Brecha de datos personales

El RGPD define la violación de la seguridad de los datos personales en el art. 4(12) con un alcance amplio: abarca la confidencialidad (filtración o acceso indebido), la integridad (alteración no autorizada) y la disponibilidad (pérdida o destrucción, incluido el ransomware que bloquea registros). La LGPD de Brasil habla de incidente de seguridad (arts. 46 y 48), y el reglamento de la ANPD sobre comunicación de incidentes se refiere a eventos adversos confirmados que afectan esas mismas propiedades.

No toda brecha debe comunicarse. Según el RGPD, el responsable del tratamiento notifica a la autoridad de control salvo que sea improbable un riesgo para las personas, e informa a los interesados cuando el riesgo es alto. Según la LGPD, la comunicación a la ANPD y a los titulares procede cuando el incidente puede causar riesgo o daño relevante. En ambos regímenes el responsable documenta todas las brechas, y el encargado debe avisarle sin dilación.

Ejemplo: un empleado envía a un proveedor equivocado un archivo con datos de salud de clientes. El equipo contiene el incidente, evalúa el riesgo, registra los hechos y decide sobre la notificación.