Gestión de brechas

El RGPD en la práctica: cumplimiento y sanciones

Mamnoon Hadi

Head of Analytics & Insights at Readdle

Caso práctico: infracción del RGPD por Marriott

 

Descubrimiento de la brecha: en septiembre de 2018, Marriott International detectó accesos no autorizados en la base de reservas de Starwood desde 2014

Datos comprometidos: se expuso información personal de aprox. 500 millones de huéspedes: nombres, direcciones, teléfonos, emails, números de pasaporte, fechas de nacimiento, género y datos de tarjetas

Notificación tardía: Marriott no avisó a la ICO en las 72 horas exigidas por el RGPD. Este retraso provocó fuerte escrutinio y una multa considerable

1 ico.org.uk
El RGPD en la práctica: cumplimiento y sanciones

Artículo 33: Notificación a la autoridad de control

  • Requisito clave:

    • Notificar a la autoridad de control sin dilación indebida y en 72 horas desde que se tenga conocimiento de una brecha de datos personales

  • Información a proporcionar:

    • Naturaleza de la brecha: qué pasó y cómo se descubrió
    • Categorías de interesados afectados (p. ej., clientes, empleados)
    • Tipos de datos personales afectados
    • Posibles consecuencias
    • Medidas adoptadas o previstas: pasos para mitigar la brecha y prevenir incidentes futuros
El RGPD en la práctica: cumplimiento y sanciones

Artículo 34: Comunicación a los interesados

  • Cuándo hay que notificar a los interesados:

    • Si la brecha puede suponer un alto riesgo para los derechos y libertades, se debe informar sin demora a las personas afectadas

  • Contenido de la notificación:

    • Naturaleza de la brecha: explicación clara y en lenguaje sencillo
    • Consecuencias potenciales (p. ej., fraude, robo de identidad)
    • Pasos dados por la organización para contener la brecha
    • Recomendaciones para las personas afectadas: acciones a seguir (p. ej., cambiar contraseñas, vigilar cuentas bancarias)
    • Datos de contacto: punto de contacto designado para ayuda adicional
El RGPD en la práctica: cumplimiento y sanciones

Caso práctico: impacto — infracción de Marriott

Sanción económica:

  • En octubre de 2020, la ICO del Reino Unido multó a Marriott International con 18,4 millones de libras

Daño reputacional:

  • Estas brechas dañan la reputación y, además, el incumplimiento de los procedimientos RGPD estándar agrava la pérdida de confianza y de marca

Impacto operativo y costes:

  • Marriott asumió casi 30 millones de dólares en gastos de recuperación: investigación, notificación a clientes, un año de software de monitoreo y un centro de llamadas internacional
El RGPD en la práctica: cumplimiento y sanciones

Buenas prácticas para gestionar brechas de datos

planprocedure.png

El RGPD en la práctica: cumplimiento y sanciones

Buenas prácticas para gestionar brechas de datos

Implementa planes sólidos de respuesta a incidentes: define planes para actuar con rapidez ante brechas

Forma al personal: capacita en principios de protección de datos y cómo reportar brechas

Mantén canales de comunicación claros: comunica a tiempo y con transparencia a autoridades y personas afectadas

Revisa las medidas de seguridad con regularidad: evalúa y mejora continuamente los protocolos

response.png

Análisis de causa raíz y documentación: identifica causas y mantén registros detallados

El RGPD en la práctica: cumplimiento y sanciones

¡Vamos a practicar!

El RGPD en la práctica: cumplimiento y sanciones

Preparing Video For Download...