Brecha de seguridad en un despacho: las primeras 72 horas

Una brecha en un despacho casi nunca empieza con una pantalla roja, sino con una frase en el pasillo: «oye, ¿tú has mandado esta mañana un correo a todos los clientes del penal?». O con un taxi, una mochila y un portátil que ya no está. A partir de ese momento corre un reloj de 72 horas, y la mayoría de los despachos descubren que no saben ni cuándo empezó a correr.

En el artículo sobre las obligaciones RGPD que más se incumplen el protocolo de brechas era la séptima. Este es su desarrollo práctico.

Lo que exige el RGPD, sin adornos

Tres artículos y un apartado:

• Artículo 33.1. Ante una violación de la seguridad de los datos personales, el responsable la notifica a la autoridad de control «sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella», a menos que sea improbable que constituya un riesgo para los derechos y libertades de las personas. Si se notifica más tarde, la notificación debe explicar los motivos del retraso.
• Artículo 33.4. Si no se tiene toda la información a la vez, puede facilitarse de manera gradual.
• Artículo 34. Si es probable que la brecha entrañe un alto riesgo, hay que comunicarla también a los interesados, sin dilación indebida y en lenguaje claro. No hace falta si los datos estaban protegidos (cifrado), si las medidas posteriores eliminan el alto riesgo o si avisar uno a uno supone un esfuerzo desproporcionado, en cuyo caso se sustituye por una comunicación pública.
• Artículo 33.5. Toda brecha se documenta —hechos, efectos y medidas correctoras—, también las que no se notifican.

Dos precisiones que la guía de la AEPD sobre notificación de brechas deja claras. La primera: las 72 horas son horas naturales, «computando también las horas trascurridas durante fines de semana y festivos». No existe el agosto inhábil ni el día de gracia de la LEC. La segunda: el plazo empieza cuando el responsable tiene constancia de que el incidente ha afectado a datos personales, no cuando alguien nota algo raro. Unas horas para confirmar, no una semana para «investigar».

Si la brecha la sufre un proveedor —el correo en la nube, el gestor documental—, el artículo 33.2 le obliga a avisar al despacho sin dilación indebida; la notificación sigue siendo cosa del despacho.

Dónde y con qué se notifica

La notificación se presenta en la sede electrónica de la AEPD, con el formulario de notificación de brechas de datos personales. El formulario distingue entre una notificación nueva y la modificación de una anterior, precisamente para que se pueda presentar una notificación inicial dentro de las 72 horas con lo que se sabe y completarla después. La guía de la Agencia fija para esa compleción un máximo de 30 días desde la inicial (días hábiles, según la propia guía).

La AEPD ofrece además dos herramientas gratuitas que no guardan los datos introducidos:

• Asesora Brecha, para decidir si hay que notificar a la autoridad de control y a cuál.
• Comunica-Brecha RGPD, para decidir si hay que comunicarlo a los afectados; incluye un modelo de comunicación.

Ambas generan un informe descargable que sirve como primera pieza del registro del artículo 33.5, aunque no sustituye la valoración propia del despacho.

Hora a hora

De la hora 0 a la 2: contener y anotar. Primero, parar la hemorragia: cambiar contraseñas y cerrar todas las sesiones activas de la cuenta afectada, activar el borrado remoto del dispositivo perdido, desconectar de la red el equipo cifrado por ransomware sin apagarlo ni reinstalarlo. Segundo: anotar la hora exacta en que se tuvo constancia y quién la tuvo. Todo lo demás se calcula desde ahí.

De la hora 2 a la 24: evaluar. Cinco preguntas, por escrito: qué datos (identificativos, económicos, de salud, penales, de menores), de cuántos interesados, si estaban cifrados, si alguien ajeno ha podido verlos o solo se ha perdido el acceso, y si se pueden recuperar. En un despacho, la primera respuesta suele agravar todas las demás.

De la hora 24 a la 48: decidir. Notificar o no notificar, comunicar o no comunicar, y por qué. La decisión la toma una persona con nombre —el socio responsable o el DPD si lo hay—, no «el despacho».

Antes de la hora 72: notificar. Con lo que se tenga. Una notificación inicial incompleta y en plazo es mejor que una perfecta y tardía.

Cuando proceda, sin esperar a la hora 72: comunicar a los clientes. El artículo 34 no está atado a las 72 horas, está atado a la «dilación indebida». Si hay riesgo de fraude inmediato, el aviso a los afectados es lo primero, no lo último.

Siempre: registrar. Incluido el incidente que se cierra con un «no procede notificar». Es la única prueba de que esa conclusión fue razonada.

Los cuatro incidentes que de verdad pasan

El portátil perdido. Si el disco estaba cifrado con un algoritmo no comprometido y una contraseña robusta, la guía de la AEPD admite que el riesgo para la confidencialidad puede considerarse mitigado; si además hay copia de los datos, lo habitual es documentar sin notificar. Si no estaba cifrado y contenía expedientes, es notificable, y con datos de salud, penales o de menores, probablemente también hay que avisar a los clientes.

El correo al destinatario equivocado. La guía lo cita expresamente como brecha accidental. Importa a quién llegó, qué contenía y si se puede obtener confirmación de borrado. Una escritura enviada al procurador equivocado, que confirma el borrado esa misma mañana, se documenta. El informe psicológico de un menor enviado a la contraparte de un divorcio no admite discusión: notificación y comunicación.

La cuenta de correo comprometida. El caso más infravalorado: el buzón de un abogado es el archivo completo de sus asuntos, y si un tercero ha tenido acceso hay que presumir que ha podido leerlo todo. Y con frecuencia lo usa: correos desde la cuenta real del despacho pidiendo a los clientes que paguen la provisión de fondos en una cuenta nueva.

El ransomware. Si se puede descartar con certeza la exfiltración y hay copias para restaurar, se trata como una brecha de disponibilidad y su notificabilidad depende de cuánto tiempo y a quién afecte la indisponibilidad. Si no se puede descartar la exfiltración —y en el ransomware actual rara vez se puede—, es también una brecha de confidencialidad.

Un ejemplo con reloj

Un despacho de seis abogados. Un martes a las 10:30, la administrativa ve en la bandeja de enviados de una socia correos que nadie ha escrito, mandados a las 03:12 de esa madrugada. A las 11:00 el informático confirma un acceso desde fuera de España tras un correo de phishing del viernes anterior. La constancia es el martes a las 10:30, cuando ya era evidente que el buzón —lleno de documentación de clientes— había estado en manos ajenas. El plazo vence el viernes a las 10:30.

• Martes, 11:20. Cambio de contraseña, cierre de sesiones, segundo factor obligatorio, revisión de reglas de reenvío (el atacante había creado una).
• Martes, 16:00. Evaluación: el buzón contiene correos con unos 60 clientes; entre ellos, un procedimiento de custodia con informes escolares y médicos de dos menores, y tres asuntos penales.
• Miércoles, 09:00. Se descubre que el atacante envió a tres clientes una «factura» con un IBAN distinto. Llamada telefónica a esos tres esa misma mañana, antes de cualquier trámite: el riesgo de fraude no espera.
• Miércoles, 18:00. Decisión documentada: hay que notificar (categorías especiales, menores, acceso efectivo de un tercero) y hay alto riesgo para los afectados del procedimiento de custodia y de los asuntos penales.
• Jueves, 12:00. Notificación inicial en la sede de la AEPD, con la información disponible. Quedan 22 horas y media de margen.
• Jueves y viernes. Comunicación individual a los clientes afectados, en lenguaje claro: qué pasó, qué datos, qué se ha hecho, qué deben vigilar, a quién llamar.
• Semanas siguientes. Notificación de modificación con el alcance definitivo; cierre del registro interno.

Si la socia hubiera visto esos correos un viernes a las 18:00, el plazo habría vencido el lunes a las 18:00. El fin de semana cuenta entero.

El secreto profesional no se suspende

La brecha de datos es, en un despacho, también un problema de secreto profesional: el artículo 542.3 de la LOPJ y los artículos 21 y 22 del Estatuto General de la Abogacía obligan a guardar secreto de todo lo conocido por razón de la actuación profesional. Dos consecuencias. La notificación a la AEPD describe la naturaleza de la brecha y las categorías y número aproximado de interesados y registros; no exige transcribir el contenido de los asuntos, y no debe hacerlo. Y, diga lo que diga el artículo 34, el cliente cuyo asunto ha quedado expuesto debería enterarse por su abogado.

La opinión de este artículo es simple: el error caro no es notificar de más, es decidir tarde y sin papel. Una notificación prudente que luego resulta innecesaria no tiene coste; una brecha silenciada que aparece después, en una reclamación de un cliente, convierte un accidente en una infracción.

Qué tener preparado antes

Una página con cuatro datos: quién decide, a quién se llama primero (informático, proveedor, aseguradora si hay póliza de ciberriesgo), dónde está el registro de brechas y el enlace a la sede de la AEPD. Y saber dónde viven los datos de los clientes: «¿qué había en ese buzón?» solo se contesta rápido si los asuntos no viven en el buzón, ni en el móvil personal de nadie (la guía de WhatsApp Business para despachos explica cómo evitarlo).

Dónde encaja Mandato

Un gestor de expedientes no evita un phishing, pero cambia el tamaño de la brecha. En Mandato la documentación vive en el expediente y no en los buzones, el acceso es por rol y por asunto, hay segundo factor y registro de accesos —lo que permite contestar en horas, no en días, a la pregunta de qué se ha visto— y las comunicaciones con el cliente, correo y WhatsApp, quedan en una bandeja única vinculada al asunto.