El fraude cibernético y el RGPD

El fraude cibernético es cada día más frecuente y es algo con lo que tanto empresas de cualquier tamaño como el propio individuo ha aprendido a convivir. El poder que representa la información es cada día mayor, para prácticamente todos los ámbitos de nuestro día a día hacemos uso de medios electrónicos en los que depositamos información personal.

El fraude o estafa está regulado en nuestro código penal y se define como utilizar el engaño para producir error en otro, induciéndolo a realizar un acto de disposición en perjuicio propio o ajeno. Por lo que está destinado a perjudicar la propiedad o patrimonio de una persona determinada, sea ésta natural o jurídica.

En el caso que nos referimos aquí, el fraude informático, hace uso de medios electrónicos para conseguir datos, información, el control de datos o interceptar información para cometer la estafa.

Una importante cadena hotelera ha sido víctima recientemente de un fraude cibernético. El engaño consistía en el envío masivo de mensajes mediante una aplicación móvil en la que se regalaban vacaciones familiares en uno de sus hoteles con motivo del aniversario de la compañía.

Ello pone de manifiesto un ataque a los datos de un grupo hotelero y una, posible, estafa o fraude a sus clientes.

El nuevo Reglamento General de Protección de Datos regula la seguridad de los datos personales en su sección 2. En concreto y para el caso que nos aplica, el artículo 33 regula la notificación de una violación de seguridad de datos personales a la autoridad de control y, en el artículo 34 la comunicación de una violación de la seguridad de datos personales al interesado.

Así pues, en caso de producirse una violación de seguridad o brecha de seguridad de datos personales, la empresa que actúa responsable de tratamiento debe notificarlo debidamente. En concreto, en caso de que la brecha constituya un riesgo para los derechos y libertades de las personas físicas, el responsable de tratamiento debe notificar la brecha de seguridad de datos personales a la autoridad de control competente en un plazo máximo de 72 horas desde tener constancia y, además, debe comunicarlo al interesado sin dilación indebida.

Además de ello, el responsable de tratamiento debe documentar cualquier brecha de seguridad de datos personales.

Irene Rosselló

Abogada