Si la teva web guarda dades de persones (clients d’una botiga, formularis de contacte, usuaris registrats), un hackeig no és només un problema tècnic: pot ser una bretxa de dades personals segons el Reglament General de Protecció de Dades (RGPD).
Aquest article és informació general, no assessorament legal. Si tens dubtes sobre el teu cas, consulta el teu assessor o el delegat de protecció de dades.
Quan un hackeig és una bretxa de dades?
Una bretxa és qualsevol incident que provoqui la destrucció, pèrdua, alteració, comunicació o accés no autoritzat a dades personals. En una web hackejada, passa per exemple quan:
- L’atacant ha pogut accedir a la base de dades amb clients, comandes o usuaris.
- Hi ha un skimmer que copia les dades de pagament al formulari de compra.
- S’han filtrat o esborrat els missatges del formulari de contacte.
Si la infecció només ha afegit pàgines de spam i no ha tingut accés a dades personals, potser no hi ha bretxa. Però això s’ha de comprovar, no suposar.
El termini de 72 hores
Segons l’article 33 del RGPD, el responsable ha de notificar la bretxa a l’autoritat de control en un màxim de 72 hores des que en té constància, tret que sigui improbable que comporti un risc per a les persones afectades. A Espanya, per a empreses i autònoms, l’autoritat és l’Agència Espanyola de Protecció de Dades (AEPD), que té un formulari de notificació a la seu electrònica. (L’Autoritat Catalana de Protecció de Dades és competent sobretot per al sector públic de Catalunya.)
Si no tens tota la informació en aquest termini, pots notificar el que sàpigues i completar-ho després.
S’ha d’avisar els clients?
Si la bretxa pot comportar un risc alt per a les persones (per exemple, dades de targetes, contrasenyes o informació sensible), l’article 34 obliga a comunicar-los-ho també a elles sense dilació indeguda. L’AEPD ofereix l’eina Comunica-Brecha RGPD per ajudar a decidir-ho.
Encara que no ho notifiquis, documenta-ho
Tota bretxa ha de quedar registrada internament: què va passar, quines dades va afectar, quines conseqüències va tenir i quines mesures vas prendre. És el primer que et demanarien en una inspecció.
Què fer a la pràctica
- No esborris res a la lleugera: cal saber què va passar.
- Neteja la web i tanca l’entrada perquè la bretxa no continuï.
- Esbrina’n l’abast: quines dades estaven exposades i des de quan.
- Decideix amb aquesta informació si cal notificar i a qui.
Quan netegem una web, l’informe final indica quin malware hi havia, per on va entrar i què s’ha fet. És just la informació tècnica que necessites per documentar la bretxa i prendre la decisió amb el teu assessor.