Cada vez es más común que grandes empresas españolas –o que operan en España– sufran grandes brechas de seguridad y se filtren datos sensibles de sus usuarios. En los últimos días ha sido Endesa, pero recientemente también ha ocurrido con otros gigantes empresariales, como Iberdrola, Iberia o ING.
«Desde el punto de vista del consumidor, cuando se produce una brecha de seguridad se activan derechos muy concretos. El primero es el de ser informado de forma clara y sin retrasos injustificados. El usuario tiene que saber qué ha ocurrido, qué datos se han visto afectados y a qué riesgos puede enfrentarse, siempre, y esto es importante, a través de comunicados oficiales de la empresa afectada», explica para Escudo Digital Hervé Lambert, Consumer Operation Manager de Panda Security.
El responsable cita también el derecho a la transparencia –a recibir explicaciones sobre lo sucedido comprensibles y que no se queden únicamente en el plano técnico– y el derecho a la protección y mitigación del daño –la empresa debe facilitar medidas para reducir los riesgos, como el cambio de credenciales, alertas de fraude o servicios de protección de identidad si se requiere–. «Cuando la brecha supone un alto riesgo para los afectados, la organización está obligada a informarles directamente a ellos sin demoras y con un lenguaje claro. No vale con un aviso genérico (o no debería)», añade.
Además, el consumidor tiene derecho a reclamar y a exigir responsabilidades si la compañía no ha protegido adecuadamente sus datos o si la brecha le ha causado un perjuicio, según aclara Lambert.
La protección de datos en España se sustenta sobre el derecho fundamental al honor, la intimidad personal y familiar y a la propia imagen, recogido en el artículo 18.1 de la Constitución Española, y se articula en el Reglamento General de Protección de Datos (RGPD). Este último comprende los denominados ‘derechos ARCO-POL’: acceso, rectificación, supresión (cancelación), oposición, portabilidad, olvido y limitación del tratamiento.
Así, la mayoría de los derechos que puede ejercer un consumidor afectado por una brecha de seguridad no surgirían de la brecha en sí, sino que formarían parte del catálogo general de derechos del interesado previsto en los artículos 12 a 22 del RGPD, aclara para este medio Adrián Benito Bentué, asociado senior del área de Mercantil en Andersen.
«Sin embargo, la existencia de una brecha activa otorga derechos específicos, como el derecho a ser informado cuando exista un alto riesgo (art. 34 RGPD), y refuerza la posibilidad de ejercer acciones administrativas y civiles, incluyendo la reclamación de indemnización conforme al artículo 82 del RGPD», matiza.
«En caso de sufrir el responsable de datos un incidente de seguridad los usuarios pueden presentar reclamación ante el organismo de control, la Agencia Española de Protección de Datos o, en su caso, en los organismos autonómicos de control para las Administraciones públicas. La AEPD iniciará un procedimiento de investigación y, en su caso, de sanción, si resultase que la empresa que ha sufrido la brecha ha incumplido alguna de sus obligaciones», aporta Ruth Sala, coordinadora del área de DPD de PymeLegal, firma de abogados especializados en privacidad, propiedad intelectual y derecho tecnológico para empresas.
¿Es posible pedir una indemnización económica?
Una de las grandes preguntas que se están haciendo muchos afectados por el ciberataque de Endesa ahora mismo es si tienen derecho a solicitar una cuantía porque su información personal y financiera se haya filtrado.
Deja una respuesta