En síntesi. Una bretxa de dades és tota violació de seguretat que destrueix, perd, altera o exposa dades personals. Quan es detecta, el RGPD imposa dues obligacions amb termini: notificar a l'Agència Espanyola de Protecció de Dades (AEPD) sense dilació indeguda i com a molt tard en 72 hores (art. 33) i, si existeix alt risc, comunicar-la als afectats (art. 34). L'incompliment se sanciona conforme a l'article 83 del RGPD, amb multes de fins a 20 M€ o el 4 % de la facturació anual global. La ciberassegurança finança bona part de la resposta —forense, assessoria legal, comunicació i responsabilitat davant tercers—, segons les condicions de cada pòlissa.
Què és una bretxa de dades personals?
L'article 4.12 del RGPD la defineix amb precisió: una violació de la seguretat de les dades personals és tota violació que ocasioni la destrucció, pèrdua o alteració accidental o il·lícita de dades personals, o la comunicació o l'accés no autoritzats a aquestes dades. La definició és deliberadament àmplia i cobreix tres dimensions: confidencialitat (accés indegut), integritat (alteració) i disponibilitat (pèrdua o destrucció).
Convé fixar el concepte des del principi: no tot incident de seguretat és una bretxa de dades. Un atac que només afecta sistemes sense dades personals és un incident; es converteix en bretxa quan aquestes dades —de clients, empleats, proveïdors— es veuen compromeses. Aquesta qualificació no és un matís tècnic: determina quines obligacions legals s'activen i en quin termini.
Els escenaris més freqüents en l'àmbit corporatiu són reconeixibles: un ransomware que xifra i exfiltra bases de dades, l'accés no autoritzat a un CRM després d'un robatori de credencials, l'enviament erroni d'un fitxer amb dades a un destinatari equivocat, la pèrdua d'un portàtil o dispositiu sense xifrar, o la publicació indeguda d'informació per error de configuració. En tots ells hi ha dades personals afectades i, per tant, obligacions a complir.
La seva organització té un protocol de resposta a bretxes verificat? Sol·liciti una revisió sense compromís i analitzem la seva exposició juntament amb el seu programa d'assegurances.
Quant de temps tinc per notificar una bretxa a l'AEPD?
És la pregunta que marca el rellotge. L'article 33 del RGPD estableix que el responsable del tractament ha de notificar la bretxa a l'autoritat de control competent —a Espanya, l'AEPD— sense dilació indeguda i, si és possible, com a molt tard 72 hores després d'haver-ne tingut constància.
El termini compta des que l'empresa té constància de la bretxa, no des que es va produir. I admet una excepció rellevant: no és obligatori notificar quan sigui improbable que la violació suposi un risc per als drets i llibertats de les persones físiques. Aquesta valoració de risc s'ha de documentar: si es decideix no notificar, cal poder justificar-ne el motiu.
Si la notificació no es fa en 72 hores, el RGPD permet fer-la més tard acompanyada dels motius de la dilació, i fins i tot de manera esglaonada quan no es disposa de tota la informació de cop. En tot cas, el responsable ha de documentar internament tota bretxa —fets, efectes i mesures correctores— en un registre que l'AEPD pot requerir. Aquest registre és, a la pràctica, la prova de diligència de l'organització.
Un matís operatiu per a grans comptes: quan la seva empresa actua com a encarregada del tractament d'un client, no notifica a l'AEPD directament, sinó que ha d'avisar el responsable sense dilació indeguda perquè aquest compleixi el termini. La cadena contractual importa tant com el rellotge.
Quan s'ha de comunicar la bretxa als afectats?
La segona obligació és diferent de la primera i té un llindar més alt. L'article 34 del RGPD exigeix comunicar la bretxa als interessats —les persones les dades de les quals s'han vist compromeses— quan sigui probable que comporti un alt risc per als seus drets i llibertats, també sense dilació indeguda.
No tota bretxa notificable a l'AEPD es comunica als afectats: l'AEPD es notifica davant un risc; als afectats se'ls avisa només davant un alt risc. La comunicació ha d'emprar un llenguatge clar i descriure la naturalesa de la bretxa, les possibles conseqüències i les mesures adoptades o proposades.
El mateix article 34 preveu excepcions en què no cal comunicar als afectats, entre elles: que el responsable hagi aplicat mesures de protecció que facin les dades inintel·ligibles —típicament, xifrat robust— per a qui no hi estigui autoritzat; que s'hagin pres mesures posteriors que eliminin la probabilitat d'alt risc; o que la comunicació individual suposi un esforç desproporcionat, cas en què es recorre a una comunicació pública equivalent. L'AEPD pot, a més, exigir la comunicació si considera que el risc és alt.
Necessita ordenar les seves obligacions abans que passi un incident? Parlem de la seva situació. Coordinem l'assegurança amb el seu pla de resposta.
Sancions per incompliment
L'article 83 del RGPD gradua les sancions administratives en dos nivells, segons l'obligació incomplerta:
- Fins a 10.000.000 € o, en el cas d'una empresa, el 2 % de la facturació anual global de l'exercici anterior, la quantia que sigui més gran. En aquest nivell entren, entre altres, les infraccions de les obligacions de seguretat i de notificació de bretxes (arts. 33 i 34).
- Fins a 20.000.000 € o el 4 % de la facturació anual global, la quantia que sigui més gran, per a les infraccions més greus (principis del tractament, drets dels interessats, transferències internacionals).
La quantia no és arbitrària. L'article 83.2 obliga a graduar cada sanció atenent, entre altres factors, a la naturalesa, gravetat i durada de la infracció, el seu caràcter intencional o negligent, les mesures adoptades per mitigar els danys, la cooperació amb l'autoritat i les categories de dades afectades. A la pràctica, una resposta diligent i ben documentada és un factor atenuant; l'absència de protocol, un agreujant. A Espanya, la Llei Orgànica 3/2018 (LOPDGDD) complementa el règim sancionador del RGPD.
No es tracta de dramatitzar la xifra, sinó de dimensionar l'exposició: per a un gran compte, el 4 % de la facturació global pot superar amb escreix el sostre nominal de 20 M€. És una magnitud que correspon al comitè de direcció, no només al departament de sistemes.
Com respondre a una bretxa, pas a pas
La qualitat de la resposta —i el seu cost— depèn d'haver-la preparat abans. Un protocol ordenat segueix, en essència, aquestes fases:
- Contenció. Aïllar els sistemes afectats, revocar accessos compromesos i aturar la propagació. L'objectiu és limitar l'abast abans d'investigar.
- Anàlisi forense. Determinar què va passar, quines dades s'han vist afectades i a quantes persones. D'aquí surt la informació que exigeix la notificació i la valoració de risc.
- Decisió de notificació. Amb els fets al davant, decidir —i documentar— si escau notificar a l'AEPD (art. 33) i si el risc és alt per comunicar als afectats (art. 34), respectant les 72 hores.
- Comunicació. Preparar i executar les comunicacions a l'autoritat, als afectats i, quan correspongui, la resposta pública, amb un missatge clar i coherent.
- Lliçons apreses. Tancar la bretxa amb mesures correctores, actualitzar el registre intern i revisar controls per reduir la reincidència.
Cada fase consumeix recursos especialitzats —forenses, advocats, comunicació— que la majoria d'organitzacions no tenen en plantilla. Aquí és on la cobertura asseguradora deixa de ser teòrica.
La ciberassegurança cobreix les sancions i els costos d'una bretxa?
L'assegurança de ciberseguretat per a empreses està dissenyada, en bona part, per finançar precisament aquesta resposta. Sense repetir aquí el detall de cobertures del pilar, davant una bretxa sol intervenir, segons pòlissa, en diversos fronts:
- Gestió de crisi i anàlisi forense: els serveis tècnics que determinen abast i causa de l'incident.
- Assessoria legal de notificació: el suport jurídic per complir els terminis i continguts dels articles 33 i 34.
- Costos de comunicació als afectats: notificació individual, centres d'atenció i, si escau, serveis de monitoratge per als interessats.
- Responsabilitat civil davant reclamacions de tercers que es considerin perjudicats per la bretxa.
- Defensa jurídica i, allà on sigui legalment assegurable, les sancions: l'assegurabilitat de les multes administratives del RGPD depèn de la jurisdicció i de la pòlissa, un punt que convé verificar cas per cas.
La paraula clau és assegurabilitat: no en totes les jurisdiccions ni en totes les pòlisses la sanció administrativa és assegurable, i aquest és un extrem que no s'ha de donar per descomptat. El que sí que sol estar cobert —forense, legal, comunicació i responsabilitat davant afectats— representa el gruix del cost real d'una bretxa. Enquadrem aquest ram dins el conjunt de les nostres àrees de cobertura per a grans comptes, coordinat amb la resta del programa.
Com a corredoria independent, comparem l'abast de les cobertures de resposta a bretxes entre companyies abans de recomanar-ne una, perquè el diable és en les exclusions i en els sublímits. La ciberassegurança no substitueix el compliment del RGPD: el finança i l'acompanya.
Preguntes freqüents
En quant de temps s'ha de notificar una bretxa de dades? A l'AEPD, sense dilació indeguda i com a molt tard en 72 hores des que se'n té constància (art. 33 RGPD), tret que sigui improbable que suposi un risc per als afectats.
L'assegurança paga les multes del RGPD? Només allà on les sancions administratives siguin legalment assegurables; la ciberassegurança sol cobrir defensa jurídica, gestió i responsabilitat davant els afectats. L'assegurabilitat de la multa depèn de la jurisdicció i de la pòlissa.
Cal avisar sempre els afectats? No sempre: només quan la bretxa comporti alt risc per als seus drets (art. 34 RGPD); hi ha excepcions (p. ex. dades xifrades inintel·ligibles).
Quina diferència hi ha entre un incident de seguretat i una bretxa de dades? No tot incident és bretxa; hi ha bretxa quan afecta dades personals (destrucció, pèrdua, alteració o accés no autoritzat). La qualificació determina les obligacions.
Fonts i normativa
- Reglament (UE) 2016/679 (RGPD), articles 4.12 (definició de violació de la seguretat de les dades), 33 (notificació a l'autoritat de control), 34 (comunicació als interessats) i 83 (condicions per a la imposició de multes administratives).
- Llei Orgànica 3/2018, de 5 de desembre (LOPDGDD) — desenvolupament i règim sancionador a Espanya.
- Agència Espanyola de Protecció de Dades (AEPD) — guia i sistema de notificació de bretxes de seguretat de les dades personals.
- ENISA (Agència de la Unió Europea per a la Ciberseguretat) — recomanacions sobre gestió d'incidents i notificació de bretxes.
New Brokers és una corredoria d'assegurances independent inscrita en el registre de la DGSFP amb la clau J0140. Aquest contingut és orientatiu i no constitueix assessorament jurídic ni vinculant; les cobertures, garanties i condicions es regeixen per cada pòlissa i companyia. Treballem per mandat del client, amb accés a tot el mercat —inclòs Lloyd's— i defensa en el sinistre.
Vol ordenar les seves obligacions davant una bretxa i l'assegurança que les finança? Sol·liciti l'anàlisi de la seva exposició al ciberrisc. Comparem el mercat per vostè.
