Checklist RGPD: Brechas de Datos

Registro actualizado conforme al Art. 30 RGPD con todos los tratamientos de datos personales, categorias de datos, finalidades y bases legitimadoras.

EIPD realizada para tratamientos de alto riesgo segun Art. 35 RGPD. Incluye analisis de necesidad, proporcionalidad y medidas para mitigar riesgos.

Cifrado en reposo y en transito para datos personales sensibles. AES-256 para almacenamiento, TLS 1.3 para comunicaciones.

Principio de minimo privilegio implementado. Control de acceso basado en roles, autenticacion multifactor y revision periodica de permisos.

Programa de formacion periodica sobre proteccion de datos, deteccion de brechas y protocolo de reporte interno. Registro de asistencia.

Herramientas SIEM/SOC o equivalentes para detectar accesos no autorizados, exfiltracion de datos y anomalias en el tratamiento de datos personales.

Logs de acceso a bases de datos con datos personales. Registro de quien accede, cuando, a que datos y que operacion realiza.

Alertas automatizadas para accesos masivos, horarios inusuales, descargas volumetricas o accesos desde ubicaciones no habituales.

Procedimiento claro para que cualquier empleado o encargado del tratamiento reporte una sospecha de brecha. Canal anonimo disponible.

Metodologia documentada para evaluar el riesgo de la brecha: tipo de datos afectados, volumen, facilidad de identificacion, consecuencias para los afectados.

Criterios claros para decidir si la brecha requiere notificacion a la autoridad de control (Art. 33 RGPD). Plantilla y proceso para cumplir el plazo de 72 horas.

Formulario pre-cumplimentado con datos del responsable, DPO, naturaleza de la brecha, categorias de datos, numero aproximado de afectados y medidas adoptadas.

Procedimiento para evaluar si la brecha requiere comunicacion directa a los interesados. Plantilla de comunicacion con lenguaje claro y recomendaciones.

Registro interno de todas las brechas (notificadas o no) con hechos, efectos y medidas correctivas. Obligatorio por el Art. 33.5 RGPD.

Plan de contencion inmediata: aislar sistemas afectados, revocar accesos comprometidos, preservar evidencias para investigacion forense.

Equipo multidisciplinar designado: DPO, IT/seguridad, juridico, comunicacion. Roles y responsabilidades asignados. Datos de contacto actualizados.

Protocolo de comunicacion interna y externa. Portavoz designado, mensajes clave pre-aprobados, canales de comunicacion y escalado.

DPO interno o externo identificado y con disponibilidad 24/7. Despacho juridico especializado en proteccion de datos con acuerdo de respuesta rapida.

Informe completo con cronologia, causa raiz, datos afectados, impacto real, acciones tomadas y lecciones aprendidas. Aprobado por direccion.

Implementacion de medidas correctivas derivadas del analisis post-brecha. Actualizacion de politicas, procedimientos y controles tecnicos.

Revision de la Evaluacion de Impacto tras la brecha para incorporar nuevos riesgos identificados y validar la eficacia de las medidas existentes.

Sesion de formacion especifica sobre las lecciones aprendidas de la brecha. Actualizacion del programa de concienciacion con los nuevos escenarios.