Qué hacer ante una brecha de datos en tu clínica

1. Qué es legalmente una brecha de datos: definición del art. 4.12 del RGPD

El art. 4.12 del RGPD define la violación de la seguridad de los datos personales como «toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos». Esta definición es amplia a propósito y cubre tres categorías, que la AEPD detalla en su guía de notificación de brechas de datos personales: (1) Brecha de confidencialidad: acceso no autorizado o divulgación de datos (p. ej., un ataque de ransomware —el programa que secuestra los datos— con exfiltración de datos, un USB perdido con datos de pacientes, un correo electrónico con la historia clínica adjunta enviado a un destinatario equivocado o el acceso indebido de un empleado a fichas de pacientes que no tiene asignados). (2) Brecha de integridad: alteración no autorizada o accidental de datos (p. ej., la modificación maliciosa del registro de un paciente, la corrupción de la base de datos por malware —programas maliciosos— o errores sistemáticos del software que alteran datos). (3) Brecha de disponibilidad: pérdida de acceso o destrucción de datos (p. ej., ransomware sin pago del rescate y sin copia de seguridad, un disco duro dañado sin copia recuperable o el borrado accidental de datos críticos por un empleado). Una misma brecha puede afectar a más de una categoría: un ransomware que cifra los datos y además los exfiltra afecta a la disponibilidad y a la confidencialidad. La obligación de notificar en 72 horas se aplica a las tres categorías, salvo que sea improbable que la brecha constituya un riesgo para los derechos y las libertades de las personas afectadas.

2. Primeras 24 horas: lista de comprobación operativa de respuesta

Las primeras 24 horas son críticas, porque el plazo de 72 horas corre desde que se tiene constancia del incidente, también en fin de semana o festivo. Pasos en el orden recomendado: (1) Detectar y confirmar el incidente: normalmente alguien (un empleado, el sistema de monitorización o un cliente externo) comunica una anomalía, y el responsable de seguridad confirma que es una brecha real y no un falso positivo. (2) Contención inmediata: aislar los sistemas afectados (desconectarlos de la red, revocar los accesos con credenciales comprometidas, pausar los procesos automáticos afectados) sin destruir evidencia forense. (3) Activar el comité de crisis: responsable de seguridad o de informática, delegado de protección de datos (DPD) —obligatorio en los centros sanitarios legalmente obligados a mantener historias clínicas, salvo los profesionales que ejercen a título individual (art. 34.1.l de la LOPDGDD)—, dirección clínica, asesor legal externo y soporte técnico forense (propio o externo). (4) Documentación inicial: registro de las marcas de tiempo, descripción del incidente, sistemas afectados conocidos, vector de ataque sospechado y primeras estimaciones de la afectación. (5) Preservación de la evidencia: imagen forense del disco, registros de los sistemas y capturas de pantalla. NO modificar los sistemas afectados hasta que el análisis forense complete su primera fase. (6) Comunicación interna: informar al personal que necesite saberlo, evitar el pánico y evitar cualquier comunicación externa sin coordinar. (7) Denunciar y avisar a quien corresponda: si el ataque es delictivo, INCIBE (Instituto Nacional de Ciberseguridad) aconseja denunciarlo ante el Grupo de Delitos Telemáticos de la Guardia Civil o ante la Brigada Central de Investigación Tecnológica (BCIT) de la Policía, y su Línea de Ayuda en Ciberseguridad (017, gratuita y confidencial) puede orientarte; avisa también a la aseguradora de ciberriesgo si hay póliza activa, según las condiciones de la póliza. (8) Iniciar la evaluación formal de riesgo del art. 33.1 del RGPD para decidir si se notifica a la AEPD.

3. Cuándo notificar a la AEPD: evaluación del riesgo (art. 33)

El art. 33.1 del RGPD establece la obligación de notificar a la AEPD «a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas». El riesgo que cuenta es el de las personas afectadas, no el de la clínica. Para valorarlo, la guía de la AEPD y las Directrices 9/2022 del Comité Europeo de Protección de Datos (CEPD) piden mirar, entre otros factores, el tipo de brecha, la naturaleza, el carácter sensible y el volumen de los datos, la facilidad de identificar a las personas y la gravedad de las consecuencias. En el sector sanitario el umbral de notificación es bajo: esas directrices indican que, cuando la brecha afecta a datos relativos a la salud, se considerará probable que se produzcan daños y perjuicios para las personas, y que con categorías especiales de datos (art. 9) el daño potencial puede ser especialmente grave. Casos en los que la notificación será, en la práctica, casi siempre obligatoria: (1) Cualquier brecha de confidencialidad que afecte a historias clínicas, diagnósticos, prescripciones o imágenes médicas. (2) Exposición de datos identificativos de pacientes combinados con cualquier dato de la categoría de salud (incluso solo «es paciente de la clínica» puede ser un dato de categoría especial del art. 9 si revela un tratamiento específico). (3) Acceso no autorizado a sistemas con datos de pacientes incluso sin extracción confirmada (lo prudente es presumir la extracción mientras no se pueda descartar con certeza). (4) Pérdida de un dispositivo (portátil, USB, móvil, papel) con datos de pacientes sin cifrar o con un cifrado cuya calidad no se pueda acreditar. Si el cifrado es seguro, la clave no está comprometida y existe otra copia de los datos, el CEPD entiende que puede no ser necesario notificar, pero hay que documentar el caso (art. 33.5) y reevaluarlo si más tarde se descubre que la clave o el cifrado estaban comprometidos. Casos en los que puede no ser necesaria la notificación, siempre tras evaluar el riesgo y dejarlo documentado: (1) Brecha de disponibilidad en la que se descarta con certeza la exfiltración y los datos y los sistemas se restablecen desde una copia de seguridad verificada sin afectar de forma significativa a los servicios (la guía de la AEPD considera adecuadamente mitigado el riesgo en ese supuesto); ojo, el CEPD advierte de que, en un hospital, perder aunque sea temporalmente el acceso a datos médicos críticos ya puede suponer un riesgo, y la clínica debe valorar si ocurre algo equivalente con sus pacientes. (2) Correo o documento enviado por error a un destinatario de confianza (por ejemplo, un proveedor habitual) que confirma por escrito que lo ha devuelto o destruido sin abrirlo: el CEPD admite tenerlo en cuenta en la evaluación del riesgo, algo que no ocurre con un destinatario desconocido. (3) Datos realmente anonimizados: la información anónima queda fuera de los principios de protección de datos (considerando 26 del RGPD), pero la seudonimización no basta, porque los datos seudonimizados siguen siendo datos personales. La AEPD ofrece gratis la herramienta Asesora Brecha para orientar la decisión, que sigue siendo del responsable.

4. Cómo notificar a la AEPD: plataforma electrónica y contenido mínimo

La notificación se hace por vía electrónica. Quienes están obligados a relacionarse por medios electrónicos con la Administración —entre otros, las personas jurídicas y quienes ejercen una profesión de colegiación obligatoria (art. 14.2 de la Ley 39/2015)— deben notificar de forma electrónica, preferentemente con el formulario de notificación de brechas de datos personales de la sede electrónica de la AEPD (www.aepd.es). Según su guía (versión de junio de 2021), para acceder hace falta un certificado electrónico reconocido (como el del DNI electrónico o los de la Fábrica Nacional de Moneda y Timbre) o los sistemas Cl@ve que admita la sede; consigue el acceso antes de necesitarlo, porque la guía recuerda que quien debe notificar también debe prever los medios para hacerlo en forma y plazo. Contenido mínimo, según el art. 33.3 del RGPD: (1) Descripción de la naturaleza de la brecha: categorías de datos afectados, categorías y número aproximado de interesados afectados, y categorías y número aproximado de registros de datos. (2) Nombre y datos de contacto del DPD o, en su defecto, de otro punto de contacto donde obtener más información. (3) Consecuencias probables de la brecha. (4) Medidas adoptadas o propuestas para resolver la brecha, incluidas las destinadas a mitigar sus posibles efectos negativos. Si no se dispone de toda la información en 72 horas, el art. 33.4 permite facilitarla de manera gradual y sin dilación indebida: la AEPD prevé una notificación «inicial», con la información preliminar de que se disponga, y una «modificación» posterior antes de 30 días hábiles desde la inicial. Si la notificación se presenta pasadas las 72 horas, debe acompañarse de los motivos de la dilación (art. 33.1). Es preferible notificar de forma parcial a esperar a tenerlo todo y superar el plazo: el art. 33.4 del RGPD permite una notificación inicial con la información de que se disponga, siempre que el resto se facilite sin dilación indebida. Lo que tipifica la LOPDGDD es la notificación incompleta, tardía o defectuosa, como infracción leve (art. 74.m), y no notificar, como infracción grave (art. 73.r); por eso conviene completar la información cuanto antes y no dejarla a medias. Al fijar la sanción, el art. 83.2 del RGPD manda tener en cuenta, entre otros factores, el grado de cooperación con la autoridad y la forma en que esta tuvo conocimiento de la infracción, en particular si se le notificó y en qué medida.

5. Cuándo comunicar además a los pacientes (art. 34)

El art. 34.1 del RGPD obliga a comunicar la brecha a las personas afectadas, sin dilación indebida, cuando sea probable que entrañe un alto riesgo para sus derechos y libertades; el umbral es más alto que el de la notificación a la AEPD. No hace falta comunicarla si los datos eran ininteligibles para quien accedió a ellos (por ejemplo, por un cifrado seguro), si medidas posteriores garantizan que ese alto riesgo ya no es probable o si supondría un esfuerzo desproporcionado, caso en el que debe sustituirse por una comunicación pública u otra medida igual de eficaz (art. 34.3). Además, la AEPD puede ordenar la comunicación (art. 58.2.e). La tabla es orientativa: parte de que los datos son de salud y de los hechos tal como se describen, y basta cambiar uno (por ejemplo, que el archivo estuviera bien cifrado) para que cambie la conclusión. La AEPD ofrece gratis Comunica Brecha, una herramienta para valorar la comunicación a los afectados, que no sustituye la valoración del responsable.

6. Comunicación a los pacientes: qué decir y qué evitar

Cuando hay que comunicar la brecha a los pacientes, el art. 34.2 del RGPD exige describir la brecha «en un lenguaje claro y sencillo», sin tecnicismos opacos, y fija como contenido mínimo el contacto del DPD (o de otro punto de contacto), las posibles consecuencias y las medidas adoptadas o propuestas. La guía de la AEPD añade que la comunicación debe hacerse preferentemente de forma directa (por teléfono, correo electrónico, SMS o correo postal) y que una comunicación incompleta, de difícil acceso o dirigida a las personas equivocadas podría considerarse no realizada. Estructura recomendada de la comunicación: (1) Identificación clara del incidente: qué pasó, cuándo y cuánto duró, si se conoce. (2) Categorías de datos afectados, concretas para ese paciente: «su nombre, DNI, datos de contacto e historial de tratamientos 2023-2026» es mejor que «datos personales». (3) Consecuencias probables para el paciente: suplantación de identidad, phishing dirigido, uso de los datos para fraude, etc. (4) Medidas adoptadas por la clínica: técnicas, organizativas, análisis forense, cooperación con la AEPD y denuncia policial si procede. (5) Recomendaciones de actuación para el paciente: cambiar las contraseñas si las compartía con la clínica, vigilar los movimientos bancarios, estar alerta ante el phishing, etc. (6) Datos de contacto del DPD o del responsable de seguridad para consultas adicionales. (7) Disculpa sincera, sin minimizar el incidente. Lo que hay que evitar: un lenguaje legal hermético que oculte la gravedad, la minimización indebida del riesgo real, culpar a terceros sin transparencia propia y prometer compensaciones que luego no se cumplan. La transparencia honesta, aunque resulte dolorosa a corto plazo, es lo único que preserva la confianza del paciente a largo plazo.

7. Documentación interna: registro de brechas obligatorio

El art. 33.5 del RGPD obliga al responsable del tratamiento a documentar TODAS las violaciones de seguridad, incluidas las que NO requieren notificación a la AEPD, con los hechos relacionados con ellas, sus efectos y las medidas correctivas adoptadas; no hacerlo es una infracción leve (art. 74.n de la LOPDGDD). Esta documentación interna no se presenta habitualmente a la AEPD, pero debe permitirle verificar el cumplimiento del art. 33, así que tiene que estar disponible en caso de inspección o auditoría. Contenido recomendado del registro (la ley exige como mínimo los hechos, sus efectos y las medidas correctivas): (1) Identificación del incidente: identificador interno, fecha de detección y fecha estimada de origen. (2) Descripción detallada: qué pasó, vector de ataque o causa raíz, sistemas afectados y datos comprometidos. (3) Evaluación de riesgo: análisis del art. 33 documentado y justificación de la decisión de notificar o no a la AEPD. (4) Medidas técnicas y organizativas adoptadas: contención, análisis forense, corrección y prevención futura. (5) Comunicaciones realizadas a la AEPD, a los pacientes y a otras autoridades, cada una si procede, con su marca de tiempo. (6) Lecciones aprendidas: qué cambios de procesos o de tecnología se aplican para evitar que se repita. (7) Costes derivados: forenses, jurídicos, técnicos, de comunicación, compensaciones y multas. El registro es una prueba clave en cualquier inspección posterior de la AEPD: el art. 83.2 del RGPD manda valorar, entre otros factores, las medidas adoptadas para paliar los daños y el grado de cooperación con la autoridad, y un registro ordenado ayuda a acreditar ambas cosas; además, la guía de la AEPD presenta la notificación en tiempo y forma como una evidencia de diligencia.

8. Análisis forense del incidente: qué hacer y qué NO hacer

El análisis forense determina el alcance real de la brecha, su causa raíz y la base de la prueba digital en un eventual procedimiento sancionador o penal. Buenas prácticas del análisis forense: (1) Preservar la evidencia desde el minuto 1: imágenes forenses bit a bit de los discos afectados, captura de los registros de los sistemas, cronología de los eventos y cadena de custodia documentada. (2) Contratar un equipo forense externo, de una empresa especializada en respuesta a incidentes (INCIBE mantiene un catálogo de empresas y soluciones de ciberseguridad donde buscar proveedores; comprueba que el elegido ofrece análisis forense), si el equipo interno no tiene capacidad demostrable. El coste depende del alcance: pide presupuesto antes de necesitarlo. (3) Análisis centrado en responder las preguntas críticas: ¿cómo entró el atacante? ¿A qué datos accedió o cuáles exfiltró? ¿Qué puertas traseras dejó? ¿Qué movimientos laterales hizo? ¿Desde cuándo está presente? (4) Informe forense formal, entregable a la AEPD si lo solicita: estructurado, objetivo y sin especulaciones sin evidencia. NO hacer: (1) Modificar los sistemas afectados antes de preservar la evidencia (se pierde la cadena de custodia). (2) Reinstalar los sistemas afectados sin análisis previo (se pierden indicios). (3) Pagar el rescate de un ransomware: INCIBE aconseja no pagarlo nunca, porque no garantiza recuperar el acceso a los datos, puede provocar nuevos ataques y peticiones mayores y alimenta el negocio de los delincuentes; antes de nada, comprueba si existe una herramienta de descifrado gratuita en el proyecto No More Ransom, que INCIBE recomienda consultar. (4) Comunicar al exterior sin coordinarse con el equipo forense (puede alertar al atacante y hacer que modifique su comportamiento), aunque eso no debe retrasar la notificación a la AEPD ni la comunicación a los afectados, que tienen sus propios plazos.

9. Multas posibles: importes máximos y criterios para fijarlas

Para las infracciones de los arts. 32 (seguridad del tratamiento), 33 (notificación a la autoridad) y 34 (comunicación al afectado), el art. 83.4 del RGPD prevé multas de hasta 10 millones de euros o, tratándose de una empresa, de hasta el 2 % del volumen de negocio total anual global del ejercicio anterior, aplicándose la cuantía mayor. El techo sube a 20 millones o al 4 % (art. 83.5) si se vulneran los principios básicos del tratamiento, entre ellos el de integridad y confidencialidad (art. 5.1.f), o si se incumple una orden de la AEPD, como la de comunicar la brecha a los afectados. En la LOPDGDD, tratar datos personales vulnerando los principios del art. 5 del RGPD es infracción muy grave (art. 72.1.a), una categoría por encima de las graves y las leves que se detallan más abajo. Son máximos, no importes habituales: el art. 83.1 exige que las multas sean efectivas, proporcionadas y disuasorias. No damos rangos «típicos» de sanciones: cada resolución depende de las circunstancias de cada caso individual (art. 83.2 del RGPD). La LOPDGDD clasifica las conductas: son infracciones graves no notificar la brecha a la AEPD (art. 73.r), no adoptar las medidas de seguridad apropiadas al riesgo (art. 73.f) y no comunicar la brecha al afectado cuando la AEPD lo ha requerido (art. 73.s); son infracciones leves la notificación incompleta, tardía o defectuosa (art. 74.m), no documentar la brecha (art. 74.n) y no comunicarla a los afectados cuando había alto riesgo y no hubo requerimiento (art. 74.ñ). Notificar no supone por sí mismo una sanción: la guía de la AEPD lo presenta como una evidencia de diligencia. Factores agravantes (algunos de los que enumeran el art. 83.2 del RGPD y el art. 76.2 de la LOPDGDD): (1) No notificar, o hacerlo tarde sin justificación (art. 83.2.h). (2) Una brecha causada por la ausencia de medidas de seguridad básicas (sin cifrado, sin copia de seguridad, sin parches críticos, contraseñas débiles), que pesa en la negligencia y en el grado de responsabilidad (art. 83.2.b y d). (3) Falta de cooperación en la investigación de la AEPD (art. 83.2.f). (4) Infracciones anteriores (art. 83.2.e). (5) Afectar a categorías especiales de datos, como los de salud (art. 83.2.g) y, según el art. 76.2 de la LOPDGDD, el carácter continuado de la infracción o la afectación a menores. Factores atenuantes: (1) Notificación voluntaria y proactiva antes de que la detecte la AEPD (art. 83.2.h). (2) Cooperación total en la investigación (art. 83.2.f). (3) Medidas inmediatas y completas para paliar los daños de los afectados, incluida una compensación voluntaria (art. 83.2.c). (4) Un plan de prevención sólido tras el incidente, que puede valorarse como otro factor atenuante (art. 83.2.k). (5) No tener infracciones anteriores (art. 83.2.e).

10. Cooperación con la AEPD: cómo manejar la inspección

Tras la notificación de 72 horas, la AEPD puede abrir actuaciones previas de investigación (art. 67 de la LOPDGDD) y, después, un procedimiento que puede acabar en sanción, en otras medidas correctoras del art. 58.2 del RGPD (como un apercibimiento o una orden de ajustar el tratamiento) o en archivo. Una cooperación efectiva incluye: (1) Designar un punto de contacto único en la clínica (DPD o asesor legal) para todas las comunicaciones con la AEPD; así se evitan mensajes contradictorios. (2) Estar atento a las notificaciones electrónicas de la AEPD: se ponen a disposición en la sede electrónica o en la Dirección Electrónica Habilitada y, cuando la notificación electrónica es obligatoria, se entienden rechazadas a los diez días naturales sin acceder a ellas (art. 43.2 de la Ley 39/2015); encarga a alguien que las revise a diario. (3) Responder a los requerimientos de información en los plazos otorgados y, si hace falta más tiempo, solicitar la ampliación del plazo antes de que venza: la Administración puede concederla por un máximo de la mitad del plazo (art. 32 de la Ley 39/2015). (4) Entregar la documentación completa que se pida: registro de actividades de tratamiento (art. 30 del RGPD, que una clínica no puede omitir porque trata datos de salud), evaluaciones de impacto si aplican, auditorías de seguridad, contratos con encargados del tratamiento y evidencia de la formación de los empleados. (5) Colaborar con la investigación: los particulares están obligados a proporcionar a la AEPD los datos, informes, antecedentes y justificantes necesarios (art. 52 de la LOPDGDD), y quienes investigan pueden pedir documentos, inspeccionar y examinar los equipos (art. 53); si la inspección es presencial, acompaña a los inspectores con un representante autorizado de la clínica y documenta las actuaciones realizadas. (6) Ser claro con los hechos demostrados. Si se abre un procedimiento sancionador, reconocer la responsabilidad permite resolverlo con la sanción que proceda (art. 85.1 de la Ley 39/2015) y pagar voluntariamente antes de la resolución lo da por terminado (art. 85.2); cuando la sanción es solo pecuniaria, cada uno de los dos conceptos la reduce al menos un 20 % (se acumulan), a cambio de desistir de cualquier acción o recurso en vía administrativa (art. 85.3). Decídelo con asesoramiento legal: si no reconoces la responsabilidad ni pagas, el procedimiento sigue su curso y conservas el derecho a formular alegaciones (art. 53.1.e) y la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario (art. 53.2.b de esa ley). (7) Presentar voluntariamente las medidas correctoras adoptadas, con evidencia de su implantación. (8) Si se va a recurrir la sanción, ten en cuenta que los actos de la Presidencia de la AEPD ponen fin a la vía administrativa y son recurribles directamente ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional (art. 48.6 de la LOPDGDD): la reposición previa es potestativa (art. 123 de la Ley 39/2015) y se presenta en un mes (art. 124), y el recurso contencioso-administrativo, en dos meses (art. 46.1 de la Ley 29/1998). Si presentas la reposición, no puedes acudir al contencioso hasta que se resuelva expresamente o se desestime por silencio (art. 123.2 de la Ley 39/2015), y el plazo del contencioso empieza a contar entonces desde el día siguiente a la notificación de esa resolución expresa o a aquel en que deba entenderse desestimada la reposición (art. 46.4 de la Ley 29/1998). Conviene contar con asesoramiento legal especializado.

11. Plan de prevención tras la brecha: qué cambiar para que no se repita

El art. 32.1 del RGPD no fija una lista cerrada de medidas ni de plazos: exige medidas técnicas y organizativas apropiadas al riesgo y cita, entre otras, el cifrado, la capacidad de restaurar con rapidez el acceso a los datos tras un incidente y un proceso regular de verificación y evaluación de su eficacia. No adoptarlas puede ser una infracción grave (art. 73.f de la LOPDGDD). Las medidas y las periodicidades de abajo son una propuesta de punto de partida, no obligaciones legales: adáptalas al riesgo de tu clínica.

• Implantar la autenticación multifactor (MFA) en todos los accesos a sistemas críticos, contraseñas robustas con un gestor centralizado y revocación inmediata de los accesos de las bajas
• Cifrado en reposo en todos los dispositivos con datos de pacientes, cifrado en tránsito (TLS, el protocolo que cifra las conexiones) y copias de seguridad cifradas
• Copia de seguridad 3-2-1 (tres copias de los datos, en dos soportes distintos y una de ellas fuera de la clínica) probada cada mes con una restauración real de prueba, con al menos 1 copia sin conexión (aislada) resistente al ransomware
• Parcheo (aplicar las actualizaciones de seguridad) priorizado por la gravedad de la vulnerabilidad (puntuación CVSS, escala estándar de gravedad de vulnerabilidades), con plazos más cortos para las críticas, y auditoría mensual de parches
• Segmentación de la red: sistemas críticos aislados de la red estándar y acceso mediante VPN (red privada virtual) con autenticación multifactor
• Monitorización con un sistema SIEM o EDR (gestión de eventos de seguridad o detección y respuesta en los equipos) y alertas en tiempo real ante eventos sospechosos, con revisión semanal de los registros en busca de anomalías
• Formación anual de los empleados sobre phishing y brechas físicas, y simulacros trimestrales de phishing con resultados
• Política de mínimo privilegio: cada empleado accede solo a los datos estrictamente necesarios para su función, con revisión trimestral de los accesos
• Plan de continuidad del negocio probado cada año, con un simulacro de respuesta a una brecha con todo el equipo
• Contratación de un seguro de ciberriesgo con cobertura forense, jurídica y de comunicación de crisis, comprobando antes qué costes sancionadores quedan o no cubiertos
• Auditoría de seguridad externa anual con una consultora especializada en el sector sanitario, con informe y plan de acción
• Registro de todas las brechas y de los casi incidentes (el de las brechas es obligatorio, art. 33.5), con una revisión mensual y una cultura de análisis posterior sin buscar culpables y de aprendizaje continuo

12. Plantilla de protocolo ante brechas: lista de comprobación accionable para la clínica

Conviene que toda clínica privada tenga un protocolo escrito y accesible para su equipo antes de necesitarlo: con 72 horas de plazo, que cuentan también los fines de semana y los festivos, no hay margen para improvisar. Estructura recomendada: (1) Definiciones: qué se considera una brecha, qué se considera un casi incidente, responsables y canales de contacto. (2) Diagrama de decisión: «ante un evento sospechoso, ¿es una brecha confirmada? ¿Afecta a datos personales? ¿Requiere notificación a la AEPD?», con criterios claros y un árbol de decisión visual. (3) Roles y responsabilidades: quién hace qué en cada fase (responsable de seguridad, DPD, dirección, asesor legal, equipo forense externo y comunicación), incluida la persona que dispone del acceso a la sede electrónica de la AEPD (certificado electrónico o Cl@ve) y dónde está guardado, para no buscarlo en plena crisis. (4) Plantillas de comunicación: borradores de notificación a la AEPD, de comunicación al paciente y de comunicación interna, adaptables con rapidez. (5) Lista de contactos de emergencia: DPD, asesor legal, equipo forense externo, seguro de ciberriesgo, Brigada Central de Investigación Tecnológica de la Policía y Grupo de Delitos Telemáticos de la Guardia Civil, todos con teléfonos disponibles las 24 horas, todos los días. (6) Documentación: plantilla del registro de brechas del art. 33.5 (obligatorio), plantilla de evaluación de riesgo, plantilla de informe forense final y plantilla de lecciones aprendidas. (7) Cronograma posterior al incidente: 0-24 h, 24-72 h, 72 h-1 semana, 1 semana-1 mes y 1-3 meses, con acciones específicas en cada fase. (8) Revisión del protocolo: simulacros anuales y actualización tras cambios normativos o tras cada incidente real.

Para una clínica que trabaje con AI Empire, sus plazos de conservación de los datos de pacientes están en cuánto se conservan los datos de pacientes; el estado de sus copias de seguridad y lo que les falta todavía, en la continuidad del servicio; su procedimiento ante una brecha propia, en qué pasa si hay una brecha; y los proveedores que tratan datos por su cuenta, que también pueden ser origen de una brecha, en la lista de subencargados. Para repasar el resto de lo que la AEPD suele pedir a una clínica, consulta las 22 comprobaciones de protección de datos en una clínica.