Algunos estados exigen que se notifique si una persona no autorizada accede a la IIP. Un hacker o un ladrón que utilice el ordenador de un empleado robado son dos ejemplos de persona no autorizada que accede a datos protegidos.
Otros estados basan sus requisitos de notificación en lo que se denomina un "análisis de riesgo de daño". ¿Cuál es la probabilidad de que la pérdida de datos perjudique a la persona afectada? El análisis del riesgo de daño tiene en cuenta aspectos como el uso de la encriptación y otras precauciones que pueden hacer menos probable que un ladrón pueda acceder efectivamente a la IIP.
En tal caso, puede determinar que el riesgo de daño para la persona es bajo y no es necesario notificar. Si decide no notificar, normalmente tendrá que documentar esa decisión y mantenerla registrada durante un número determinado de años.
Además, asegúrese de revisar los acuerdos con sus proveedores para ver si alguna cláusula desencadena una notificación en caso de violación de datos.
Quién recibe la notificación
Si determina que debe notificar a sus afiliados una violación de datos, la ley estatal correspondiente le indicará quién debe recibir la notificación. Estas leyes también estipularán los plazos y la aplicación de la notificación. Normalmente, los estados exigen a las empresas que notifiquen por escrito a los individuos afectados. En más de 30 estados, las empresas están obligadas a notificar al fiscal general del estado o a otro organismo estatal, normalmente una agencia de protección del consumidor.
Si la información comprometida es información sanitaria protegida por la HIPAA, es posible que tenga que notificarlo al Departamento de Salud y Servicios Humanos de Estados Unidos.
Contenido de la notificación
Algunos estados exigen que se proporcione cierta información y se utilice un lenguaje específico en una notificación de violación de datos. Por ejemplo, la ley de notificación de infracciones de California describe el formato y el contenido de una notificación. Aunque los requisitos de notificación difieren de un estado a otro, como regla general, las notificaciones deben incluir:
- Tipo de información de identificación personal violada
- Fecha de la infracción
- Descripción general de la infracción
Momento de la notificación
Del mismo modo, el momento de enviar una notificación varía de un estado a otro, pero los estados suelen seguir uno de los dos enfoques.
La primera exige que se notifique a las personas afectadas "en el plazo más breve posible, sin demora injustificada". El significado de esto varía en función de cada caso. Suele depender del momento en que la empresa tuvo conocimiento de la infracción y de cuándo tuvo la oportunidad de investigar.
El segundo requiere una notificación en un número determinado de días o semanas. Si el Estado exige que la empresa notifique al fiscal general del Estado o a otro organismo estatal, esa notificación suele tener que enviarse en un plazo determinado. El momento de la notificación puede retrasarse a menudo si la violación es el resultado de un presunto acto delictivo y la policía está investigando el incidente.
Aplicación de la ley
Algunos estados conceden al fiscal general el poder de hacer cumplir la ley de notificación. Esto significa que el fiscal general es responsable de determinar si la empresa ha cumplido la ley y, en caso contrario, cuál debe ser la multa.
Otros establecen un derecho de acción privado, que permite a los individuos afectados por la violación de datos demandar a la empresa responsable por daños y perjuicios, abriendo las puertas a las demandas colectivas.
Medidas de mitigación de riesgos
Has sufrido una violación de datos. Ha investigado. Ha proporcionado los avisos requeridos. ¿Y ahora qué?
El último paso es reevaluar sus prácticas y procesos de seguridad de datos. Asegúrese de que está siguiendo las mejores prácticas y refuerce cualquier área de debilidad identificada. La mejor manera de evitar el coste y el daño a la reputación de una filtración de datos es hacer todo lo posible para prevenirla desde el principio.
