Recentment s’ha fet públic que la multinacional Endesa ha patit un incident de seguretat que ha afectat dades personals de persones clientes, les quals haurien estat accedides de manera indeguda per un atacant extern. Aquest fet torna a situar en primer pla una realitat incòmoda: cap empresa ni professional està exempt d’un incident de seguretat, independentment de la seva mida o del sector en què opera.
Més enllà de l’impacte mediàtic que genera un cas així quan afecta una gran companyia, l’incident d’Endesa és especialment rellevant perquè il·lustra clarament què és una bretxa de seguretat segons el RGPD, com ha d’actuar una organització i quins riscos reals existeixen quan es tracten dades personals sensibles, com DNIs o dades bancàries.
Què és una bretxa de seguretat segons el RGPD?
L’article 4.12 del Reglament General de Protecció de Dades (RGPD) defineix una bretxa de seguretat com:
“qualsevol vulneració de la seguretat que ocasioni la destrucció, pèrdua o alteració accidental o il·lícita de dades personals transmeses, conservades o tractades d’una altra manera, o la comunicació o accés no autoritzats a aquestes dades”.
En el cas d’Endesa, la mateixa companyia ha reconegut un accés no autoritzat i il·legítim que hauria pogut afectar dades identificatives (nom, cognoms, DNI, telèfon), dades relatives al contracte i dades bancàries.
Aquest tipus d’informació pot incrementar el risc de suplantació d’identitat, fraus o atacs de phishing, fins i tot si no s’han compromès contrasenyes.
Com ha respost Endesa i per què és rellevant jurídicament?
Les persones afectades van rebre un comunicat d’Endesa informant dels fets. Aquesta comunicació compleix diversos requisits del RGPD:
- Detecció de l’incident i activació immediata dels protocols de seguretat.
- Mesures de contenció i mitigació (bloqueig d’accessos, anàlisi de registres…).
- Notificació a l’Agència Espanyola de Protecció de Dades (AEPD).
- Comunicació a les persones afectades, d’acord amb l’article 34 del RGPD.
Aquest últim punt és clau: no totes les bretxes obliguen a informar la clientela, però quan hi ha un alt risc per als drets i llibertats de les persones —com passa quan es veuen compromeses dades com el DNI o dades bancàries— la comunicació és obligatòria.
Què ha de fer una pime si pateix una bretxa de seguretat?
Sovint es pensa que el RGPD només afecta grans empreses, però tota organització o professional que tracti dades personals ha de complir-lo, tant si es tracta de la gestió de clients, persones treballadores, proveïdors o l’ús de pàgines web i xarxes socials.
Així, una pime o una persona autònoma té les mateixes obligacions, adaptades al seu context. Davant d’una bretxa, els passos essencials són:
1. Identificar i contenir l’incident
Tancar accessos, aïllar sistemes afectats i evitar que la bretxa continuï.
2. Analitzar l’abast
Determinar:
- quines dades s’han vist afectades,
- quantes persones,
- i quines mesures de seguretat existien (per exemple, si la informació estava xifrada).
3. Documentar la bretxa
Fins i tot si no cal notificar-la, el RGPD exigeix documentar internament totes les bretxes.
4. Notificar l’incident a l’AEPD
Si existeix risc per als drets i llibertats de les persones, la notificació s’ha de fer en un màxim de 72 hores des que es detecta l’incident.
5. Comunicar la bretxa a les persones afectades
Quan hi ha un alt risc, cal comunicar-ho de manera clara i transparent perquè puguin protegir-se de possibles fraus o suplantacions.
Com reduir el risc de patir una bretxa de seguretat?
Aquest cas evidencia que fins i tot les grans corporacions no estan completament protegides. Tot i això, hi ha mesures que redueixen significativament l’impacte legal i econòmic d’un incident:
- Anàlisi de riscos sobre els tractaments de dades.
- Mesures tècniques adequades: control d’accessos, doble factor, xifrat, registres d’activitat.
- Mesures organitzatives: protocols interns, polítiques clares, formació de l’equip.
- Plans de resposta a incidents per actuar amb rapidesa i sense improvisacions.
La tendència dels darrers anys mostra un increment notable dels ciberatacs, tant en volum com en sofisticació, fet que representa un risc real per a empreses, professionals i administracions.
Malgrat això, moltes sancions de l’AEPD no es produeixen tant per la bretxa en si, sinó per una mala gestió posterior: notificacions tardanes, manca de transparència o absència de documentació.
Per això, comptar amb assessorament especialitzat en protecció de dades, abans, durant i després d’un incident, pot marcar la diferència entre un incident controlat i una crisi amb conseqüències legals importants.
