Plan de contingencia ante una brecha de seguridad de datos médicos: el protocolo de 72 horas

Desde el momento en que el responsable del tratamiento tiene constancia razonable de que se ha producido una violación de seguridad, no desde que se confirma el alcance completo. Esperar a tener todas las respuestas antes de empezar a contar el plazo es un error habitual que puede llevar a notificar tarde, incluso con buena intención. Muchos centros interpretan mal este punto pensando que necesitan un informe forense completo antes de poder comunicar nada, cuando en realidad la norma espera una notificación inicial con lo que se sabe en ese momento, actualizable después.

No en todos los casos: la obligación de notificar aplica cuando la violación de seguridad supone un riesgo para los derechos y libertades de las personas afectadas. Un incidente que no llega a ese umbral puede no requerir notificación formal, pero conviene documentarlo internamente igualmente y, ante la duda, es más seguro consultarlo con un delegado de protección de datos que asumir por cuenta propia que no hace falta notificar. Esa consulta previa, además, deja constancia de que el centro actuó con diligencia razonable, algo que pesa a favor si la situación se revisa después.

Se puede improvisar, pero con mucho más riesgo de errores y de plazos incumplidos. Tener un protocolo escrito de antemano no evita el incidente, pero sí evita perder las primeras horas críticas decidiendo quién hace qué. Si tu clínica no tiene uno todavía, esta guía puede servir de punto de partida para redactarlo antes de que haga falta usarlo de verdad. No hace falta un documento extenso: unas pocas páginas con los roles, los primeros pasos y los contactos clave ya marcan una diferencia enorme frente a no tener nada escrito.

El registro de accesos del sistema es la fuente principal: permite reconstruir qué expedientes se consultaron, cuándo y desde qué origen durante la ventana temporal del incidente. Sin ese registro, delimitar el alcance real es mucho más difícil y obliga a asumir un alcance más amplio por precaución, con el coste reputacional añadido que eso conlleva. Un registro de accesos fiable, mantenido como práctica habitual del día a día y no como algo que se activa solo cuando ya ha pasado algo, es la diferencia entre reconstruir el incidente con datos concretos o con una estimación aproximada que nadie puede defender del todo.

Sí. La responsabilidad del RGPD recae en el responsable del tratamiento, independientemente de que el ataque sea externo. Lo que la AEPD evalúa no es si hubo un ataque, sino si el centro tenía medidas de seguridad razonables para prevenirlo y si actuó correctamente una vez detectado, incluyendo el cumplimiento del plazo de notificación. Un centro que puede demostrar que tenía cifrado, control de accesos y un protocolo de respuesta claro parte de una posición mucho más sólida que uno que no puede acreditar ninguna de estas medidas mínimas.

Idealmente, el delegado de protección de datos del centro, si lo tiene, o la persona designada en el protocolo interno para esta función. La notificación tiene que ser precisa y evitar tanto minimizar como exagerar el alcance, así que conviene que la redacte alguien con conocimiento tanto del incidente técnico como de los requisitos legales de la notificación. La AEPD proporciona un formulario en su sede electrónica que guía los campos obligatorios, pero el contenido —qué datos se vieron expuestos, cuántos afectados se estiman y qué medidas se han tomado— lo tiene que aportar la clínica, y eso exige haber investigado antes de rellenar.

Especialmente. Una clínica pequeña no tiene un equipo de seguridad dedicado, así que tener decidido de antemano quién asume cada rol —aunque sea una sola persona con varios roles— es todavía más importante que en un centro grande con más recursos para improvisar sobre la marcha. En una consulta de dos o tres personas, el protocolo puede caber en una página, pero esa página marca la diferencia entre actuar en orden dentro de las 72 horas o perder las primeras horas decidiendo a quién llamar. El tamaño del centro no reduce las obligaciones legales: la AEPD aplica el mismo RGPD a una clínica de un profesional que a un hospital.

El plazo de 72 horas sigue corriendo independientemente del día de la semana, así que el protocolo interno tiene que prever cómo actuar fuera del horario laboral habitual. Tener claro quién puede tomar decisiones de contención sin esperar al lunes es parte de lo que distingue un protocolo bien pensado de uno que solo funciona en condiciones ideales. Un protocolo que solo funciona en horario de oficina no es realmente un protocolo de contingencia: es una buena intención con un hueco importante sin cubrir, precisamente en el tipo de momento en que más falta hace.