Brecha de seguridad en una clínica dental: qué hacer en las primeras 72 horas y cuándo notificar a la AEPD

Son las nueve menos cuarto de la mañana y el ordenador de recepción muestra un mensaje que nadie entiende. Los archivos del servidor no abren. El teléfono no para de sonar porque hay agenda completa y nadie sabe quién viene ni a qué hora. En ese momento, la prioridad mental de todo el equipo es recuperar el funcionamiento, y es completamente lógico. El problema es que, además de un incidente informático, la clínica acaba de entrar en un procedimiento con plazos legales que empiezan a correr desde que se tiene conocimiento del hecho.

Una brecha de seguridad de datos personales no es solo un ciberataque. También lo son un correo enviado a la lista equivocada, una carpeta con historiales olvidada en una sala accesible, un portátil o un pendrive perdido, o el acceso indebido de una persona a fichas que no le correspondían. En una clínica dental, donde los datos tratados son de categoría especial por referirse a la salud, las consecuencias de gestionar mal la respuesta son mayores que en otros sectores. En este artículo repasamos cómo actuar, qué plazos existen, cuándo hay que notificar y qué conviene tener preparado antes de que pase nada.

Qué se considera brecha de seguridad de datos personales

La definición legal es más amplia de lo que la mayoría imagina. Hay brecha siempre que se produce una destrucción, pérdida, alteración, comunicación o acceso no autorizado a datos personales, con independencia de que haya intención, de que el causante sea externo o interno y de que los datos hayan salido o no de la clínica. Esto abarca tres tipos de incidente que conviene distinguir porque la respuesta cambia.

• Brecha de confidencialidad: alguien accede o recibe datos que no debía, como un correo con un listado de pacientes enviado a un destinatario equivocado o con las direcciones visibles para todos.
• Brecha de integridad: los datos se alteran de forma no autorizada, por ejemplo cuando un incidente corrompe registros de la historia clínica.
• Brecha de disponibilidad: la clínica pierde el acceso a los datos, sea de forma temporal o definitiva, que es el escenario típico de un ransomware o de un fallo de disco sin copia de seguridad recuperable.

Ese tercer supuesto sorprende a mucha gente. Perder el acceso a los propios datos, aunque nadie los haya visto ni robado, también es una brecha y también puede ser notificable si el impacto sobre los pacientes es relevante. Una clínica que no puede consultar historiales durante días tiene un problema asistencial además de informático, y esa afectación es justamente lo que la normativa valora.

Las primeras horas: contener antes de documentar

La respuesta correcta sigue un orden que conviene tener escrito antes de necesitarlo, porque en caliente nadie razona con claridad. El primer paso es contener: aislar los equipos afectados de la red, desconectar el acceso remoto y evitar que el incidente siga extendiéndose. En un cifrado por ransomware, apagar sin más puede destruir información útil para el análisis, por lo que la recomendación habitual es desconectar de la red y esperar a la asistencia técnica antes de manipular.

El segundo paso es preservar evidencias. Capturas de pantalla del mensaje, hora exacta en que se detectó, qué equipos están afectados, qué usuario estaba conectado y qué se hizo en los minutos previos. Esa información parece secundaria mientras la clínica intenta seguir atendiendo, pero es la base de todo lo que viene después, tanto para el informe técnico como para la eventual notificación.

El tercer paso es evaluar el alcance, y es el que determina las obligaciones legales. Hay que responder a preguntas concretas: qué categorías de datos están implicadas, cuántas personas se ven afectadas, si los datos estaban cifrados, si hay indicios de exfiltración y si existe copia de seguridad íntegra y restaurable. En una clínica dental, la respuesta a la primera pregunta casi siempre incluye datos de salud, lo que eleva el nivel de riesgo por defecto.

«El reloj de las setenta y dos horas empieza a contar cuando la clínica tiene conocimiento de la brecha, no cuando termina de investigarla. Notificar con información incompleta y completarla después es preferible a llegar tarde con un informe perfecto».

Cuándo hay que notificar a la AEPD y cuándo a los pacientes

La regla general del Reglamento General de Protección de Datos establece dos niveles distintos. El primero es la notificación a la autoridad de control, en España la Agencia Española de Protección de Datos, que debe realizarse sin dilación indebida y a más tardar en setenta y dos horas desde que se tuvo conocimiento de la brecha, salvo que sea improbable que suponga un riesgo para los derechos y libertades de las personas afectadas.

El segundo nivel es la comunicación a los propios pacientes afectados, que procede cuando la brecha entraña un riesgo alto para sus derechos y libertades. Ese umbral es más exigente que el anterior: no toda brecha notificable a la autoridad exige avisar a los pacientes, pero cuando hay datos de salud comprometidos y difundidos, la probabilidad de que se considere riesgo alto aumenta considerablemente.

Hay un matiz práctico muy relevante: si los datos afectados estaban cifrados con una solución robusta y la clave no se ha visto comprometida, el riesgo para los afectados se reduce de forma sustancial, y eso puede modificar tanto la obligación de comunicar a los pacientes como la valoración global del incidente. Es uno de los pocos casos en que una medida preventiva adoptada meses antes cambia de forma directa las obligaciones legales del día del incidente.

La decisión de notificar o no debe documentarse siempre, incluso cuando se concluye que no procede. Un registro interno que explique por qué se consideró improbable el riesgo, con los datos en que se apoyó esa conclusión, es la diferencia entre una decisión razonada y una omisión. Este artículo tiene carácter divulgativo y no sustituye el criterio del delegado de protección de datos ni el asesoramiento jurídico especializado, que conviene involucrar desde la primera hora.

El registro interno de brechas: obligatorio aunque no se notifique

Muchas clínicas desconocen que existe la obligación de documentar internamente todas las brechas de seguridad, se notifiquen o no. Ese registro no se envía a ninguna parte, pero debe estar disponible si la autoridad lo solicita, y su ausencia es en sí misma un incumplimiento. La buena noticia es que se resuelve con una plantilla sencilla que recoja siempre los mismos campos.

• Fecha y hora de la brecha y de su detección, diferenciando ambas cuando no coinciden.
• Descripción de los hechos y de cómo se detectó el incidente.
• Categorías y número aproximado de personas afectadas y de registros implicados.
• Consecuencias probables y valoración del nivel de riesgo, con el razonamiento seguido.
• Medidas adoptadas para contener, corregir y mitigar los efectos.
• Decisión sobre notificación a la autoridad y comunicación a los afectados, con su justificación.

Ese registro cumple además una función menos obvia: convierte cada incidente en aprendizaje. Una clínica que revisa sus brechas del último año con esta ficha delante detecta patrones, y casi siempre descubre que los correos enviados a destinatarios equivocados y los accesos indebidos internos son mucho más frecuentes que los ataques externos, que son los que acaparan la conversación.

Qué preparar antes de que ocurra

La respuesta a una brecha se juega casi entera en la preparación previa. Tres elementos marcan la diferencia entre un incidente gestionado y un caos de tres días. El primero son las copias de seguridad verificadas: no basta con que el sistema diga que se hacen, hay que haber restaurado alguna vez y saber cuánto tarda. El segundo es un protocolo escrito de una página que indique a quién llamar, en qué orden y qué no se debe tocar, colocado en un lugar accesible que no dependa del sistema que puede estar caído.

El tercero es saber de antemano quién decide. En medio de un incidente, la peor situación es que nadie tenga claro si se puede cerrar la agenda del día, si se llama al proveedor de software o al informático, quién habla con los pacientes y quién autoriza cualquier gasto urgente. Definir esa cadena por escrito cuesta veinte minutos en un día tranquilo y ahorra horas cuando hace falta.

Conviene también revisar los contratos con proveedores que tratan datos por cuenta de la clínica, como el proveedor del software de gestión, el laboratorio o la empresa de mantenimiento informático. Esos contratos deben incluir la obligación del proveedor de comunicar sin dilación cualquier brecha que afecte a los datos de la clínica, porque en muchos casos el incidente no ocurre en la clínica sino en el proveedor, y la responsabilidad frente al paciente sigue siendo del responsable del tratamiento.

Preguntas frecuentes sobre brechas de seguridad en clínicas dentales

¿Un ransomware es siempre una brecha notificable?

No siempre, pero en una clínica dental lo es en la mayoría de casos, porque afecta a datos de salud y suele comprometer la disponibilidad de la historia clínica. La valoración depende del alcance, de si hay indicios de que los datos han salido de la clínica, de si estaban cifrados y de si existe una copia de seguridad que permita restaurar el servicio con rapidez.

¿Enviar un correo a la lista de pacientes con las direcciones visibles es una brecha?

Sí, es una brecha de confidencialidad, y además una de las más frecuentes. En un contexto sanitario tiene agravante, porque el simple hecho de que alguien figure en una lista de pacientes de una clínica ya revela información relacionada con su salud. Debe documentarse en el registro interno y valorarse si procede notificar.

¿Cuánto tiempo hay para notificar una brecha a la AEPD?

Setenta y dos horas desde que se tiene conocimiento de la brecha, salvo que resulte improbable que suponga un riesgo para los derechos y libertades de las personas afectadas. Si no se dispone de toda la información en ese plazo, se puede notificar de forma escalonada, aportando primero lo que se conoce y completando después.

¿Hay que avisar siempre a los pacientes afectados?

No. La comunicación a los afectados procede cuando la brecha entraña un riesgo alto para sus derechos y libertades, un umbral más exigente que el de la notificación a la autoridad. Si los datos estaban cifrados de forma robusta y la clave no se comprometió, ese riesgo se reduce y puede no ser necesaria la comunicación individual.