació de la normativa a cada cas concret requereix anàlisi individualitzada.